KOBIL und Dropbox entwickeln Zwei-Faktor-Anmeldung mit QR-Scan

„Damit eine sichere Zwei-Faktor-Authentifizierung gewährleistet ist, müssen natürlich im Hintergrund einige komplexe Sicherheitsprozesse ablaufen. Aber im Gegensatz zu anderen Zwei-Faktor-Ansätzen wie Einmalkennwort, Token, SMS oder Smartcards bekommt der Nutzer davon in diesem Fall gar nichts mit“, so Tan Sarihan, Product Strategy & Innovation Leader bei KOBIL.

Marc Paczian, Solutions Architect bei Dropbox Deutschland, bekräftigt dies: „Wir entwickeln ständig neue und verbesserte Lösungen, um die zweistufige Überprüfung für unsere Nutzer so einfach wie möglich zu machen. Kennwörter – und deren mehrfache Verwendung – stellen bei Onlinekonten noch immer die größte Schwachstelle dar. Deshalb kommen wir um die Zwei-Faktor-Authentifizierung oder zweistufige Überprüfung einfach gar nicht mehr herum.“

Die Lösung, die Nutzern ab Ende Oktober 2017 zur Verfügung steht, funktioniert sowohl mit dem Browser Zugriff auf Dropbox als auch mit dem Dropbox Desktop Client und der Dropbox App auf mobilen Endgeräten. Durch den QR-Code wird der Zugriff auf Dropbox über externe oder öffentlich zugängliche Geräte zusätzlich geschützt. Keylogger und andere Angriffsmethoden stellen keine Gefahr dar, denn der Nutzer muss keine Kennwörter oder andere Anmeldedaten über die Tastatur eingeben.

Die Zwei-Faktor-Authentifizierung für Dropbox läuft folgendermaßen ab: Ein einmaliger nutzerspezifischer QR-Code wird generiert und dem Nutzer angezeigt. Dabei kann die bestehende LDAP- oder Active Directory User-Verwaltung der Business-Kunden als Basis für das System dienen. Die KOBIL-Komponenten SAML Connector und Smart Security Management Server (SSMS) greifen dann darauf zu und nutzen die dort gespeicherte Identität für die sichere App.

Den generierten QR-Code scannt der Dropbox-Kunde mit dem Smartphone und der darauf installierten App „Trusted QR-Login“. Diese gesondert abgesicherte App sendet den Scan automatisch an den SSMS, der gegenüber Dropbox dann Identität und Autorisierung bestätigen kann. Voraussetzung dafür sind zwei Faktoren: die PIN (oder touchID Fingerprint bei iOS Geräten) zur Freischaltung der App und die eindeutige Zuordnung der KOBIL App „Trusted QR-Login“ zum Smartphone des Nutzers.

„Mit der Integration von Dropbox Business mit der „Trusted QR-Login“ können gemeinsame Kunden von KOBIL und Dropbox den Anmeldevorgang vereinfachen und beschleunigen. Und die Sicherheitslogik von KOBIL ist integraler Bestandteil. Unsere Partner arbeiten über die DBX Platform mit uns zusammen an der Bereitstellung einer Sicherheitsarchitektur, die nicht nur Dropbox, sondern auch andere Cloud- und Vor-Ort-Systeme umfasst. KOBIL ist dafür ein hervorragendes Beispiel”, erklärt Marc Paczian von Dropbox.

Für Tan Sarihan, Product Strategy & Innovation Leader bei KOBIL, beweist die Partnerschaft mit Dropbox einmal mehr, dass KOBIL sich der Zusammenarbeit mit branchenweit führenden Lösungen verschrieben hat: „Wir bieten hoch sichere Apps, die unter Verwendung des Smart Security Management Server nahezu alle Onlineregistrierungen optimal schützen können – während die Anmeldung für den Nutzer gleichzeitig vereinfacht wird.“

Weitere Informationen zu Dropbox und DBX Platform finden Sie hier. 

Technische Erklärung

Der Endbenutzer greift über eine URL auf den Dienst des Service Providers zu, in diesem Fall Dropbox. Diese Anfrage wird vom Service Provider an den Identity Provider (KOBIL SAML Connector) weitergeleitet. SAML steht für Security Assertion Markup Language (SAML). Dabei handelt es sich um ein XML-Framework zum Austausch von Authentifizierungs- und Autorisierungsinformationen. Es stellt Funktionen bereit, um sicherheitsbezogene Informationen zu beschreiben und zu übertragen. Gleichzeitig erzeugt der KOBIL Smart Security Management Server einen eindeutigen QR-Code. Dieser wird per SOAP-Schnittstelle an den SAML-Connector übertragen und dem aufrufenden Nutzer angezeigt.

Der Nutzer scannt mit Hilfe der KOBIL App „Trusted QR-Login“ den im Dropbox-Anmeldevorgang gezeigten QR-Code. Der Code wird über eine verschlüsselte Kommunikation – basierend auf der Benutzer-Identität in der KOBIL virtual Smartcard – von der App an den vorher erwähnten SSMS gesendet und dort mit dem Code verglichen, der dem Nutzer auf der Dropbox-Website angezeigt worden ist. Wenn es sich um den gleichen QR-Code handelt, wird der Service für den Nutzer freigegeben oder er bekommt, je nach Use Case, einen Access Token, mit dem er sich bei dem Service anmelden kann.

Dabei ist die App gehärtet. Bereits bei der Erstregistrierung erfolgt eine feste Bindung des registrierten Smartphones an den Nutzer. Damit kann die App nicht auf andere Geräte kopiert werden, ein Missbrauch ist ausgeschlossen. Der für die Überwachung der Sicherheit zuständige SSMS von KOBIL prüft diese Gerätebindung, prüft ob das Gerät als sicher eingestuft ist, erkennt mögliche Angriffe auf die App und deren Benutzung (Debbuging, Reverse-Engineering, Key-Logger etc.). Erst wenn alle Sicherheitsüberprüfungen erfolgreich waren, baut der Server eine geschützte Verbindung auf. Der gesamte Vorgang läuft in Quasi-Echtzeit ab.