Bericht: Google will Passwörter aufs Altenteil schicken

Angesichts immer kürzerer Zeiten, die GPU-Farmen zum Knacken von Passwörtern brauchen, wäre eine andere Authentifizierungstechnik nötig. Das sehen, berichtet Wired, auch zwei Google-Techniker so. In einem demnächst im Magazin IEEE Security & Privacy erscheinenden Artikel schlagen Eric Grosse und Mayank Upadhyay eine Hardware-gebundene Authentifizierung vor.

Google selbst bietet schon seit längerem ein Verfahren an, bei dem Nutzer nach der Anmeldung auf einem neuen Rechner einen Code per SMS geschickt bekommen, den sie zusätzlich eingeben müssen. Auch Facebook-Kunden können sich so per Handy authentifizieren. Grosse und Upadhyay schlagen jetzt vor, USB- oder NFC-Token mit dem Browser zu integrieren.

So haben sie laut Wired den Browser Chrome so modifiziert, dass er den Anwender in Verbindung mit einer Yubico-Smartcard direkt bei Google anmeldet. Das dazu nötige Protokoll, mit dem Browser und Token kommunizieren, müssten auch andere Browser implementieren, damit die Technik eine Chance zur hinreichenden Verbreitung hat.

Yubico bietet auch ein NFC-Token zur drahtlosen Authentifizierung bei Android-Geräten an, das ein Einmal-Passwort erzeugt. So ein berühungsloses Verfahren können sich auch die beiden Google-Autoren vorstellen, etwa ein in einen Ring integriertes NFC-Modul, das man nur an den Rechner halten müsste.

Der Verlust eines derartigen Hardware-Token wäre allerdings ähnlich ärgerlich und potenziell folgenreich wie das Abhandenkommen des Haustür- oder Wohnungsschlüssels. Aus dem Wired-Artikel geht nicht hervor, ob das Token jeweils freigeschaltet werden muss und wie in diesem Fall das Master-Passwort etwa vor Key-Loggern zu schützen wäre. (ck)