NFC-Token für Android-Smartphones

Das Hardware-Token Yubikey Neo bringt ein interessantes Konzept für Einmalpasswörter auf NFC-fähige Android-Smartphones: Das Token sendet das generierte Passwort über den Nahfunkstandard NFC ans Smartphone, wodurch das Eintippen entfällt. Um etwa den Passwort-Tresor LastPass aufzusperren, streicht man den Yubikey-Schlüsselanhänger nach dem Login einfach über die Rückseite des Smartphones.

Das Token kann so konfiguriert werden, dass es nach dem NFC-Kontakt eine beliebige URL öffnet, an die das Einmalpasswort bereits als Parameter angehängt ist. Eine spezielle Software muss man dazu nicht installieren – der Schlüsselanhänger nutzt eine Funktion namens Android Beam, die Google mit Ice Cream Sandwich in sein Mobil-Betriebssystem eingebaut hat. Apps können sich darüber hinaus als Handler für die vom Yubikey geöffnete URL eintragen, wodurch sie nach dem Kontakt mit dem Token automatisch gestartet werden.

Je nach Implementierung können die generierten Einmalpasswörter beim Login direkt als Passwort genutzt oder zusätzlich zum statischen Passwort abgefragt werden (Zwei-Faktor-Authentifizierung). Im letzteren Fall ist der Account auch dann noch geschützt, wenn die Zugangsdaten mal in die falschen Hände geraten – schließlich kann man das zum Login nötige Einmalpasswort nur erzeugen, wenn man Zugriff auf das Token hat.

Neben der NFC-Schnittstelle hat das Yubikey Neo auch eine USB-Schnittstelle, über die es sich etwa gegenüber dem PC als Tastatur zu erkennen gibt – die Installation eines Treiber entfällt. Drückt man auf den Knopf des Tokens, sendet es das Einmalpasswort als Tastatureingabe an den Rechner. Der Passwort wird nach einem vom Hersteller entwickelten Verfahren auf Basis von AES-128 generiert. Näheres hierzu findet man in der Dokumentation (PDF-Datei) ab Seite 34.

Momentan bietet der Hersteller Yobico sein NFC-fähiges Token in einer für Entwickler gedachten Vorserien-Version für 50 US-Dollar an. Im vierten Quartal soll die Produktion der Endkundenversion anlaufen. (rei)