Authentifizierungsverfahren

[nussratte]

Moin Moin,

Ich bräuchte mal etwas Schwarmwissen Unterstützung zum Thema Authentifizierungsverfahren zwischen App und Server/Backend/API

Was kennt ihr für Verfahren (eventuell auch mit Beispielen) oder was könnt ihr euch vorstellen?
Dabei ist die Umsetzbarkeit und die Sicherheit erstmal zweitrangig (weil theoretischer Ansatz für die Uni)

Username/Passwort
Das klassische, man gibt Name und Passwort an, wird an den Server geschickt und beim Match ist der User Authentifiziert.

Tan
User gibt einen Namen ein und der Server verschickt einen TAN per Mail oder sms etc. An hinterlegte Adresse/Nummer passend zum Namen der dann in der App eingegeben wird

Username/Passwort/TAN
2Faktor, Kombination aus den ersten beiden

QR-Code
Anbieter der App gibt QR-Code aus, wenn man sich einloggen will scannt man den Code, die Zeichenfolge wird an den Server geschickt und zu einem User gemappt.

Gesichtserkennung/Foto
Serverseitig wird ein Foto hinterlegt, zum einloggen muss der User ein Foto von sich machen und abschicken der Server vergleicht die Fotos

FaceID und TouchID sind dafür ja nicht geeignet weil dies nur lokal auf dem Gerät funktioniert und letztendlich auch nur Passwort „freischaltet“ was dann benutzt wird.

Wäre super wenn ihr noch weitere Idee/Anregungen habt

Danke

 

[andi42]

U2F (USB Hardwaretoken) / Smartcard
TLS-Clientzertifikat bzw andere Key-Authentifizierung
One-Time Passwörter

 

[giesbert]

Zero Knowledge

 

[thorstenhirsch]

- Authentifizierung über einen Dienst wie Google/Facebook/Twitter/OpenID/...
- 2FA über eine App auf dem Handy
- 2FA über ein Stück Hardware ("Token-Generator")

 

[nussratte]

Schon einmal danke für die Antworten.
Danach werde ich mal ne Recherche starten

Vielleicht kommen ja noch ein paar Ideen zusammen

 

[elChupete]

login with apple
single sign on mit authentifizierung durch den Windows login
Stimmmuster Erkennung (“Hi, my name is Werner Brandes. My voice is my passport. Verify Me.”)

 

[giesbert]

Seh ich das richtig, dass der Klassiker Challenge-Response noch nicht genannt wurde?

 

[elChupete]

Aus dem Bereich des eBanking

TAN (Streichliste)
iTAN
mTAN (Mobile-TAN oder SMS-TAN)
eTAN
Chip-TAN
Chip-TAN USB
Chip-TAN QR
bluetooth TAN
HBCI
EBICS
Schlüsseldiskette (ja das gabs mal)
secoder
USB-Stick mit gehärtetem Browser
USB-Stick mit gehärtetem Browser und Zertifikat
Zone Trusted Information Channel (ZTIC)
Flicker-TAN
Photo-TAN
Mobile ID
Push-TAN

dann noch
diverse EAP Verfahren

 

[Schattentanz]

ACLs https://de.wikipedia.org/wiki/Access_Control_List

 

[nussratte]

ACLs

Für ACLs müsste die Auth. aber bereits abgeschlossen sein, ich weiß der User ist der User der er vorgibt und dann schau ich in die ACLs was der darf und was nicht

 

[Schattentanz]

Für ACLs müsste die Auth. aber bereits abgeschlossen sein, ich weiß der User ist der User der er vorgibt und dann schau ich in die ACLs was der darf und was nicht

Stimmt. Da hast du recht. Danke für die Korrektur.

 

[nussratte]

Da ich das noch nicht kannte
War das lesen nicht verkehrt
Danke für den Hinweis