OATH One-Time-Passwörter mit Apache mod_authn_otp samt iPhone-App

Ein äußerst interessantes Projekt ist das Apache-Modul mod-authn-otp, womit sich Einmal-Passwörter gemäß dem RFC 4226 erzeugen lassen. Damit kann man hervorragend kritische Logins absichern oder Usern nur temporären Zugriff auf einen Loginbereich erlauben. Weitere Infos dazu gibt es auch auf der offiziellen OATH-Website.

Zuerst besorgt man sich den Quelltext von der Google-Code-Page des Projektes. Anschließend wird via ./configure; make modules ein .so Modul erzeugt, welches sich in Apache2 einbinden lässt. Mittels OTPAuthMaxLinger wird die maximale Gültigkeitsdauer eines Logins festgelegt (dies ist nötig, da das HTTP-Protokoll "stateless" ist).

Hier eine Beispiel-Konfiguration:

<Location /geheim>
AuthType basic
AuthName "Nutzer-Login (OTP)"
AuthBasicProvider OTP
OTPAuthUsersFile "/data/users/admin-blog/.apache22/htpasswd.otp"
OTPAuthMaxLinger 300
Require valid-user
</Location>

Zur Benutzung legt man eine spezielle .htpasswd-File nach der Vorlage hier an, welches man vorher in der Modul-Config unter OTPAuthUsersFile hinterlegt hat. Der Clou ist jedoch die Tatsache, dass man mit der iPhone-App "OATH Token" (AppStore-Link) nach Eingabe des Shared Secrets entsprechende Einmal-Passwörter generieren kann.

Wer nicht im Besitz eines iPhone ist, kann z.B. für 9,90 EUR ein kleines Gerät namens OTP C200 erwerben, welches die Passwörter ebenfalls erzeugen kann. Natürlich wäre es auch möglich, mit dem Algo aus dem RFC eigene Software dafür zu schreiben, uns hat aber die iPhone-App am besten gefallen.