Sicherer anmelden mit FIDO2?
Das traditionelle Passwort ist nach wie vor das am häufigsten verwendete Authentifizierungsmittel. Gleichzeitig wissen wir, dass ein solches Passwort alles andere als sicher ist. Passwörter sind häufig zu leicht zu erraten, zu stehlen oder zu knacken, insbesondere wenn sie wiederverwendet werden. Deshalb kombinieren wir Passwörter immer häufiger mit Multi-Faktor-Authentifizierung (MFA). Dabei handelt es sich um eine zusätzliche Verifizierung, beispielsweise mit einem One-Time Password, das auf dem Smartphone des Benutzers generiert wird. So reduzieren wir das Risiko durch Angreifer erheblich.
Dennoch bleibt ein Problem bestehen. Passwörter sind in jedem Fall unpraktisch, und selbst viele gängige MFA-Methoden können heutzutage umgangen werden. Daher suchen wir nach intelligenteren Authentifizierungsmethoden. In diesem Bereich gibt es vielversprechende Entwicklungen, und in diesem Blog betrachten wir einige innovative Ansätze.
FIDO2: passwortlose Anmeldung
Seit 2018 steht unter dem Namen FIDO2 ein Set von Standards zur Verfügung, mit dem sich Benutzer ohne Passwort anmelden können. FIDO steht für Fast IDentity Online und ist ein Zusammenschluss von Unternehmen und Organisationen, der passwortlose Authentifizierung fördert und hierfür Standards entwickelt. FIDO2 nutzt dabei zwei Mechanismen: asymmetrische Verschlüsselung und Origin Binding.
Asymmetrische Verschlüsselung und Verifizierung
Bei der herkömmlichen symmetrischen Verschlüsselung wird ein Verschlüsselungsschlüssel verwendet, um Daten sowohl zu verschlüsseln als auch zu entschlüsseln. Bei dieser Art der Verschlüsselung ist es entscheidend, dass der Schlüssel niemals in die Hände Unbefugter gelangt. Daher wird beim Aufbau einer solchen verschlüsselten Verbindung in der Regel eine zusätzlich abgesicherte Methode verwendet, um die Schlüsselinformationen zu übertragen. Dabei handelt es sich um asymmetrische Verschlüsselung, bei der zwei Schlüssel verwendet werden. Informationen, die mit einem Schlüssel verschlüsselt werden, können nur mit dem anderen Schlüssel entschlüsselt werden und umgekehrt. Einen dieser Schlüssel bezeichnen wir als Private Key, der vom Eigentümer niemals weitergegeben wird. Der andere Schlüssel kann hingegen risikolos anderen bereitgestellt werden und wird daher als Public Key bezeichnet.
Dieser asymmetrische Mechanismus wird innerhalb von FIDO2 zur Authentifizierung von Benutzern eingesetzt. Dafür wird auf dem persönlichen Gerät einer Person, beispielsweise einem Laptop, ein Private Key erstellt. Der zugehörige Public Key wird anschließend mit der betreffenden Anwendung geteilt. Wenn sich der Benutzer nun anmelden möchte, generiert die Anwendung eine sogenannte Challenge. Eine solche Challenge ist eine zufällige Zeichenfolge von Daten, die an den Benutzer gesendet wird. Auf dessen Laptop wird die Challenge automatisch mit einer korrekten Antwort, der Signatur, versehen. Diese wird mit dem Private Key verschlüsselt und zurückgesendet.
So entsteht ein geschlossenes Authentifizierungsverfahren ohne Passwörter. Die empfangene Signatur beweist, dass der Private Key verwendet wurde und es sich somit um den berechtigten Benutzer handelt. Da bei jedem Anmeldeversuch eine andere Challenge gesendet wird, ist es für Hacker sinnlos, Daten abzufangen. Für diesen sicheren Handshake zwischen der Anwendung und dem Benutzer wird der WebAuthn-Standard verwendet, der Bestandteil der FIDO2-Spezifikationen ist.
Origin Binding
Mit asymmetrischer Authentifizierung verhindern Sie jedoch nicht, dass sich Personen unbeabsichtigt beispielsweise auf einer Phishing-Website anmelden. Dafür ist ein weiterer Mechanismus integriert, der als Origin Binding bezeichnet wird. Beim Erstellen eines Private Key auf einem Gerät wird auch die Domain, also die Origin, der betreffenden Anwendung oder Website gespeichert. Anschließend wird bei jedem Anmeldeversuch automatisch geprüft, ob die Challenge von dieser Domain stammt. Ist dies nicht der Fall, wird automatisch keine Antwort generiert. Dadurch ist FIDO2 phishing-resistent.
FIDO2-Anwendungsbereiche
Unter der Bezeichnung Passkey ist dieser FIDO2-Mechanismus inzwischen in die wichtigsten Betriebssysteme integriert, und immer mehr Websites und Anwendungen unterstützen ebenfalls Passkeys. Ein solcher Passkey muss einmalig beispielsweise auf Ihrem Laptop oder Smartphone konfiguriert werden, danach kann sich der Benutzer einfach anmelden. Bei der Anmeldung müssen Sie lediglich den Passkey entsperren. Dies erfolgt normalerweise über Gesichtserkennung, Ihren Fingerabdruck oder eine PIN. Abhängig von der genauen Implementierung können Sie Passkeys auch zwischen beispielsweise Ihrem Laptop und Smartphone synchronisieren. Dann müssen Sie nicht für jedes Gerät separate Passkeys verwalten.
Verwenden Sie beispielsweise einen öffentlichen oder geliehenen Computer ohne Ihre Passkeys, während Ihre Passkeys auf Ihrem Smartphone verfügbar sind? Dann können Sie mit Ihrem Smartphone einen QR-Code auf dem Anmeldebildschirm der Anwendung scannen und sich über Ihr Smartphone anmelden. Darüber hinaus sind Hardware Keys verfügbar, die Sie drahtlos oder über den USB-Anschluss mit einem Computer verbinden und als externen FIDO2-Authenticator verwenden können. Für die Kommunikation zwischen einem solchen externen Authenticator und einem Computer oder Laptop wird das Client To Authenticator Protocol, CTAP, verwendet. CTAP ist einer der FIDO2-Standards.
Wir haben bereits den Origin-Binding-Mechanismus von FIDO2 erwähnt. Damit verhindern Sie fortgeschrittene Adversary-in-The-Middle-Angriffe, AiTM. Dabei positioniert sich ein Hacker als Man-in-the-Middle zwischen einem Benutzer und der Anwendung, um Sitzungsdaten zu kopieren und parallel zum regulären Benutzer eine eigene Sitzung aufzubauen. Herkömmliche MFA-Methoden verhindern dies nicht, FIDO2-Authentifizierung hingegen schon.
Biometrische Authentifizierung
Viele Menschen gehen davon aus, dass bei Passkeys auch biometrische Authentifizierung zum Einsatz kommt. Das ist nachvollziehbar, denn wenn Benutzer einen Passkey für die Anmeldung bei einer Anwendung verwenden, müssen sie sich zunächst auf ihrem Smartphone oder Computer verifizieren. Bei Apple-Geräten ist dies mit Face ID und Touch ID möglich, und vergleichbare Fingerabdruck- und Gesichtserkennung finden Sie in Windows und Android. Diese biometrische Verifizierung ist in modernen Betriebssystemen integriert, um Geräte zu entsperren, wird aber auch bei Passkeys verwendet. Die konkreten Verifizierungsmöglichkeiten hängen vom Gerät ab, und alternativ kann auch eine PIN verwendet werden.
Es ist wichtig zu beachten, dass diese biometrische Erkennung ausschließlich lokal auf dem jeweiligen Computer oder Smartphone verwendet wird. Die Authentifizierung eines Benutzers bei einer Anwendung besteht daher tatsächlich aus zwei separaten Verifizierungsschritten. Zunächst erfolgt der lokale biometrische Scan zur Verifizierung des Benutzers und zur Aktivierung des Passkeys. Anschließend folgt die passwortlose Authentifizierung zwischen dem Gerät und der Anwendung.
Es handelt sich daher nicht um eine Ende-zu-Ende-Biometrie-Authentifizierung. Dafür müssten verschlüsselte biometrische Daten an eine Remote-Anwendung gesendet werden, um sie dort verifizieren zu lassen. Dies ist sehr komplex und bringt zahlreiche neue Sicherheits- und Datenschutzprobleme mit sich. Für gängige Unternehmensanwendungen ist dies derzeit noch nicht realisierbar.
Auswirkungen auf Ihre IAM-Umgebung
Passkeys sind somit die idealen Ersatzlösungen für Passwörter. Dennoch gibt es Aspekte rund um Ihr Identity and Access Management zu berücksichtigen. Für die Bereitstellung und Verwaltung von Konten und Berechtigungen, also die Provisioning- und Service-Automation-Module innerhalb von HelloID, ist die verwendete Authentifizierungsmethode weniger relevant. Im Bereich Access Management ergeben sich jedoch Veränderungen.
Access Management ermöglicht und verwaltet die Authentifizierung von Benutzern. So werden Benutzernamen und Passwortdaten, die sogenannten Hashcodes, häufig zentral in einem Identity Provider, IdP, gespeichert. Um ein solches Passwort festzulegen, wird beispielsweise zunächst ein initiales Passwort versendet. Damit meldet sich der Benutzer einmalig an, woraufhin das Passwort in ein persönliches Passwort geändert werden muss. Gerade dieses Enrollment wird komplexer, wenn MFA und/oder Passkeys eingesetzt werden. Eine MFA-Methode muss auf dem Smartphone einer Person eingerichtet werden, und Passkeys müssen auf dem persönlichen Computer oder Laptop einer Person erstellt werden. Auch die mögliche Synchronisierung von Passkeys zwischen mehreren persönlichen Geräten ist ein wichtiger Aspekt.
Das Endergebnis ist eine deutlich sicherere und benutzerfreundlichere Benutzerauthentifizierung, doch das Enrollment und die Verwaltung müssen sorgfältig geplant werden. Wenn Sie einen Identity Provider und Single Sign-On, SSO, verwenden, reicht in der Regel ein Passkey aus. Damit melden Sie sich sicher beim IdP an, während der Zugriff auf die angebundenen Anwendungen über SSO erfolgt.
Möchten Sie mehr über passwortlose Anmeldung erfahren?
Passwortlose Standards wie FIDO2 bieten umfassende Möglichkeiten, die Zugriffssicherheit und Benutzerfreundlichkeit zu verbessern. Als Ausgangspunkt können Sie beispielsweise Ihre bestehenden MFA-Methoden um FIDO2-basierte MFA erweitern. Damit sind Sie unter anderem besser auf AiTM-Phishing vorbereitet. Das HelloID Access Management-Modul unterstützt mehrere MFA-Methoden, darunter FIDO2-Hardware Keys. Weitere Informationen finden Sie auf der HelloID-MFA-Seite.