manage it

Main menu

Skip to content
  • Start
  • News
  • Trends
    • Trends 2023
    • Trends 2022
    • Cloud Computing
    • Geschäftsprozesse
    • E-Commerce
    • Services
    • Infrastruktur
    • Kommunikation
    • Security
    • Wirtschaft
  • Strategien
  • Business
  • Lösungen
  • Services
  • Infrastruktur
  • Kommunikation
  • Tipps

Sub menu

  • Trends 2023
  • Digitale Transformation
  • IoT
  • Industrie 4.0
  • Digitalisierung
  • IT-Sicherheit
  • Cloud
  • BI
  • RZ
  • ERP









manage it

News | IT-Security

Passwort-Anmeldung wird mittels verschlüsselten, anonymen Log-in durch FIDO2 obsolet

18. Februar 2022

Illustration: Absmeier, Fotoblend

Passwörter sind die Achillesferse der IT-Sicherheit: Mit den richtigen Tools ist es ein Leichtes, sie in Erfahrung zu bringen. Mit dem Sicherheitsstandard FIDO2 steht jedoch bereits eine Alternative zur Verfügung, mit der eine passwortfreie, verschlüsselte und anonyme Anmeldung bei Webdiensten gelingt.

 

»Verglichen mit konventionellen Nutzer-Passwort-Log-in-Verfahren bietet FIDO2 dank Multi-Faktor-Authentifizierung eine deutlich kleinere Angriffsfläche für Cyberkriminelle. Denn um Zugriff auf ein mit FIDO2-gesichertes Nutzerkonto zu erhalten, müssten Angreifende über weitere Faktoren verfügen. Denn neben einer Zwei- oder Mehr-Faktor-Authentifizierung werden für den Login-Vorgang Sicherheitsschlüssel sowie Hardware-Tokens verwendet«, informiert IT-Sicherheitsexpertin und Geschäftsführerin der PSW GROUP (www.psw-group.de), Patrycja Schrenk, über den hierzulande noch recht unbekannten Sicherheitsstandard.

Anzeige

 

FIDO ist das Akronym von Fast Identity Online, einer nicht-kommerziellen Allianz global führender Tech-Giganten zur Entwicklung offener, lizenzfreier Standards für Web-Authentifizierungen. Im Jahr 2012 von PayPal, Nok Nok Labs, Infineon, Lenovo, Validity Sensors sowie Agnitio gegründet, gehören der Allianz heute neben Yubico, Google und NXP hunderte Unternehmen aus der ganzen Welt an. In enger Zusammenarbeit mit dem World Wide Web Consortium (W3C) wurde der Standard WebAuthn und das Client to Authenticator Protocol (CTAP) kombiniert. »Im Verbund von Protokoll und Standard ist mit FIDO2 eine Authentifizierung möglich, bei der sich Nutzende mit verschiedenen Faktoren, wie beispielsweise mittels Biometrie, PIN, FIDO-Keys oder Mobilgeräten bei vertrauenswürdigen FIDO2-Servern, den WebAuthn-Gegenstellen, ausweisen«, erklärt Patrycja Schrenk. Die Gegenstellen gehören üblicherweise zu einem Web-Dienst oder einer -App.

 

So funktioniert der Log-in mit FIDO2

Die herkömmliche Nutzer-Passwort-Anmeldung wird mit FIDO2 kryptografisch durch FIDO2-Schlüssel sowie durch FIDO2-Token ergänzt. Um den Wegfall von Passwörtern zu fördern, wird zunächst ein sicherer Kommunikationsweg zwischen Browser und dem jeweiligen Webservice registriert, bei dem die FIDO2-Keys generiert und verifiziert werden, um das Anmeldeverfahren zu verschlüsseln. »Nutzende, die sich bei einem Online-Service, der FIDO2 nutzt, registrieren, erzeugen dabei auf ihrem genutzten Gerät ein Schlüsselpaar: einen privaten sowie einen öffentlichen FIDO2-Key«, verdeutlicht Schrenk.

Der private Schlüssel bleibt auf dem Gerät der Registrierung gespeichert, der öffentliche Schlüssel hingegen wird in der Schlüsseldatenbank des Webservices registriert. Möchten sich Nutzende nun authentifizieren, gelingt dies nur, wenn der private Schlüssel nachgewiesen werden kann. »Dafür stehen verschiedene Verfahren zur Verfügung. PINs können eingegeben, Buttons gedrückt werden, Spracheingaben sind möglich oder eine Mehr-Faktor-Hardware wie der FIDO2-Token ist denkbar. Außerdem sind immer mehr Betriebssysteme – darunter Android in aktuellen Versionen sowie Windows ab Version 10 – in der Lage, ebenfalls als Sicherheitstoken zu fungieren«, ergänzt die IT-Sicherheitsexpertin. Die WebAuthn-API übernimmt die Kommunikation zwischen Server und Client, das CTAP-Protokoll die zwischen Client und Authenticator. Faktoren, die der Authenticator verwendet – seien es PINs, biometrische Merkmale oder Wissen – verlassen das lokale Endgerät während des gesamten Authentifizierungsvorgangs nicht.

»Dank standardmäßig verschlüsseltem Log-in lässt sich bei FIDO2 ein Anmeldevorgang somit nur mit dem zuvor registrierten Gerät entsperren, wodurch ein deutlich höheres Sicherheitslevel erreicht wird. Gleichzeitig lässt FIDO2 den Nutzerkomfort steigen, denn verschiedene Passwörter werden genauso unnötig wie die Eingabe der Passwörter selbst. Es genügt – je nach gewählter Option – ein Klick auf einen Button, das Einstecken des Hardware-Tokens oder eine Spracheingabe«, fasst Schrenk die Vorteile des Sicherheitsstandards FIDO2 zusammen und verweist darauf, dass sogar Phishing – eine der häufigsten Angriffsmethoden derzeit – vorgebeugt wird: »Selbst wenn Kriminellen in Kenntnis des Passworts gelangen sollten, bleibt ihnen der Zugang zu FIDO2-geschützten Konten aufgrund mehrerer Faktoren verwehrt.

 

Sicherheitsstandard noch in der Kinderschuhen

Noch steckt FIDO2 allerdings in den Kinderschuhen. Es existieren bislang nur wenige Webservices, die FIDO2-Authentifizierungen anbieten – immerhin die Grundvoraussetzung für die Nutzung. Da allerdings FIDO2 ein offener Standard ist, lässt sich das Verfahren recht simpel in Soft- und Hardware implementieren. »Wenn passwortfreie Log-ins möglich sind, entstehen Kosten für die externen Sicherheitstokens. Das ist insbesondere für Unternehmen relevant, in denen alle Mitarbeitenden separate Sicherheitsschlüssel benötigen«, gibt Patrycja Schrenk zu bedenken. Hinzu kommt: Wenn ein Passwort wegfällt, müssen im Rahmen der Multi-Faktor-Authentifizierung ergänzende Komponenten implementiert werden. Nutzende, die sich mehrmals täglich bei Webdiensten anmelden müssen, sollten bedenken, dass FIDO2 damit nicht zu den effizientesten Log-in-Techniken zählt.

Die IT-Sicherheitsexpertin ist jedoch zuversichtlich, was die Zukunft des Sicherheitsstandards betrifft: »In der FIDO-Allianz haben sich global führende Unternehmen zusammengefunden. Ich gehe deshalb davon aus, dass sich die Verbreitung schnell erhöhen wird. Mit Intel, Microsoft, Google, Qualcomm oder Samsung finden sich genügend Tech-Giganten, die dabei helfen werden, FIDO2 aus den Kinderschuhen zu bekommen, in denen das Verfahren derzeit noch steckt«, meint Patrycja Schrenk. Bereits in den aktuellen Versionen der Betriebssysteme Android, iOS, macOS und Windows findet sich Unterstützung für FIDO2, sodass Gerätesensoren wie Fingerabdruckscanner bereits zur Authentifizierung genutzt werden.

 

Weitere Informationen unter: https://www.psw-group.de/blog/authentisieren-authentifizieren-autorisieren/8752

 

 

 

 

Weitere Artikel zu Verschlüsselung Log-In Passwort-Anmeldung FIDO2

Zur Startseite →

← Zurück

 

 

button_veranstaltungen

button_leserservice

button_artikelarchiv

button_mediaservice

button_top20

  1. Meinung über künstliche Intelligenz geteilt
  2. Internet im Home Office – So schnell sollte die Leitung wirklich sein
  3. Regionalranking: Das sind die Sieger und Verlierer bei den Landkreisen
  4. Das Spielautomaten-Gesetz 2023 – Diese Regelungen sind neu
  5. 70 Jahre NATO: Was die NATO-Staaten fürs Militär ausgeben

Verlags-Service

  • Impressum
  • Datenschutzerklärung
  • Mediaservice/Mediadaten
  • Leserservice/Abonnements
  • Mediaservice-Login
  • Ihr ePaper-Abonnement

Folgen Sie uns

Copyright © 2014 – 2022 ap Verlag GmbH