Identitätsmanagement (Wintersemester 2017/2018)

Dozent: Prof. Dr. Christoph Meinel (Internet-Technologien und -Systeme)
Tutoren: M.Sc. Christian Tietz M.Sc. Eric Klieme

Allgemeine Information

• Semesterwochenstunden: 4
• ECTS: 6
• Benotet: Ja
• Einschreibefrist: 27.10.2017
• Lehrform: Seminar / Projekt
• Belegungsart: Wahlpflichtmodul
• Maximale Teilnehmerzahl: 20

Studiengänge, Modulgruppen & Module

Beschreibung

Seminarinhalt

In diesem Seminar sollen neue Formen der verhaltensbasierten Authentifizierung oder IDM-Architekturen erfasst und analysiert werden. Die Studenten werden in Gruppenarbeit sich in vorgegebene Themen einarbeiten, einen Prototypen entwickeln und diesen testen. Die Ergebnisse werden in einem kurzen Paper niedergeschrieben und durch zwei Präsentationen vorgestellt.

Themen

Flyer

Kernproblem des Identitätsmanagements

Durch die fortschreitende Digitalisierung und immer mehr Services, die von der analogen in die digitale Welt wandern, gewinnt das Identitätsmanagement (IDM) immer mehr an Bedeutung und betrifft fast jeden von uns. Das IDM beschäftigt sich vor allem mit digitalen Identitäten, die eine Person während der Nutzung von Services im Web repräsentieren. Abhängig vom Service kann das ein „digitaler Einkäufer“ sein, der in einem Onlinehandel verschiedene Produkte kauft oder ansieht oder ein „digitaler Bankbesucher“, der im Onlinebanking Transaktionen tätigt. Typischerweise ist der Zugang zu diesen Services und damit den Identitäten mit einer Kombination aus  Benutzername und Passwort geschützt. Durch die Menge potentiell genutzter Services (Email, Onlinebanking, Onlinehandel, Social Networks..) werden Benutzernamen und/oder Passwörter aus Bequemlichkeitsgründen mehrfach genutzt.

Wie gefährlich das ist zeigen fast täglich veröffentlichte Artikel über Hacks von IT-Systemen, in denen diese Zugangsdaten entwendet werden. Gelangen die Daten in falsche Hände können oft mehrere digitale Identitäten von Nutzern übernommen werden und führen zu großem Schaden. 

Diese Problematik ist bekannt und es gibt bereits Methoden, die die Authentifizierung sicherer machen. Eine Möglichkeit ist die Zwei-Faktor-Authentifizierung bei Online-Banking-Transaktionen, wo neben einem statischen PIN eine extra Nummer (TAN) mit eingegeben werden muss, die der Nutzer auf einem zweiten Weg wie bspw. seinem Smartphone erhält. Neben der Absicherung über einen nur dem Nutzer bekannten PIN erfolgt eine zweite Absicherung über ein Gerät auf das nur der Nutzer Zugriff hat. Ohne den Zugriff auf das Smartphone sind Nutzername/PIN für jeden Angreifer fast wertlos. Diese Methoden sind bei anderen Services jedoch oft nur optional und erhöhen den Aufwand für den Endnutzer.

Aktuelle Forschung

Eine alternative Authentifizierung ist gegeben, wenn die Geräte und Systeme uns anhand unserer physischen Merkmale und unseres Verhaltens selbst erkennen. In unserem  Secure Identity Labor beschäftigen wir uns genau mit dem verhaltensbasierten Ansatz. In erster Linie fokussieren wir uns auf Geräte, die die meisten Personen bereits besitzen. Allem voran steht das Smartphone. Dazu kommen weitere Geräte, die sogenannten Wearables wie Smartwatches und Fitness Trackers sowie IoT Geräte, z.B. im Auto oder Smart Home. Alle diese Geräte besitzen eine Reihe von Sensoren, mit denen Nutzerverhalten erfasst und analysiert werden kann.

Ein Beispiel dafür ist das Laufverhalten. Jeder Mensch hat ein eigenes Laufverhalten, das nur sehr schwer durch Angreifer zu imitieren ist. In einem unserer Projekte können wir mit Hilfe einer Smartwatch- und Smartphone-App dieses Laufverhalten erkennen und so zusätzlich angeben, mit welcher Wahrscheinlichkeit das Smartphone vom rechtmäßigen Besitzer getragen wird. Ein zukünftiger Service könnte neben der richtigen Kombination von Benutzername und Passwort eine entsprechende Wahrscheinlichkeit für die Übereinstimmung des Laufverhaltens voraussetzen, bevor Zugang gewährt wird. Ein Angreifer müsste daraufhin für eine erfolgreiche Attacke also auch noch das Laufverhalten imitieren, obwohl ihm Benutzername und Passwort bekannt sind und er vielleicht sogar das Smartphone in seinen Besitz bringen konnte.

Die Ergebnisse von Verhaltensbasierten-Methoden werden zu einem Trust Level zusammengefasst. Dieses Trust level kann benutzt werden um sich für Dienste anzumelden. Diese Dienste können selbst entscheiden, welcher Wert notwendig ist für eine erfolgreiche Authentifikation.

Voraussetzungen

Siehe Themen.

Lern- und Lehrformen

1. Phase (Oktober - Anfang Dezember)

• Recherche und Related Work
• Entwicklung eines Konzepts
• Beginn der Implementierung eines Prototyps
• Vortrag und Diskussion (30 min) über Related Work, Ziele + Konzept, Stand der Entwicklung (~ 11.12.2017)

2. Phase (Dezember - Anfang Februar)

• Extended Abstrakt
• Implementierung, Dokumentation
• Abschlusspräsentation der Ergebnisse (~ 12.02.2018)
• Abgabe von Software und Dokumentation

Leistungserfassung

Die Gesamtnote ergibt sich aus zwei Präsentationen, der Implementierung und einem kurzem Paper

Termine

Themenvorstellung: 23. Oktober 2017 um 9:15 Uhr im Raum H-E.51
Themenwünsche bis 27. Oktober
Wöchentliche Treffen ab 30.10.   jeweils montags

Extended Abstract am 08.01.2018
Zwischenpräsentation: voraussichtlich 11.12.
Abschlusspräsentation: voraussichtlich 5.2.2018

Zurück