Zwei-Faktor-Authentifizierung schützt nun Linux-Kernel-Quelltext

Die mit Git verwalteten Quelltexte des Linux-Kernels unter kernel.org hat die Linux Foundation nun mit einer Zwei-Faktor-Authentifizierung abgesichert. Das gab sie auf dem Linux Kernel Summit bekannt. Die Einführung ist eine Reaktion auf einen Einbruch auf kernel.org vor drei Jahren.

Die Stiftung verschärfte nach dem Einbruch die Zugangskontrollen, indem sie private SSH-Schlüssel für Kernel-Entwickler ausgab. Doch wie Konstantin Ryabitsev erklärt: “SSH-Schlüssel sind zwar weit sicherer als einfach Passwörter, aber sie können auch in bösartige Hände fallen – wenn etwa eine Entwickler-Workstation kompromittiert wird oder jemand Zugriff auf schlecht gesicherte Backups bekommt.”

Die strengeren Kontrollen sehen nun einen zweiten Faktor neben User-ID und Passwort vor. Im “Soft-Token”- oder im “Hard-Token”-Verfahren wird ein Einmalcode generiert. Google oder Twitter verwenden zum Beispiel Soft-Token: Dabei erzeugt eine Smartphone-App den Einmalcode. Als Hard-Token gelten separate Geräte, die solche Codes erzeugen – etwa RSAs SecurID oder der YubiKey.

Ryabitsev zufolge seien Hard-Tokens sicherer, aber auch ein “Soft-Token ist dramatisch besser als überhaupt keine Zwei-Faktor-Authentifizierung”. YubiKey-Hersteller Yubico hat hundert bei kernel.org registrierten Entwicklern ein Hard-Token gestiftet.

Die Linux-Quelltexte sind unabhängig vom Token durch den HMAC-based One-time Password Algorithm (HOTP) und den Time-based One-Time Password Algorithm (TOTP) der Initiative For Open Authentication (OATH) abgesichert. Beide sind Sicherheitsstandards der Internet Engineering Task Force (IETF).

Um Ärger über die Sicherheitskontrolle zu vermeiden, müssen beim Log-in Passwort und sechsstelliger Zufallscode nicht jedes Mal angegeben werden. Das Git-Werkzeug gitolite hat die Linux Foundation so konfiguriert, dass ein einmal authentifizierter Nutzer mit seinem Namen und einer Internetadresse für 24 Stunden validiert wird. Es lasse sich sogar auf bis zu 30 Tagen erweitern, falls ein Entwickler größtenteils von einem Ort aus arbeitet, erklärt Ryabitsev

Die Zwei-Faktor-Authentifizierung funktioniert für den Mainline-Kernel und die stabile Version bereits. Vorerst ist ihr Einsatz nicht verpflichten, das wird sich in Zukunft aber ändern.

Eine Zwei-Faktor-Authentifizierung mittlerweile beispielsweise Apple, Microsoft, Twitter und Tumblr ein. Dass sie immer nur so stark ist wie die verwendeten Algorithmen, zeigt der Fall von Paypal, dessen Zwei-Faktor-Authentifizierung im letzten Monat zweimal geknackt wurde.

[mit Material von Florian Kalenda, ZDNet.de]

Tipp: Wie gut kennen Sie sich mit Open Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de