Illustration: Absmeier, Fotoblend

Passwörter sind die Achillesferse der IT-Sicherheit: Mit den richtigen Tools ist es ein Leichtes, sie in Erfahrung zu bringen. Mit dem Sicherheitsstandard FIDO2 steht jedoch bereits eine Alternative zur Verfügung, mit der eine passwortfreie, verschlüsselte und anonyme Anmeldung bei Webdiensten gelingt.

»Verglichen mit konventionellen Nutzer-Passwort-Log-in-Verfahren bietet FIDO2 dank Multi-Faktor-Authentifizierung eine deutlich kleinere Angriffsfläche für Cyberkriminelle. Denn um Zugriff auf ein mit FIDO2-gesichertes Nutzerkonto zu erhalten, müssten Angreifende über weitere Faktoren verfügen. Denn neben einer Zwei- oder Mehr-Faktor-Authentifizierung werden für den Login-Vorgang Sicherheitsschlüssel sowie Hardware-Tokens verwendet«, informiert IT-Sicherheitsexpertin und Geschäftsführerin der PSW GROUP (www.psw-group.de), Patrycja Schrenk, über den hierzulande noch recht unbekannten Sicherheitsstandard.

Anzeige

 

FIDO ist das Akronym von Fast Identity Online, einer nicht-kommerziellen Allianz global führender Tech-Giganten zur Entwicklung offener, lizenzfreier Standards für Web-Authentifizierungen. Im Jahr 2012 von PayPal, Nok Nok Labs, Infineon, Lenovo, Validity Sensors sowie Agnitio gegründet, gehören der Allianz heute neben Yubico, Google und NXP hunderte Unternehmen aus der ganzen Welt an. In enger Zusammenarbeit mit dem World Wide Web Consortium (W3C) wurde der Standard WebAuthn und das Client to Authenticator Protocol (CTAP) kombiniert. »Im Verbund von Protokoll und Standard ist mit FIDO2 eine Authentifizierung möglich, bei der sich Nutzende mit verschiedenen Faktoren, wie beispielsweise mittels Biometrie, PIN, FIDO-Keys oder Mobilgeräten bei vertrauenswürdigen FIDO2-Servern, den WebAuthn-Gegenstellen, ausweisen«, erklärt Patrycja Schrenk. Die Gegenstellen gehören üblicherweise zu einem Web-Dienst oder einer -App.

So funktioniert der Log-in mit FIDO2

Die herkömmliche Nutzer-Passwort-Anmeldung wird mit FIDO2 kryptografisch durch FIDO2-Schlüssel sowie durch FIDO2-Token ergänzt. Um den Wegfall von Passwörtern zu fördern, wird zunächst ein sicherer Kommunikationsweg zwischen Browser und dem jeweiligen Webservice registriert, bei dem die FIDO2-Keys generiert und verifiziert werden, um das Anmeldeverfahren zu verschlüsseln. »Nutzende, die sich bei einem Online-Service, der FIDO2 nutzt, registrieren, erzeugen dabei auf ihrem genutzten Gerät ein Schlüsselpaar: einen privaten sowie einen öffentlichen FIDO2-Key«, verdeutlicht Schrenk.

Der private Schlüssel bleibt auf dem Gerät der Registrierung gespeichert, der öffentliche Schlüssel hingegen wird in der Schlüsseldatenbank des Webservices registriert. Möchten sich Nutzende nun authentifizieren, gelingt dies nur, wenn der private Schlüssel nachgewiesen werden kann. »Dafür stehen verschiedene Verfahren zur Verfügung. PINs können eingegeben, Buttons gedrückt werden, Spracheingaben sind möglich oder eine Mehr-Faktor-Hardware wie der FIDO2-Token ist denkbar. Außerdem sind immer mehr Betriebssysteme – darunter Android in aktuellen Versionen sowie Windows ab Version 10 – in der Lage, ebenfalls als Sicherheitstoken zu fungieren«, ergänzt die IT-Sicherheitsexpertin. Die WebAuthn-API übernimmt die Kommunikation zwischen Server und Client, das CTAP-Protokoll die zwischen Client und Authenticator. Faktoren, die der Authenticator verwendet – seien es PINs, biometrische Merkmale oder Wissen – verlassen das lokale Endgerät während des gesamten Authentifizierungsvorgangs nicht.

»Dank standardmäßig verschlüsseltem Log-in lässt sich bei FIDO2 ein Anmeldevorgang somit nur mit dem zuvor registrierten Gerät entsperren, wodurch ein deutlich höheres Sicherheitslevel erreicht wird. Gleichzeitig lässt FIDO2 den Nutzerkomfort steigen, denn verschiedene Passwörter werden genauso unnötig wie die Eingabe der Passwörter selbst. Es genügt – je nach gewählter Option – ein Klick auf einen Button, das Einstecken des Hardware-Tokens oder eine Spracheingabe«, fasst Schrenk die Vorteile des Sicherheitsstandards FIDO2 zusammen und verweist darauf, dass sogar Phishing – eine der häufigsten Angriffsmethoden derzeit – vorgebeugt wird: »Selbst wenn Kriminellen in Kenntnis des Passworts gelangen sollten, bleibt ihnen der Zugang zu FIDO2-geschützten Konten aufgrund mehrerer Faktoren verwehrt.

Sicherheitsstandard noch in der Kinderschuhen

Noch steckt FIDO2 allerdings in den Kinderschuhen. Es existieren bislang nur wenige Webservices, die FIDO2-Authentifizierungen anbieten – immerhin die Grundvoraussetzung für die Nutzung. Da allerdings FIDO2 ein offener Standard ist, lässt sich das Verfahren recht simpel in Soft- und Hardware implementieren. »Wenn passwortfreie Log-ins möglich sind, entstehen Kosten für die externen Sicherheitstokens. Das ist insbesondere für Unternehmen relevant, in denen alle Mitarbeitenden separate Sicherheitsschlüssel benötigen«, gibt Patrycja Schrenk zu bedenken. Hinzu kommt: Wenn ein Passwort wegfällt, müssen im Rahmen der Multi-Faktor-Authentifizierung ergänzende Komponenten implementiert werden. Nutzende, die sich mehrmals täglich bei Webdiensten anmelden müssen, sollten bedenken, dass FIDO2 damit nicht zu den effizientesten Log-in-Techniken zählt.

Die IT-Sicherheitsexpertin ist jedoch zuversichtlich, was die Zukunft des Sicherheitsstandards betrifft: »In der FIDO-Allianz haben sich global führende Unternehmen zusammengefunden. Ich gehe deshalb davon aus, dass sich die Verbreitung schnell erhöhen wird. Mit Intel, Microsoft, Google, Qualcomm oder Samsung finden sich genügend Tech-Giganten, die dabei helfen werden, FIDO2 aus den Kinderschuhen zu bekommen, in denen das Verfahren derzeit noch steckt«, meint Patrycja Schrenk. Bereits in den aktuellen Versionen der Betriebssysteme Android, iOS, macOS und Windows findet sich Unterstützung für FIDO2, sodass Gerätesensoren wie Fingerabdruckscanner bereits zur Authentifizierung genutzt werden.

Weitere Informationen unter: https://www.psw-group.de/blog/authentisieren-authentifizieren-autorisieren/8752