Sicheres Login per Smartphone

Ein Programmfehler in OpenSSL und schwupps ist deine WordPress-Seite in Gefahr. Heartbleed hat uns allen vor Augen geführt, dass ein Passwort noch lange nicht die komplette Sicherheit garantiert. Doch unsichere Passwörter sind kein neues Problem und wer mehr als eine WordPress-Seite betreibt, weiß auch wie nervig das Managen von mehreren Zugangsdaten ist. Hier setzt Clef an: Ein Plugin, das Username und Passwort ganz einfach durch dein Smartphone ersetzt. Wir haben uns den Smartphone-Schlüssel für WordPress etwas genauer angeschaut.

Clef: Passwörter werden nicht mehr benötigt. Bildquelle

Clef: Ein Smartphone für alles

Statt bei jedem Login mühsam Username und Passwort einzugeben, einfach das Smartphone herausholen, an den Bildschirm halten und schon hast du Zugriff zu deinen WP-Seiten? Das soll mit Clef, einer mobilen App, möglich sein. Die App nutzt 2048-bit RSA Verschlüsselungen und die Zwei-Faktor-Authentifizierung. Dadurch wird bei jedem neuen Login ein neuer Key generiert, das Passwort also jedes Mal verändert. Auch werden alle WordPress-Seiten, die ihr unter einem Account betreibt, untereinander verbunden. Mit einem Login per Clef habt ihr dadurch Zugang zu allen euren Webseiten. Die neuste Version, Clef 2.0, verspricht dabei auch noch mehr Features speziell für WordPress-Nutzer wie einen besonders einfachen Setup-Prozess.

Clef auf dem Smartphone nutzen. Bildquelle

Installieren von Clef

Um Clef nutzen zu können, müsst ihr einfach das Plugin bei WordPress installieren und die App für euer Smartphone herunterladen. Auf eurem Smartphone legt ihr dann einen Account an mit einer Pin und Informationen wie Vorname oder Telefonnummer, wobei die meisten Angaben optional sind. Dann kann es auch schon losgehen:

Das Setup von Clef

Das Login funktioniert mithilfe von sich bewegenden Wellen. Wenn ihr die App auf eurem Smartphone aufruft, werdet ihr dort eine ähnliche Welle wie auf eurem Monitor sehen. Jetzt einfach das Smartphone vor den Bildschirm halten, sodass die Kamera die Wellen erfassen kann und sie abgeglichen werden und schon wird eure URL angezeigt. Stimmt alles, dann einfach auf bestätigen klicken und schon könnt ihr das Clef-Login nutzen.

Mit Wellen einloggen

Wie sicher ist Clef?

Details über eure Accounts werden nicht in der Clef-Database gespeichert. Bei jedem neuen Login wird auch eine neue digitale Signatur, in Form der sich verändernden Wellen, erstellt. Kurzum: Nur jemand, der dein Smartphone hat, kann auch Zugang zu deinen Seiten haben. Deshalb solltet ihr dieses immer mit einer geheimen Pin schützen. Clef wird regelmäßig aktualisiert und verfügt über einen guten Support. Über die neusten News könnt ihr euch auf dem offiziellen Blog informieren.
http://vimeo.com/77091221

Smartphone vergessen?

Für einige sicherlich etwas gewöhnungsbedürftig ist, dass das Login nur noch per Smartphone geht. Damit auch wirklich niemand mehr Zugang zu euren WP-Seiten über Passwörter und Username hat, könnt ihr in den Einstellungen bei “Disable password login for Clef users” ein Häkchen setzen. Doch hier ist Vorsicht geboten, denn solltet ihr euch einmal ohne Smartphone wiederfinden, könnt ihr nicht mehr auf eure WordPress-Seiten zugreifen. Ist der Zugriff per Passwort weiterhin aktiviert, kann er im Notfall genutzt werden. Über die Clef-Einstellungen könnt ihr auch ein geschütztes Login per Secret-URL einrichten. So profitiert ihr weiterhin von Clefs Sicherheit, aber könnt auch zulassen, dass sich bestimmte User ohne Smartphone einloggen können oder ihr auf eurem Handy Zugang zu euren Seiten habt. Damit hier jedoch keine Sicherheitslücke entsteht: immer das Passwort so kompliziert wie möglich auswählen. Habt ihr euer Handy verloren, bietet euch Clef die Option an den Account zu deaktivieren. Dazu einfach hier Pin und E-Mail-Adresse eingeben und schon sind eure WordPress Seiten wieder vor fremden Zugriffen geschützt.

Fazit

Clef ist eine interessante Alternative zum klassischen Login per Passwort und Username, da mithilfe der Zwei-Faktor-Authentifizierung dynamische Login-Daten kreiert werden. Solange das Smartphone geschützt ist, ist es so gut wie unmöglich die immer wieder neu erstellten Zugriffsdaten zu knacken. Denn eure Login-Daten werden nicht in der Clef-Database gespeichert, sondern nur auf eurem Smartphone. Das Vertrauern in die Sicherheit eures Smartphones und die ständige Verfügbarkeit ist jedoch eine Voraussetzung für die Nutzung. Clef kann nicht nur zum Login bei WordPress eingesetzt werden, sondern zum Beispiel auch bei StartupExchange und LiveJournal. Mehr Informationen zu Clef und der Funktionsweise findet ihr bei getclef.com.

Video: ZenWorks Productions/vimeo.com