Device Code Authentication
Device Code Authentication ist ein Anmeldeverfahren für Geräte ohne bequeme Tastatur, etwa Fernseher oder Spielkonsolen. Das Gerät zeigt einen kurzen Code an, den man am Handy oder Computer auf einer Webseite eingibt, um die Anmeldung dort abzuschließen.
Manche Geräte sind zum Tippen schlecht geeignet. Auf einem Fernseher ein langes Passwort mit der Fernbedienung einzugeben, dauert ewig und geht oft schief. Device Code Authentication löst dieses Problem mit einem Umweg. Der Fernseher zeigt eine kurze Zeichenfolge an, zum Beispiel BXQD-7RKM, und dazu eine Internetadresse. Diese Adresse ruft man am Handy oder Laptop auf und tippt die Zeichenfolge ein. Dort meldet man sich ganz normal an, und kurz darauf ist auch der Fernseher freigeschaltet.
Warum Fernseher und Konsolen einen Umweg brauchen
Ohne dieses Verfahren müssten Geräte ohne Tastatur das Passwort selbst entgegennehmen. Das ist aus zwei Gründen schlecht. Erstens ist die Eingabe mühsam und fehleranfällig. Zweitens landet das Passwort dann auf einem Gerät, dem man vielleicht gar nicht vertrauen sollte. Ein Hotelfernseher oder eine geliehene Konsole sind keine sicheren Orte für ein Google- oder Netflix-Passwort.
Beim Gerätecode-Verfahren sieht das Gerät das Passwort nie. Es bekommt am Ende nur einen digitalen Ausweis, ein sogenanntes Token. Damit darf es genau das tun, wofür man es freigeschaltet hat, und sonst nichts. Dieses Token kann man später zentral wieder entziehen, ohne das Passwort zu ändern. Wer sein altes Streaminggerät verkauft, wirft es einfach aus der Geräteliste des Kontos.
Auch für Software-Entwickler ist das Verfahren wichtig geworden. Programme, die nur in einem Textfenster laufen, können keinen Anmeldedialog anzeigen. Sie drucken deshalb ebenfalls einen Code aus und schicken den Nutzer in den Browser. Viele Kommandozeilen-Werkzeuge großer Cloud-Anbieter machen das genau so.
Was zwischen Gerät und Anmeldeserver passiert
Der Ablauf besteht aus vier Schritten. Zuerst meldet sich das Gerät beim Anmeldeserver des Dienstes und bittet um einen Code. Der Server schickt zwei Codes zurück: einen kurzen für den Menschen und einen langen, geheimen nur für das Gerät. Der kurze erscheint auf dem Bildschirm, der lange bleibt unsichtbar im Gerät.
Im zweiten Schritt gibt der Nutzer den kurzen Code am Handy ein und bestätigt dort die Anmeldung. Parallel dazu fragt das Gerät den Server immer wieder: Ist die Freigabe schon da? Dieses regelmäßige Nachfragen nennt man Polling, meist im Abstand von einigen Sekunden. Sobald die Bestätigung vorliegt, antwortet der Server nicht mehr mit « warte noch », sondern mit dem Token.
Zur Sicherheit gehört, dass der kurze Code schnell verfällt, oft nach zehn bis fünfzehn Minuten. Er ist außerdem absichtlich kurz und ohne leicht verwechselbare Zeichen. Genau hier liegt aber auch die bekannteste Schwachstelle. Betrüger erzeugen einen eigenen Code und schicken ihn per E-Mail mit der Bitte, ihn schnell zu bestätigen. Wer das tut, meldet in Wahrheit das Gerät des Angreifers an seinem eigenen Konto an. Deshalb gilt: Einen Gerätecode nur eingeben, wenn er auf einem Bildschirm vor einem steht.
Von Netflix bis zur Cloud-Konsole
Am häufigsten begegnet einem das Verfahren beim Streaming. Netflix, YouTube, Disney+ und Spotify melden Smart-TVs und Konsolen so an. Auch Sprachassistenten und smarte Lautsprecher nutzen es, weil sie überhaupt keinen Bildschirm haben und den Code vorlesen oder in der App zeigen. Technisch steckt fast immer derselbe Standard dahinter, der als OAuth 2.0 Device Authorization Grant festgeschrieben ist.
In der IT-Welt taucht der Begriff regelmäßig in Sicherheitsmeldungen auf. Angriffe mit gefälschten Gerätecodes richteten sich zuletzt gegen Firmenkonten bei Microsoft 365. Unternehmen schalten das Verfahren deshalb teilweise ganz ab oder erlauben es nur für bestimmte Geräte. Wer solche Nachrichten liest, versteht mit diesem Hintergrund, worum es geht: nicht um ein geknacktes Passwort, sondern um eine erschlichene Bestätigung.