Seit Längerem versucht Google, seine Nutzer von der Zwei-Schritt-Verifizierung zu überzeugen, um die Sicherheit ihrer Konten zu verbessern. Der klassische Weg verlangt ein Mobilgerät, doch es gibt eine Alternative: den USB-Schlüssel.
Google führte die Unterstützung für USB-Schlüssel im Oktober 2014 ein und kam nach mehr als zwei Jahren interner Tests zu dem Schluss, dass sie anderen ähnlichen Lösungen überlegen sind.
Der Schutz unserer Konten ist kritisch, aber gute IT-Sicherheit verlangt Parameter, die nicht alle Nutzer befolgen wollen. So finden sich einfache und wiederholte Passwörter, offene Sitzungen auf fremden Computern oder der Umgang mit sensiblen Daten in unverschlüsselten Netzwerken. Eine gute Strategie ist die Zwei-Schritt-Verifizierung. Mit einem Mobiltelefon lassen sich die zusätzlichen Codes per SMS empfangen; mit einem kompatiblen Smartphone können die Codes über eine lokale App erzeugt werden – vorausgesetzt, der Dienst bietet das überhaupt an. Doch Google ist überzeugt, dass es etwas Besseres gibt: ein klassisches Konzept – der USB-Schlüssel.
Die interne Studie von Google
Google führte über mehr als zwei Jahre ein Studium durch, an dem 50.000 Mitarbeiter teilnahmen, um Nutzen und Robustheit der USB-Schlüssel im Vergleich zu anderen Zwei-Schritt-Methoden wie Smartphones und Smartcards zu bewerten. Die Schlüssel basieren auf dem offenen Standard USF (Universal Second Factor), der zunehmend von Dritten unterstützt wird – Google, Opera, Dropbox, GitHub und Mozilla über eine Erweiterung stehen an der Spitze der Liste. Die Ergebnisse setzten die USB-Schlüssel über den Rest. Mobilgeräte können durch Malware kompromittiert werden, ihnen geht der Akku oder das Signal aus, und herkömmliche SMS sind nicht verschlüsselt. Smartcards wiederum benötigen spezielle Lesegeräte und Treiber, die ihren Betrieb in bestimmten Umgebungen erst ermöglichen.
Warum USB-Schlüssel überlegen sind
Im Gegensatz dazu lassen sich USB-Schlüssel an jeden verfügbaren Anschluss anschließen, benötigen keine externe Stromversorgung, ihre kryptografischen Signaturen sind extrem robust, sie kosten wenig (ab neun Euro), tragen sich wie ein zusätzlicher Schlüssel und – am wichtigsten – sie sind eine Ergänzung. Keine Schutzmethode ist perfekt, also sollten wir möglichst viele Hürden in den Weg legen. Laut Google gehören USB-Schlüssel zu den besten.
Zugriff auf die Studie (PDF):
