Authentifizierung, Zertifikate und Härtung

Authentifizierung prüft, wer jemand ist, Autorisierung legt fest, was er darf. Die Faktoren sind Wissen (Passwort, PIN), Besitz (Smartphone, Token, Smartcard) und Sein (Fingerabdruck, Gesicht). Eine echte Zwei-Faktor-Authentifizierung kombiniert zwei verschiedene Klassen; zwei Passwörter sind nur ein Faktor. Das BSI empfiehlt lange Passwörter oder Passphrasen, einen Passwortmanager, Mehr-Faktor-Anmeldung und einen Wechsel nur bei Anlass statt nach starren Fristen. Server speichern Passwörter nie im Klartext, sondern als Hash mit zufälligem Salt und einem langsamen Verfahren wie bcrypt oder Argon2. Mit Single Sign-On meldet sich ein Nutzer einmal an und erhält Zugriff auf mehrere Dienste.

In einer Public-Key-Infrastruktur bestätigt eine Zertifizierungsstelle (CA) mit ihrer Signatur, dass ein öffentlicher Schlüssel zu einem Namen gehört. Ein X.509-Zertifikat enthält Inhaber und alternative Namen, Aussteller, Gültigkeitszeitraum, Seriennummer, öffentlichen Schlüssel und die Signatur der CA. Beim HTTPS-Aufruf prüft der Browser die Kette bis zu einem vertrauenswürdigen Stammzertifikat, den Namen und die Gültigkeit. Bei einer eigenen internen CA muss deren Stammzertifikat auf allen Clients verteilt werden, etwa per Gruppenrichtlinie. Ist ein privater Schlüssel kompromittiert, wird das Zertifikat widerrufen und mit neuem Schlüsselpaar ersetzt.

Härtung heißt, die Angriffsfläche zu verkleinern: Updates einspielen, unnötige Dienste und Ports abschalten, Standardkonten deaktivieren oder umbenennen, Kennwörter ändern, Firewall und Protokollierung aktivieren. Administratoren arbeiten im Alltag mit normalem Konto und nutzen ein getrenntes Admin-Konto nur bei Bedarf. Bei SSH ersetzt die Anmeldung mit Schlüsselpaar die Passwortanmeldung. Wechselt jemand die Abteilung, werden alte Rechte entzogen; verlässt er den Betrieb, werden Konten gesperrt, Geräte zurückgegeben und Zugänge geändert.