Digitale Identität und Authentifizierung

Die Echtheit und Glaubwürdigkeit einer Identität gewährleisten.

Der Prozess, die Echtheit einer Identität zu überprüfen und zu bestätigen.

Ein eindeutiger Name, Identifier oder ein Satz von Attributen, die eine Person oder ein Objekt in einem System identifizieren.

Die Zuweisung von Rechten und Berechtigungen für den Zugriff auf Ressourcen oder Funktionen.

Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Beispiele: Name, Adresse, Geburtsdatum.

Eine Technik, die personenbezogene Daten so verarbeitet, dass sie ohne zusätzliche Informationen nicht mehr einer bestimmten Person zugeordnet werden können.

Ein Beispiel für Pseudonymisierung. Es wird ein Code verwendet, um die Identität zu verschleiern.

Bezeichnet die Möglichkeit, dass IP-Adressen sich dynamisch ändern können und somit nicht eindeutig einer Person zugeordnet werden können. Die Frage ist, ob dies als Pseudonymisierung im Sinne der DSGVO gilt.

Einmal-Passworte (OTP) sind einmalige, zeitgebundene Codes, die für die Authentifizierung verwendet werden und die nur für einen kurzen Zeitraum gültig sind.

HMAC-basiertes OTP (HOTP) ist ein Algorithmus zur Erzeugung von einmaligen Passworten, der auf einem geheimen Schlüssel und einem Zähler basiert.

Zeitbasiertes OTP (TOTP) ist ein Algorithmus zur Erzeugung von einmaligen Passworten, der auf einem geheimen Schlüssel und der aktuellen Zeit basiert.

Google Authenticator ist eine Software-basierte App, die TOTP (zeitbasierte OTPs) und HMAC-basierte OTPs unterstützt.

Ein Pre-Shared-Secret ist ein gemeinsamer, geheimer Schlüssel, der von einem Server und einem Benutzer verwendet wird, um OTPs zu generieren und zu verifizieren.

Unixzeit-Counter ist die Anzahl der Sekunden, die seit dem 1. Januar 1970 vergangen sind. Er wird für TOTP-basierte OTPs verwendet.

Eine Eigenschaft eines Menschen, die ihn eindeutig identifiziert, z.B. Fingerabdruck, Iris oder Stimme.

Jedes Individuum besitzt das Merkmal.

Das Merkmal ist für jede Person unterschiedlich.

Das Merkmal bleibt im Laufe der Zeit unverändert.

Das Merkmal kann durch Sensoren erfasst und gemessen werden.

Physiologische Merkmale (statisch) sind unveränderlich, wie Fingerabdruck oder Iris.

Verhaltensmerkmale (dynamisch) sind veränderlich, wie Stimme oder Tippverhalten.

Biometrische Authentifizierung erfordert den Vergleich der gemessenen Merkmale mit Referenzdaten, z.B. Fingerabdruck-Datenbank.

Die Wahrscheinlichkeit, dass ein nicht autorisierter Benutzer fälschlicherweise zugelassen wird.

Die Wahrscheinlichkeit, dass ein autorisierter Benutzer fälschlicherweise abgelehnt wird.

Die Rate, bei der die Wahrscheinlichkeit für eine falsche Akzeptanz (FAR) und eine falsche Ablehnung (FRR) gleich ist.

Ein digitalisierter Datensatz, der als Vergleichswert für Verifikationsdaten dient.

Grenzen, die festlegen, wie stark Verifikationsdaten vom Referenzwert abweichen dürfen, ohne abgelehnt zu werden.

Die Güte eines biometrischen Systems wird anhand der FAR, FRR und EER bewertet.

Die Qualität von Sensoren beeinflusst die Angriffsresilienz eines biometrischen Systems.

Biometrische Systeme finden im Bereich der Identitätsprüfung und -sicherung unterschiedliche Anwendungen.

Challenge-Response (CR) ist ein Protokoll zur Authentifizierung, das auf einer Reihe von Herausforderungen und Antworten basiert. Um sich zu authentifizieren, fordert die Serverinstanz B die Clientinstanz A zu einer Challenge heraus, indem sie zum Beispiel eine Zufallszahl schickt. A erstellt dann eine Response (Antwort) auf die Challenge, oft mithilfe einer mathematischen Funktion, und sendet sie zurück an B. Wenn die Response korrekt ist, bestätigt B die Identität von A.

Ein Verfahren, das sowohl symmetrische als auch asymmetrische Techniken zur Authentifizierung einsetzt. Symmetrische CR-Verfahren verwenden denselben Schlüssel für die Verschlüsselung und Entschlüsselung, während asymmetrische Verfahren separate Schlüssel für die Verschlüsselung und Entschlüsselung nutzen.

Der klassische Passwort-Login ist kein CR-Verfahren, da es keine Challenge gibt. Der Nutzer gibt lediglich sein Passwort ein, ohne eine gesonderte Aufgabe zu lösen.

Deep Fakes sind realistische, synthetisch erzeugte Audio- oder Videoaufnahmen von Personen, die nicht in der realen Welt aufgenommen wurden. Sie können verwendet werden, um Identitäten zu fälschen oder für andere kriminelle Zwecke.

Deep Fakes stellen ein großes Problem für die Sicherheit digitaler Identitäten dar, da sie dazu verwendet werden können, Menschen zu täuschen und ihre Identität zu stehlen.

Ein Herausforderungswert (RAND) wird von einer prüfenden Instanz (B) generiert und ist somit stets frisch; Alice (A) muss bei jeder Anmeldung die Kenntnis des privaten Schlüssels (kA) nachweisen, indem sie den RAND mit ihrem privaten Schlüssel signiert.

Ein öffentliches Zertifikat (X509-Zertifikat) bestätigt, dass der öffentliche Schlüssel (eA) zu Alice (IdA) gehört.

Einmaliges, zeitgebundenes Passwort, das nur für einen kurzen Zeitraum gültig ist.

Die Anzahl der Sekunden, die seit dem 1. Januar 1970 vergangen sind, wird in TOTP-basierten OTPs verwendet.