Wie authentifiziere ich einen User sicher

#31 Hallo sh4rk,
wie gesagt: Lass den User ein vorher unbekanntes Wort sprechen und analysiere dann die Stimme. Wenn das Wort nicht bekannt ist, hilft kein Tonbandgerät und wahrscheinlich auch kein PC...
also: Sprechen Sie nach einer Sekunde den Satz "Ich gehe heute zur Arbeit", so schnell kann das (bislang) noch kein PC analysieren und absolut originalgetreu synthetisieren... was in zehn Jahren ist... wer weiß?

Zur Verifizierung kann man vorher dem User zwanzig Fragen stellen, wovon eine bestimmte Anzahl richtig beantwortet werden muss.

Aber es gibt hierbei, wie überall, letztlich keine absolute Sicherheit. Die Stimmenanalyse scheint aber fürs Telefon prizipiell nicht ungeeignet...

Kai

#32 Aber du musst doch Material haben, womit du den Satz dann vergleichen kannst.
Ansonsten hast du Recht.

Nur bei unbekannten Kunden, geht das auch wieder nicht..

Aber ich würde fast behaupten, dass eine sichere Authentifizierung unmöglich
ist, oder sich nicht mit dem dazu nötigen Aufwand rechnet.
__________
So wird mein Post von allen gelesen..

#33 Ich ahbe gerade in einem ix Artikel etwas gefunden, was doch exakt hier rein passt

Zitat

ix 8/2002

PAsswort-Hilfe:
Vergessene Passwörter sollen mit der neuen Anwendung Passwort Reset der
Stimmauthentifizierungssoftware[...]

Was ein Wort

Zitat

Voice.Trust (www.voicetrust.de) problemlos zu ersetzen sein.
Ein Anruf beim System, kurzer Vergleich mit der hinterlegten Stimmprobe -
schon gibts ein neues Kennwort.

Hat Kailew doch Recht
__________
So wird mein Post von allen gelesen..

#34 Hi,
siehste

hört sich alles sehr gut an... die Sicherheit lässt sich durch Rückruf, aktuelle Frage und zusätzliches Passwort sehr steigern... mehr ist wahrscheinlich nicht möglich ...

Kai

#35 Aber bei unbekannten Usern bringt das wieder nichts

Man muss also wirklich zwischen bekannten und unbekannten Usern differenzieren.

differenzieren.. ganz schön beeindrucken mein Wortschatz heute
__________
So wird mein Post von allen gelesen..

#36 Hallo,
wenn's Fragen zu VOICE.TRUST gibt - kann ich beantworten. Gleich ein paar Antworten vorweg:
Klar, man muss zwischen bekannten und unbekannten Usern unterscheiden, da führt kein Weg dran vorbei. Aber in einem vorgegebenen Rahmen (Forum, HelpDesk, ...) wird man typischerweise kostenträchtige Services sowieso nicht an Fremde verschenken.
Stimme ist ein ziemlich gutes biometrisches Merkmal. In einem einfachen kurzen Dialog können ca. 1200 charakteristische Datenpunkte extrahiert werden (vgl. 24 Minutien beim Fingerabdruck). Da sind dann auch bei einem Schnupfen noch genügend übrig für eine eindeutige Identifizieung.
Besonders interessant ist die Koppelung mit der Telefonie. Wenn keine Hardware auf User-Seite gebraucht wird (Mikrofon), entfällt auch Installation, Schulung, Wartung, ... und eine Möglichkeit hier herumzumanipulieren.
Beim Anruf am zentralen Authentifizierungsserver wird eine User-ID genannt, die kann dann sogar auf einem Zettel am Bildschirm kleben. An der erkennt das System den User und analysiert parallel dazu ob die Stimme die richtige ist. Zusätzlich fragt ihn das System zufällig ausgewählte Namenspaare ab. (Bei der Erstanmeldung spricht der User die Namen einzeln.) Ab und zu wird mal ein neuer Name hinzugenommen, ... und irgendwann weiss kein User mehr, welche Namen im zugeordnet sind, kann also auch durch "Social Engineering" nicht mehr geknackt werden.
Wer mehr wissen möchte: Andreas.battenberg@voicetrust.de