Funktionsweise einer Authenticator App

Viren, Spyware, Datenschutz 11.241 Themen, 94.650 Beiträge

Funktionsweise einer Authenticator App

UselessUser am 16.09.2013, 12:39 / 6 Antworten / Flachansicht

Hallo Leute,

mich würde einmal interessieren, wie die Authenticator App von Google oder Microsoft technisch funktioniert.

Sie generiert auf dem lokalen Gerät einen Sicherheitscode, mit der man sich (nach entsprechender Einrichtung einer 2-stufigen Anmeldung) auf dem Server einloggen kann.

Wie kann nun der Server errechnen, ob der Sicherheitscode gültig ist bzw. von der App auf dem entsprechenden Gerät stammt?

Ist in der App schon ein Algorithmus festgelegt, der den Code nur innerhalb bestimmter Zahlenbereiche generiert oder wird vielleicht ein Master-Kennwort einbezogen?

Habe im Netz leider keine aussagekräftigen Informationen gefunden, vielleicht hat jemand einen Link ...

Thx, UU

Nein :- Der Code wird serverseitig generiert. Auf Seite des ... the_mic 16.09.2013, 13:14

Hallo the_mic! Wie kann ich dann den Hinweis verstehen, dass ... UselessUser 16.09.2013, 13:26

Lies den Link genauer. Auf der dort verlinkten Seite ... the_mic 16.09.2013, 13:36

Hallo the_mic, dein Link leitet mich leider nur auf die ... UselessUser 16.09.2013, 13:58

Ach so! Was du meinst, ist demnach eher vergleichbar mit RSA ... the_mic 16.09.2013, 14:11

UselessUser

the_mic „Ach so! Was du meinst, ist demnach eher vergleichbar mit RSA ...“

16.09.2013, 17:53 Optionen

Hallo the_mic,

danke für den Link, der war jetzt recht hilfreich!

Es geht also doch in die Richtung, die ich vermutete, so wie ich die Wikipedia-Seite interpretiere, wird bei den Software-Tokens (die mit der Authenticator App generiert werden) ein Passwort verwendet, welches mit ihrer Einrichtung vom Server zum Client übermittelt wird. Man muss dafür bei der Einrichtung der App anscheinend gleichzeitig in der entsprechenden Option des Benutzerkontos sein.

Die App verfügt also über das Passwort und erzeugt den Code, der ist "das Produkt eines AES-Algorithmus, der sich aus einem Zeitindex und einem geheimen Schlüssel (Länge: 128 bit) des jeweiligen Key-Tokens berechnet. Der Schlüssel wird bei der Fertigung des Tokens mit einem echten Zufallszahlengenerator erzeugt und in dieses eingebettet. Er ist nur dem Authentication Manager bekannt, niemandem sonst."

[Wikipedia]

Der Server überprüft dann (vielleicht mit einer Hash-Funktion), ob dieser Schlüssel mit diesem Passwort innerhalb einer tolerierten Zeitspanne erstellt werden konnte.

Danke the_mic, so schnell wäre ich da heute nicht mehr drauf gekommen.

MfG, UU