SSOme: Sicherheit moderner Single Sign-On Verfahren in einer vernetzten Welt

• Antragsteller: Professor Dr. Ralf Küsters
• Fachliche Zuordnung: Sicherheit und Verlässlichkeit, Betriebs-, Kommunikations- und verteilte Systeme
• Förderung: Förderung seit 2020
• Projektkennung: Deutsche Forschungsgemeinschaft (DFG) - Projektnummer 443324941

Angetrieben von sozialen Netzwerken hat sogenanntes Single Sign-On (SSO) im Web stark an Beliebtheit und Bedeutung gewonnen. Mit Hilfe von SSO-Protokollen, wie etwa OAuth 2.0 und OpenID Connect für Nutzer-Authentifizierung und -Autorisierung, können sich Benutzer auf vielen Webseiten bequem anmelden, indem sie sich lediglich bei ihrem E-Mail-Anbieter oder sozialen Netzwerk einloggen, z.B. über "Login with Facebook" oder "Login with Google". Zudem können Benutzer Dritten Zugang zu ihren Konten gewähren, so dass diese etwa Inhalte auf der Facebook-Timeline der Benutzer veröffentlichen können. In unserer bisherigen Forschung haben wir ein umfassendes Modell der Web-Infrastruktur entwickelt und erfolgreich zur Analyse webbasierter SSO-Protokolle eingesetzt. Unsere Analysen haben dabei mehrere neue Angriffe auf weit verbreitete Standards, wie OAuth 2.0 und OpenID Connect, aufgedeckt. Zudem haben wir Vorschläge für die Verbesserung der Protokolle gemacht, die wir in unserem Modell als sicher bewiesen haben und die zu entsprechenden Anpassungen der Standards geführt haben.Derzeit verändert und vergrößert sich die Anwendungslandschaft von SSO-Protokollen, -Systemen und -Standards jedoch rasant. So finden diese heute immer mehr Anwendung außerhalb des reinen Webkontextes sowie in Hochrisikoumgebungen. Beispielsweise haben Banken begonnen, SSO-Technologien einzusetzen, um ihre Dienstleistungen online zur Verfügung zu stellen. Seit September 2019 sind Banken in der EU gesetzlich verpflichtet, ihre Systeme für Drittanbieter, wie etwa Zahlungsabwickler, zu öffnen, die Transaktionen im Namen der Nutzer durchführen können. SSO-Systeme und -Standards werden zunehmend auch für IoT-Geräte, wie Türschlösser und Autos, eingesetzt, so dass beispielsweise Benutzer andere Benutzer, wie Freunde oder Lieferdienste, autorisieren können, ihre Haustüren oder Autos zu öffnen. Darüber hinaus werden SSO-Systeme entwickelt, mit denen Ärzte digitale Rezepte für Patienten ausstellen oder vollautomatisch rechtsverbindliche Verträge abschließen können.Solche neuen Anwendungsfälle haben die Entwicklung neuer SSO-Standards, -Protokolle und -Systeme stark vorangetrieben. Der risikoreiche Charakter einiger der neuen Anwendungen, die zunehmende Verarbeitung von sensiblen und personenbezogenen Daten sowie die neuen Anwendungskontexte führen allerdings dazu, dass bisherige Ansätze für die formale Sicherheitsanalyse von SSO-Protokollen und -systemen unzureichend sind. Unter anderem werden nun stärkere und neue Sicherheitseigenschaften sowie geeignetere und realistischere Angreifermodelle benötigt.Das Ziel dieses Projektes ist deshalb die Entwicklung passender Modelle und Methoden für die formale Sicherheitsanalyse moderner SSO-Protokolle, -Standards und -Systeme, die Durchführung von Analysen solcher Standards und Systeme sowie der Entwurf beweisbar sicherer SSO-Protokolle mit neuartigen Eigenschaften für den Einsatz in den neuen, häufig hochriskanten Anwendungskontexten.

• DFG-Verfahren: Sachbeihilfen