Zwei-Faktor-Authentifizierung

Zwei-Faktor-Authentifizierung per SMS erhöht die Sicherheit jedes Logins. Anders als bei herkömmlichen Systemen werden keine Zusatzgeräte, Streichlisten oder Karten benötigt. Die Zwei-Faktor-Authentifizierung erlaubt eine hochsichere und manipulationsfreie Identifizierung.

Stellen Sie sich einen Online-Zugang vor, der besonders gut gesichert werden muss: z.B. ein Zahlungs-Portal einer Bank. Idealerweise verwendet man ein Passwort und ein Benutzername als "low-level" Identifikation. Dies stellt die erste Sicherheitsstufe dar. Die zweite Stufe erfolgt oft mittels einer Streichliste oder gar eines Zahlen-Generators im Forms eines kleinen Gerätes.

ASPSMS lässt sich ab der zweiten Stufe einsetzen: Ein Kunde erhält vom Zugangssystem seiner Bank mittels ASPSMS eine mobile Transaktionsnummer (mTAN, OTP, Token, etc.) an sein Mobiltelefon geschickt. Wird der SMS-Code beim Login richtig eingegeben, ist nachgewiesen, dass es sich um die Person handeln muss. Es braucht keine Zusatzgeräte, Streichlisten oder Karten.

ASPSMS als SMS Provider für bestehende Systeme einsetzen

Wird ASPSMS einzig zum Versand des SMS-Codes (OTP, mTAN, Token, usw.) eingesetzt, liegt die Programmlogik zur Generierung, temporären Speicherung und zur abschliessenden Prüfung komplett auf der Seite des zu schützenden Systems. Dieses Vorgehen ist grundsätzlich unproblematisch und wird von vielen ASPSMS Kunden genutzt. Insbesondere bietet sich dieses Vorgehen an, wenn auf Kundenseite bereits Zwei-Faktor-Logik existiert.

ASPSMS kann via den SOAP Webservice sehr einfach für Microsoft ASP.NET Identity Projekte verwendet werden.

Beispiel: ASP.NET MVC Webanwendung mit Zwei-Faktor-Authentifizierung

Mehr Sicherheit durch den Einsatz von ASPTOKEN

Mit der Nutzung von ASPTOKEN werden Teil der notwendigen Applikationslogik an ASPSMS ausgelagert. Der entscheidende Sicherheitsvorteil liegt darin, dass allfällige Systemmanipulationen zum unberechtigten Eindringen erheblich schwieriger werden, da die SMS-Codes nirgends innerhalb des zu schützende Systems gespeichert sind.

Mit der Nutzung von ASPTOKEN werden die SMS-Codes stattdessen durch ASPSMS generiert, bei ASPSMS gelagert und schliesslich durch ASPSMS überprüft. ASPSMS wiederum hat keine Kenntnis über die Sicherheitsprozeduren auf der Seite des zu schützenden Systems.

Diese Art von "Partitionierung" ist hinsichtlich der Sicherheit in jedem Fall sinnvoll, da die vertraulichen Informationen nicht mehr an einem einzelnen Ort gespeichert sind. Stattdessen sind in den involvierten Systemen nur noch einzelne, für sich relativ unkritische Teile einsehbar.