Starke Authentifizierung mit dem SwissPass

Lange wurde sie herbeigesehnt, eine Schweizer Authentifizierungsplattform. Eine passende Lösung könnte nun eine Plastikkarte bringen – der SwissPass. Dieser ist in der Schweizer Bevölkerung nicht nur weit verbreitet, er besitzt auch die neuste Chip-Technologie. Der SwissPass ermöglicht damit eine einfache und sichere Authentifizierung im Web oder auf Mobilgeräten aufgrund starker Kryptographie. Ist eine Weiterentwicklung der Karte die Lösung?

Durch die immer höhere mediale Aufmerksamkeit von Sicherheitslücken und Fällen von Identitäts- und Datenklau haben mehr und mehr Benutzer das Bedürfnis nach sicheren Anmeldeverfahren. Etablierte Authentifizierungsmechanismen mit zweitem Faktor, wie zum Beispiel SMS, gelten schon seit längerer Zeit als unsicher. Zugunsten der Benutzerfreundlichkeit werden aber oft Abstriche bei der Sicherheit gemacht und risikoreiche Verfahren kommen zum Einsatz.

Die SBB gehen hier mit gutem Beispiel voran, denn ihre SwissPass-Karte kombiniert Benutzerfreundlichkeit mit Sicherheit. Der SwissPass mit seinem ISO 14443 Crypto-Chip hat alle Voraussetzungen für die Verwendung als starker Faktor bei einer 2-Faktoren-Authentifizerung. Will sich ein Benutzer/ eine Benutzerin erfolgreich über eine Webapplikation oder eine mobile App anmelden, muss er/sie neben einem Passwort noch den Besitz der Karte beweisen.

Der SwissPass mit seinem kontaktlosen RFID-Chip kann mit jedem NFC-fähigen Smartphone gelesen und überprüft werden. Da auf dem Chip selbst keine persönlichen Daten abgelegt sind, sondern nur die sogenannte MediumID gespeichert ist, kann der Benutzer/die Benutzerin den Besitz der Karte nachweisen, ohne zu befürchten, irgendwelche Daten preiszugeben.

SwissPass Authentication Service

Doch wie kann nun der SwissPass als die Schweizer Authentifizierungsplattform genutzt werden? Die Berner Fachhochschule in Zusammenarbeit mit den SBB hat sich dieser Frage angenommen und entwickelte das Konzept des SwissPass Authentication Services mit den folgenden Zielen:

  • Sicherheit: Aufgrund einer standardmässigen 2-Faktoren-Authentifizierung mit SwissPass-Karte und Passwort erreicht die Lösung ein hohes Niveau an Sicherheit.
  • Benutzerfreundlichkeit: Um den SwissPass Authentication Service für eine breite Anwenderbasis attraktiv zu gestalten, steht die Benutzerfreundlichkeit stark im Fokus. Prozesse und Benutzeroberfläche sind bewusst einfach und intuitiv gehalten.
  • Anonymität: Gegenüber Webapplikationen und mobilen Apps ist es möglich, anonym zu bleiben. Der SwissPass Authentication Service speichert keine benutzerbezogenen Daten und bietet so vollständigen Schutz der Privatsphäre.
  • Schweizer Lösung: Der Betrieb und die Wartung aller Komponenten erfolgt, im Gegensatz zu Konkurrenzprodukten wie dem Google Authenticator , vollständig in der Schweiz.

Prototypische Umsetzung

Die Mitautoren Frank Sellin und Nishanthan Sithampary haben in ihrer Bachelorarbeit die Ideen des SwissPass Authentication Services schliesslich prototypisch umgesetzt. Die zuvor entwickelten Prozesse zur Registrierung bzw. zum Anmelden an einer Web-Seite oder bei einer mobilen App, konnten die Studierenden erfolgreich implementieren.

Im Prototyp wird davon ausgegangen, dass die SBB das SwissPass Authentication Backend betreibt und die Authentifizierung der SwissPass-Karte übernimmt.

Registrierung

Um den SwissPass Authentication Service verwenden zu können, muss sich ein Benutzer/eine Benutzerin einmalig registrieren. Nach dem Starten der SwissPass Authenticator App muss anschliessend der SwissPass gescannt werden. Usability-Tests haben gezeigt, dass jede Person – ohne technische Vorkenntnisse – in der Lage ist, die SwissPass-Karte einzulesen. Zudem haben viele Benutzer und Benutzerinnen die Fahrausweiskontrolle im ÖV bereits erlebt. Beim Scannen der Karte wird ein Kommunikationskanal zwischen der Karte und dem SwissPass Authentication Backend aufgebaut und die Echtheit der Karte überprüft. In einem zweiten Schritt muss der Benutzer/die Benutzerin noch eine E-Mail-Adresse eingeben und ein Passwort wählen. Mit dem per E-Mail erhaltenen Link bestätigt der Benutzer/die Benutzerin schliesslich die Registrierung und kann danach sofort den SwissPass Authentication Service nutzen.

Anmelden an einer mobilen App

Beim Anmelden an einer mobilen App, z.B. einem Webshop, wählt der Benutzer/die Benutzerin die Funktion „Login über SwissPass Authentication Service“. Der Benutzer wird zunächst aufgefordert, seinen SwissPass zu scannen und dann sein Passwort einzugeben. Die SwissPass Authenticator App übernimmt auch hier die Kommunikation mit dem SwissPass Authentication Backend und lässt von diesem die Echtheit der Karte und das dazugehörige Password prüfen. Falls gewünscht, kann der Benutzer auch die im Backend hinterlegten Daten (Name, Geburtsdatum, Geschlecht) an die Webapplikation/mobile App weitergeben. Hat alles seine Richtigkeit, ist der Benutzer nun im Webshop eingeloggt und kann seinen Einkauf beginnen.

Mit dem SwissPass zur Technikrevolution?

Der SwissPass bietet mit der Erweiterung eines Authentication Services in der Tat eine sichere und benutzerfreundliche Authentifizierungsplattform für die Schweiz, welche die 2-Faktoren-Authentifizierung in Webapplikationen und mobilen Apps ermöglicht. Benutzerfreundlichkeit gepaart mit hoher Sicherheit und Schutz der Privatsphäre sind die Grundsätze des SwissPass Authentication Service. Damit stellt die SwissPass-Karte greifbar die Grundlage für eine kleine Schweizer Technikrevolution dar.

Abbildung: Anbindung eines Webshops an den SwissPass Authentication Service: Mit Hilfe der SwissPass-Karte und einem NFC-fähigen Smartphone kann sich ein Benutzer in zwei einfachen Schritten sicher authentifizieren.

AUTOR/AUTORIN: Annett Laube

Annett Laube leitet das Institute for Data Applications and Security (IDAS) an der BFH Technik & Informatik und ist verantwortlich für den Schwerpunkt Identität und Privatsphäre am BFH-Zentrum Digital Society.

AUTOR/AUTORIN: Nishanthan Sithampary

Head of Services and Engineering, SwissMediaPartners AG

AUTOR/AUTORIN: Frank Sellin

Professional Platform Engineer bei SBB AG

PDF erstellen

Ähnliche Beiträge

Es wurden leider keine ähnlichen Beiträge gefunden.

1 Antwort

Dein Kommentar

An Diskussion beteiligen?
Hinterlasse uns Deinen Kommentar!

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.