Genügt Phishing-Resistenz? FIDO Passkeys – bereit für den Einsatz im Unternehmen?

Anbieter zum Thema

RSA Security Germany GmbH

Fsas Technologies GmbH

Passkeys sind dank Consumer-Diensten wie Google, Apple, Facebook & Co. immer stärker verbreitet. Durch die Verwendung von Passkeys steigt die Sicherheit im Vergleich zur reinen Passwortanmeldung deutlich. Manche Consumer-Lösung schwappt auch in Unternehmen über - aber ist das im Falle von Passkeys überhaupt Sinnvoll?

Die FIDO Alliance wurde von verschiedenen Firmen (u.a. PayPal) gegründet, um einen Authentifizierungsstandard zu entwickeln, welcher ursprünglich als 2. Faktor verwendet werden sollte. Daraus entstand dann die passwortlose Anmeldemethode “Passkey”, welche heute eine der beliebtesten passwortlosen Anmeldemethoden ist.

Die FIDO Alliance hat einen starken Fokus auf das Consumer Umfeld. Kein Wunder: die größten Mitglieder sind in diesem Bereich tätig: Apple, Google, PayPal, Microsoft.

Passkeys verwenden intern asymmetrische Schlüsselpaare, um eine Authentifizierung an einem Dienst durchzuführen. Wird ein Passkey bei einem Dienst registriert, wird ein neues Schlüsselpaar auf dem Passkey generiert und der Dienst vertraut dann genau diesem Schlüsselpaar. Dabei wird das Schlüsselpaar auf dem Passkey mit dem genauen Domainnamen des Dienstes verbunden. Dadurch entsteht die hohe Phishing-Resistenz: würde ein Nutzer versuchen sich mit dem Passkey auf einer Phishing-Seite anzumelden, würde der Passkey dies unterbinden, da die Domainnamen nicht übereinstimmen.

Passkeys kommen in zwei Varianten: Device-bound und Synced.

Device-bound Passkeys sind z.B. USB Sticks. Dort werden die Schlüsselpaare generiert und gespeichert. Das Schlüsselmaterial verlässt niemals den Passkey.

Synced Passkeys sind z.B. Smartphones oder Tablets. Das Schlüsselmaterial wird über ein sogenanntes Sync-Fabric auf alle anderen Geräte des Nutzers synchronisiert. Die zwei großen Sync Fabrics sind Google und Apple. Registrieren Sie also z.B. Ihr Android Telefon als Passkey, befindet sich das entsprechende Schlüsselmaterial kurz danach auf all Ihren anderen Android Geräten.

Synced Passkeys sind – neben der Unterstützung weit verbreiteter Dienste wie z.B. WhatsApp oder Facebook – ein Hauptgrund für die stark steigende Verwendung von Passkeys.

Ursprünglich war der Name “Passkey” nur für synchronisierte FIDO Authentifikatoren gedacht. Die FIDO Alliance entschied sich aber, alle möglichen FIDO Authentifikatoren als Passkeys zu bezeichnen, nachdem der Begriff “Passkey” so viel Aufmerksamkeit erhalten hatte. Google und Apple haben marketingtechnisch einfach gute Arbeit gemacht.

Anmelden ohne Kennwörter

Passkeys statt Passwörter

Vorteile von Passkeys

Passkeys sind eine MFA Methode und dabei erstmal richtig gut darin. Speziell die hohe Phishing-Resistenz bekommt viel Aufmerksamkeit. Es ist auch vorteilhaft, sich keine Gedanken mehr über klassisches Phishing machen zu müssen. Wo kein Passwort verwendet wird, kann keines gestohlen werden. Das stimmt zwar auch für andere passwortlose MFA-Methoden; aber FIDO hat eben zusätzlich die starke Bindung an den Domainnamen des Zieldienstes.

Immer mehr Nutzer sind mittlerweile mit Passkeys vertraut – was Schulungen vereinfachen kann und auch die Unterstützung von Passkeys durch MFA-Anbieter wie RSA Security ist schon seit Jahren gegeben.

Nicht alles ist rosarot

Passkeys bringen allerdings auch ein paar Herausforderungen und Probleme mit sich.

Für eine Lösung, welche im Consumer-Umfeld groß geworden ist, ist die Benutzerführung bzw. das Nutzererlebnis manchmal eine Herausforderung.

Dialoge, welche z.B. den Nutzer auffordern den Passkey in den USB-Port zu stecken oder die PIN einzugeben, sehen je nach Betriebssystem und Browser unterschiedlich aus. Dadurch wird es ggf. Schwieriger, Nutzer zu schulen und Support-Calls zu minimieren.

Dass diese Dialoge nicht vom Diensteanbieter modifiziert werden können hat seinen Grund: Angreifer können Dialoge eben nicht nachbauen und Anwender dadurch austricksen und z.B. PINs ausspähen. Der Nutzer wundert sich bestenfalls nur, warum sich die Anmeldung von einem Gerät zum nächsten deutlich unterscheidet.

Die hohe Phishing-Resistenz ist ein klarer Vorteil, kann aber auch ablenken. Wer denkt, durch den Einsatz von Passkeys gegen Social-Engineering Angriffe plötzlich immun zu sein, irrt sich gewaltig. Passkeys helfen gegen eine Social-Engineering Attacke: Phishing. Da gibt es aber leider noch andere Varianten. Die Angriffe auf z.B. das MGM Grand Hotel oder das Caesar-Palace in Las Vegas hatten u.a. eine Social-Engineering Komponente: den Help Desk ausnutzen, um dem Angreifer zu ermöglichen einen MFA-Authentifikator selbst zu registrieren.

Angreifer passen sich selbstverständlich an. Die Verbreitung von MFA hat Phishing wesentlich unattraktiver gemacht, also ist es nur natürlich, dass Schwachstellen rund um das MFA-System ausgenutzt werden. Wie eben z.B. die Art und Weise, wie Nutzer sich registrieren. Wer denkt, Passkeys lösen diese Probleme, irrt sich gewaltig.

Die Perspektive zählt

Allein der Einsatz in einer anderen Umgebung als von der FIDO Alliance ursprünglich vorgesehen, macht aus einem eindrucksvollen Feature möglicherweise ein Sicherheitsrisiko. Ahnen Sie worum es geht?

Vielleicht hatten Sie während des Lesens dieses Artikels bei der Erwähnung des Sync-Fabrics schon ein mulmiges Gefühl. Ihr Bauch hatte Recht. Die Tatsache, dass Synced Passkeys auf allen Geräten, auf denen der Nutzer via Apple oder Google angemeldet ist wie von Geisterhand erscheinen, ist im Unternehmensumfeld tatsächlich nicht unproblematisch.

Sollen die Nutzer mehrere (ggf. auch privat genutzte) Geräte zur Authentifizierung überhaupt verwenden dürfen? Wenn ja... wie viele?

Einen “verlorenen” Passkey wieder herzustellen ist dann mit den Account-Wiederherstellungsprozessen von z.B. Google oder Apple möglich. Das ist großartig... aber sind diese Prozesse für Sie sicher genug?

Das Apple-Feature, dass Nutzer Passkey mit Freunden oder der Familie teilen können, ist ja ganz nett... aber trifft das auch auf Passkeys zu welche für die Anmeldung an Unternehmensanwendungen verwendet werden?

Die Sicherheit des Unternehmens hängt auf einmal wesentlich von der technischen und organisatorischen Sicherheit von Apple und Google ab. Klar, eine gewisse Abhängigkeit ist durch den Einsatz von iOS und Android sowieso gegeben - aber Synced Passkeys erhöhen diese Abhängigkeit beträchtlich.

Hopp oder Topp?

Ob Passkeys im Unternehmen zum Einsatz kommen sollten, ist nicht pauschal zu beantworten.

Zuerst sollte die Einführung von Passkeys oder allgemein von passwortloser Anmeldung dazu verwendet werden, die Prozesse rund um MFA grundlegend zu überprüfen. Was seit 15 Jahren für Hardware OTP Token gut war, ist heute für Passkeys oder anderen MFA-Methoden wahrscheinlich nicht mehr ganz zutreffend. Wie werden Authentifikatoren registriert? Gibt es Prozesse, die das “Ich habe meinen Authentifikator verloren”-Szenario sicher behandeln? Wie sieht es mit der Klassifizierung von Nutzern, Anwendungen und Daten aus?

Passkeys sind eine MFA-Methode von vielen. Ja, die Phishing-Resistenz ist fantastisch, aber - können sich die Nutzer auch auf einem ihrer Remote Desktops damit anmelden?

Aus diesen und vielen anderen Gründen ist es wichtig, dass Ihr MFA-System nicht nur technisch auf dem neuesten Stand ist. Dazu gehört mittlerweile nicht nur die Unterstützung verschiedenster MFA-Methoden wie QR-Codes, Biometrie, OTP, Push-Nachrichten und eben auch FIDO Passkeys.

Es ist ebenso wichtig, dass die Prozesse rund um MFA auf neue Bedrohungen angepasst werden. Das geht weit über das eigentliche MFA-System hinaus: Ist ihr Helpdesk auch sicher vor Social Engineering Angriffen?

RSA bietet mit ID Plus eine umfassende MFA-Lösung, welche Teil der RSA Unified Identity Plattform ist. FIDO Passkeys werden selbstverständlich unterstützt - falls in einer Policy Passkeys erlaubt werden. Die Registrierung von Synced Passkeys wird in der Standardkonfiguration übrigens verhindert.

Einer schrittweisen Einführung oder auch nur einem beschränkten Piloten von Passkeys steht somit, zumindest von der technischen Seite her, wenig im Wege.

Über den Autor: Ingo Schubert ist seit 22 Jahren bei RSA Security beschäftigt und hat in Sachen IAM und MFA schon einiges mitgemacht. Als Field-CTO bei RSA Security wird er öfter in interessante Projekte verwickelt, bei denen ihm etliche Dinge ein Deja Vu bescheren - ein Zeichen fortschreitenden Alters und hoffentlich auch steigender Erfahrung.

Neue Standards für Authentifizierung

Die Ära der Passkeys

(ID:50119432)