OTP-Login

Bei Veranstaltungen kommt es oft vor, dass Clients (Browser auf Endgeräten) zeitweilig für Zugriffe freigegeben werden müssen. Dabei ist es oft nicht möglich, auf den Clients alle Sicherheitsaspekte zu beachten. Meist sind es private Endgeräte, da gerade Vereine auf die Bereitstellung privater Möglichkeiten angewiesen sind. Auch ist es nicht garantiert, dass der Nutzer diese Rechte jedes Mal identisch braucht.

Das aktuelle Vorgehen ist es, dem Nutzer einen Account zu geben. Dabei hat man aber nur eine geringe Kontrolle des Passwortes und wie oben gesagt der Clients-Sicherheit. Je mehr Rechte der User bekommt, umso anfälliger wird die IT-Infrastruktur für absichtliches wie unabsichtliches Fehlverhalten. Ausserdem entstehen so eine Unmenge an Accounts, die nicht mehr ordentlich gewartet werden können. Das verschärft die Sicherheitsprobleme weiter.

Als weiteres Problem kommt hinzu, dass das technische Verständnis der Nutzer nicht immer perfekt ist, um auch eine Account-Sicherheit zu gewährleisten. Das Betrifft zum Beispiel:

aufschreiben des Passwortes
weitergabe des Passwortes an weitere Personen

Aus diesen Gründen ist das aktuelle Vorgehen nicht sicher genug.

Begrifflichkeiten

OTP

Ausgeschrieben "One-Time-Password". Ist ein nur kurze Zeit gültiges Passwort, dass meist bei der Zwei-Faktor-Authentifizierung Anwendung findet.

Wikipedia - Einmalkennwort

Client

Damit ist der Browser auf dem Endgerät eines Nutzers gemeint.

Veranstalter

Verantwortliche für die Veranstaltung. Dieser Personenkreis hat am besten den Überblick über mögliche Mitarbeiter bei der Veranstaltung.

IT-Administratoren

Die Verantwortlichen für die IT-Infrastruktur, die bei der Veranstaltung eingesetzt wird.

Einfache Beschreibung

Ganz ohne Accounts geht es nicht. Dabei gibt es nur zwei Gruppen. IT-Administratoren und Veranstalter. Ein IT-Administrator kann einen Veranstalter Rechte geben, um Clients eine oder mehrere Rollen zu geben. Diese Client-Rechte sind Zeitlich begrenzt. Der Account eines Veranstalters ist nicht begrenzt.

IT-Administratoren

kann Veranstalter anlegen
hat erweitertes technisches Verständnis
kann Clients vorzeitig entfernen

Veranstalter

kann Clients freischalten
allgemeines technisches Verständnis reicht aus

Clients

es wird nur ein Browser des Endgerätes freigeschaltet
die Freischaltung ist von vorne rein zeitlich begrenzt

Detaillierter Ablauf

Phase I

Ein schon angemeldeter IT-Administrator meldet einen Veranstalter beim System an. Der Veranstalter bekommt die Daten für eine OTP-App und einen Benutzernamen.

Phase II

Ein Veranstalter entscheidet sich, ein Client für eine oder mehrere Rollen freizugeben. Dazu geht er im Browser auf die Freigabe-Seite. Dort muss er folgende Daten Eingeben:

Name des Clients
Rolle bzw Rollen des Clients
Benutzername des Veranstalters
gültiges OTP

Es wird ein JSON-Web-Token im Browser als Cookie gespeichert. Dieser Token hat ein Verfallsdatum.

Phase III

Der Nutzer des Clients möchte eine Web-API-Aktivität über die Weboberfläche ausführen. Dazu sendet die Weboberfläche per JavaScript eine Anfrage an die Web-API, bei der der JSON-Web-Token mitgesendet wird. Die Web-API überprüft durch den Login-Server die Korrektheit des Tokens. Dann wird die Rolle des Clients ausgewertet und entsprechend das Ergebnis zurückgegeben.

HTTP-Code-2XX: Anfrage erfolgreich
HTTP-Code-403: Die Aktion ist nicht erlaubt
HTTP-Code-401: Der Client hat überhaupt keine JSON-Web-Token

Bekannte Probleme

Ein Veranstalter wird nur durch ein OTP geschützt. Es ist keine Zwei-Faktor-Authentifizierung. Dadurch wird aber auch die Sicherheit des Clients unproblematisch, da der Client nur ein OTP bekommt, dass nur eine kurze Zeit gültig ist. Des Weiteren laufen die Server nur für die Dauer der Veranstaltung. Auch das entschärft die Probleme.