Steeds meer mensen lopen rond met een (hardware) token aan hun sleutelbos. Ik ook. Met behulp van zo’n hardware token  - waarop een dynamische pincode te lezen is - kun je, in combinatie met je persoonlijke pincode, bijvoorbeeld toegang krijgen tot het beveiligde netwerk van je organisatie. Er kleven echter de nodige nadelen aan zo’n token. Ik stel een alternatieve oplossing voor die deze problemen niet heeft. Deze oplossing is gebaseerd op twee ideeën.

De nadelen van een hardware token zijn:

1. Als je overal toegang wil hebben, dan moet je het hardware token overal mee naar toe nemen (en als deze zoals bij mij aan je sleutelbos hangt en je partner leent deze even dan ben je ook je token even kwijt);
2. Mensen verliezen dingen (ook tokens);
3. Tokens kosten (veel) geld (en moeten ook nog eens regelmatig worden vervangen);
4. Tokens kunnen out-of-sync. raken;
5. Iemand kan misbruik maken van het token door mee te kijken of het even te ‘lenen’.

Het eerste idee waarop de oplossing is gebaseerd is heel simpel en eenvoudig uit te voeren. Voor wie het token niet de hele tijd op zak wil dragen, maar wel een goede internetverbinding heeft (en een beetje handig is), hangt zijn token voor de webcam en publiceert het beeld met de dynamische pincode op een ‘geheime’ plek (bijvoorbeeld ergens verstopt op de eigen homepage). Met deze eenvoudige oplossing zijn we in ieder geval af van problemen 1. en 2. Je heb je token altijd bij de ‘hand’ en het hangt veilig thuis (voor de webcam).

Voor de problemen 3,4 en 5 is meer nodig. Het tweede idee is wat ingewikkelder en vereist een (publieke) infrastructuur. De oplossing hiervoor bouwt voort op het vorige idee. Maak een publiek plein van ‘geheime’ plekjes van dynamische pincodes (want dat is de primaire functie van een hardware token) – het ‘tokenplein’. Oftewel vervang het hardware token door het steeds verspringende cijfer te publiceren op een website. Op het tokenplein kunnen gebruikers hun eigen token bekijken. Ik stel me deze plek voor als het parkeerterrein van de Efteling, je hoeft alleen te onthouden waar je je auto hebt geparkeerd (bv. op het kaboutertje 2 de 6e auto). Het toewijzen van een plek kan heel veilig bijvoorbeeld door deze per post te sturen of – nog beter – de verzegelde envelop met de geheime plek te overhandigen (met fysieke verificatie van de identiteit). De plek is eenvoudig uit het hoofd te leren (zeker niet lastiger dan de gebruikelijke 4 cijferige pincodes).

Nu moet deze plek natuurlijk wel voldoende geheim zijn. Tot op zekere hoogte is de waarborg al inherent aan het feit dat het gaat om een virtueel plein; alleen jij weet waar je op het plein (een internetpagina) moet kijken. Op een fysieke parkeerplaats kun je zien wie zijn auto waar parkeert; op een virtuele plek in principe niet. Daarnaast moet de virtuele plek natuurlijk wel aan een paar basale randvoorwaarden voldoen; op de eerste plaats moeten er voldoende plekjes op een pagina staan om de kans van een toevalstreffer – ook als er een poging wordt gedaan door bijvoorbeeld een bende - voldoende klein te maken (minstens zo goed als de kans van het hardware token waar we te maken hebben met probleem 5). Hoe groot laat ik graag over aan de experts. Daarnaast moet het heel lastig zijn om de cijfers er met een computer voldoende snel vanaf te halen. Dit kan door de code visueel zodanig te vervormen dat de code wel voor mensen leesbaar is maar niet voor computers. Natuurlijk moet dit op basis van een random vervorming gebeuren. Tot slot zal het mechanisme voor het genereren van de unieke dynamische pincodes voldoende sterk moeten zijn (in tegenstelling tot de hardware tokens kan het algoritme eenvoudig worden vervangen).

Nu is de praktijk van security – in het bijzonder encryptie - dat dit een gebied is waar heel knappe koppen zich mee bezig houden. Dus mogelijk is deze oplossing binnen no time gekraakt. Hierbij dan ook de oproep aan de experts om deze oplossing met de vloer gelijk te maken of – en dat heb ik natuurlijk liever – deze oplossing te realiseren en te perfectioneren. Het leent zich in ieder geval uitstekend als Software as a Service concept.

Comments (11)