MFA ist nicht gleich MFA Warum FIDO2 die Zukunft der Authentifizierung ist

Anbieter zum Thema

Swissbit Germany AG

FTAPI Software GmbH

Passwörter allein bieten schon lange keinen ausreichenden Schutz mehr. Angesichts moderner Angriffsmethoden wie Phishing- und Man-in-the-Middle-Angriffe braucht es neue, passwortlose Ansätze für die Authentifizierung – wie zum Beispiel sichere FIDO2-basierte Verfahren.

Benutzername und Passwort – lange Jahre der Standard für Online-Anmeldungen und die Sicherheit von Online-Konten – sind nicht länger geeignet, um in der modernen IT- und OT-Landschaft von heute ein ausreichendes Niveau an Schutz zu bieten. Ganz im Gegenteil: Schwache und/oder wiederverwendete Passwörter stellen in inzwischen ein nicht mehr vertretbares Sicherheitsrisiko dar, das die Chancen für einen erfolgreichen Phishing- oder Man-in-the-Middle-Angriff (MitM) signifikant erhöht.

Security-Insider Podcast – Folge 57

So ersetzt FIDO das Passwort per Passkey

MFA: Sicher(er), aber noch nicht perfekt

Mit Multi-Faktor-Authentifizierung (MFA) hat man in vergangenen Jahren die Sicherheit des Passworts gestärkt, indem zusätzlich zum Wissensfaktor (dem Passwort) ein weiterer Faktor zur erfolgreichen Authentifizierung erforderlich wurde – beispielsweise eine Kombination aus Wissens- und Besitzfaktor in Form eines Token-basierten Einmalpassworts (OTP). Aber der technologische Wandel setzt sich auch bei Angriffsmethoden fort: Moderne Phishing-Methoden wie Live-Relay-Angriffe können die von Token oder Apps gesendeten OTPs in Echtzeit über Proxy-Phishing-Plattformen wie Evilginx abfangen. Eine einfache Phishing-Website reicht in solchen Fällen oft aus, um vollen Zugriff über ein Konto zu erlangen.

Mit der breiten Nutzung von Smartphones wurde die push-basierte MFA eingeführt, die eine einfache Bestätigung von Logins per Push-Nachricht ermöglichte. Jedoch auch dieses Verfahren brachte ihre eigenen Schwachstellen mit, die bald durch dedizierte Angriffsmethoden ausgenutzt wurden: Beim sogenannten „Push-Bombing“ wird der Nutzer beispielsweise so lange mit gefälschten Anfragen „bombardiert“, bis er versehentlich oder aus Frustration eine davon bestätigt. Auch in diesen Fällen kann dann in Kombination mit einem Phishing-Proxy ein Konto vollständig kompromittiert werden.

Es zeigt sich also: OTP- und Push-basierte MFA-Verfahren erhöhen die Sicherheit von klassischen Passwörtern, aber das grundlegende Sicherheitsrisiko von Authentifizierungsprozessen bleibt – das Passwort. Der logische Schritt ist also diesen Faktor zu entfernen, um ein Verfahren zu gestalten, dass gegen Phishing- und MitM-Angriffe resistent ist.

privacyIDEA Workshop – Teil 1

So geht Mehr-Faktor-Authentifizierung mit Open Source

FIDO2: Passwortlose MFA mit starker kryptografischer Basis

Das FIDO2-Verfahren (auch bekannt unter dem Namen „Passkeys“) setzt sich zunehmend als neuer, passwortloser und sicherer Standard für MFA-Authentifizierungs­prozesse durch. Dieses Verfahren setzt auf asymmetrische Kryptografie: Jeder Nutzer verfügt über ein Paar an Schlüsseln („Passkeys“), bestehend aus einem privaten und öffentlichen Schlüssel. Der private Schlüssel ist ausschließlich sicher auf einem nur für den Nutzer zugänglichen Gerät, beispielsweise einem FIDO2-fähigen Token, gespeichert. Der öffentliche Schlüssel liegt auf einem Server, der sogenannten Relying Party (RP), der den eigentlichen Authentifizierungsvorgang ausführt.

Im Rahmen dieses Vorgangs sendet die RP eine Anfrage („Challenge“) an den Authenticator. Dieser unterzeichnet die Anfrage mithilfe des privaten Schlüssels und sendet die so erzeugte Response zurück an die RP. Dort wird mithilfe des öffentlichen Schlüssels die Response geprüft. Und da in der asymmetrischen Kryptographie der Grundsatz gilt „Was man mit dem einen Schlüssel des Schlüsselpaars macht, kann nur mit dem anderen Schlüssel des Schlüsselpaars rückgängig gemacht werden“, weiß die RP, dass der Ersteller der Response Besitzer des richtigen privaten Schlüssels ist und dementsprechend kann die RP Zugriff auf den Dienst gewähren. Ein falscher privater Schlüssel würde eine falsche Response liefern und die RP würde so diese Response verwerfen und den Nutzer abweisen.

Passwortlose Anmeldung

Mit Passkeys an Microsoft 365 und Azure anmelden

Phishing- und MitM-sichere Authentifizierung durch FIDO2

Damit erfüllt das FIDO2/Passkey-Verfahren auf Basis von Schlüsselpaaren das Prinzip der Zwei-Faktor-Authentifizierung: ein sicher aufbewahrter, privater Schlüssel (Besitz) und ein zweiter Faktor durch eine PIN oder eine biometrische Authentifizierung (Wissen bzw. Sein) zur Entsperrung des Authenticator, um auf den privaten Schlüssel überhaupt zugreifen zu können.

Somit bietet dieses Verfahren ein hohes Level an Sicherheit. Und auch wenn eine PIN (Wissensfaktor) zum Entsperren des Zugriffs auf den privaten Schlüssel genutzt wird, so wird diese PIN niemals übertragen und kann so nicht einfach „geangelt“ werden. Ebenfalls kann der private Schlüssel nicht gephisht werden, da dieser sicher aufbewahrt in einem Authenticator liegt und – i.d.R. – diesen nicht verlässt. Damit ist das FIDO2-Verfahren hochgradig Phishing-sicher.

Gleichzeitig schützt FIDO2 jedoch auch zuverlässig vor MitM-Angriffen – durch Origin und Token Binding. Beim Origin Binding wird die Web-Domain über die eine Registrierung erfolgt im Authenticator gespeichert und Login-Versuche über andere Domains und damit einhergehende nicht passende TLS Zertifikate blockiert. Token Binding verknüpft zusätzlich den Authentifizierungs-Token, beziehungsweise den Authenticator, per kryptografischem Verfahren mit dem Browser und Endgerät des Nutzers. Damit wird der Diebstahl einzelner Token nutzlos, da diese nicht auf einem anderen Endgerät oder mit einem anderen Browser verwendet werden können.

Ab Februar 2025

MFA wird Pflicht im Microsoft 365 Admin Center

Passkeys lokal oder synchronisiert speichern – eine Wahl zwischen Sicherheit und Komfort

Passkeys können auf verschiedene Arten gespeichert werden. Üblicherweise werden sie lokal gespeichert – oftmals im Authenticator selbst. Bei dieser Methode liegt der private Schlüssel im Authenticator und verlässt diesen niemals. Mittlerweile existiert aber auch die synchronisierte Speicherung von privaten Schlüsseln über eine Cloud. Diese Variante wird immer beliebter, da sie mehr Komfort für den Nutzer bietet, insbesondere bei Nutzung mehrerer Endgeräte.

Jedoch stellt dies gleichzeitig ein höheres Sicherheitsrisiko dar, da dabei der eigentlich sichere private Schlüssel übertragen wird und dementsprechend abgefangen werden könnte. Das tatsächliche Risiko hängt dabei stark vom Anbieter der Cloud-Infrastruktur und der Implementierung dieser ab, genau wie die Interoperabilität zwischen einzelnen Plattformen und Anbietern. Generell sollten Nutzer genau abwägen, wie viel mehr Sicherheitsrisiko ein mehr an Komfort im Einzelfall wert ist.

Passwortlose Sicherheitsverfahren effektiv implementieren

Obwohl Alternativen zum klassischen Benutzername-plus-Passwort-Verfahren also existieren und im Vergleich signifikant sicherer sind, ist die Implementierung solcher passwortlosen Authentifizierungsverfahren kein Selbstläufer, insbesondere in gewachsenen IT-Landschaften bzw. im Enterprise-Umfeld. Unter Umständen unterstützen die entsprechenden Legacy-Systeme grundsätzlich keine FIDO2-Verfahren oder sie lassen sich nicht in zentrale Identity-Management-Systeme integrieren.

Notfallaccounts überwachen und absichern

MFA-Pflicht für Break Glas-Accounts in Azure und Microsoft 365

In solchen Fällen lohnt sich eine klassische GAP-Analyse, einschließlich fundierter Ist-Analyse der Systemlandschaft, Definition eines Zielbilds für die Authentifizierungs­prozesse im Unternehmen sowie Identifizierung der momentan vorhandenen Lücken und Schwachstellen. Die Verwendung von Reifegradmodellen kann an dieser Stelle ebenfalls dabei unterstützen, eine fundierte Bestandsaufnahme zu erstellen – und auf dieser Basis tatsächlich sinnvolle Maßnahmen zu initiieren. Denn es hilft wenig, wenn die MFA-Strategie im Unternehmen zwar kontinuierlich geprüft und optimiert wird, aber die Mitarbeiter sie aus Mangel an Know-How nicht im Alltag ein- und umsetzen können.

Fazit

FIDO2/Passkeys, haben sich zu einer echten Alternative zu passwortbasierten Verfahren und zu einem Standard in der IT- und OT-Sicherheit entwickelt. Dies spiegelt sich auch in zahlreichen regulatorischen Anforderungen wie dem KRITIS-Gesetz, dem BSI IT-Grundschutz-Kompendium, NIS2, ISO 27001 und dem CISA Zero Trust Maturity Model wider, die inzwischen Phishing- und MitM-sichere MFA-Verfahren fordern.

Damit ist MFA mit FIDO2/Passkeys heute mehr als eine Zusatzmaßnahme – sie stellt den Kern von Sicherheitsstrategien dar. Das FIDO2/Passkeys-Verfahren bieten dabei die beste Kombination aus Sicherheit, Compliance, Benutzerfreundlichkeit und Zukunftsfähigkeit. Ihre Einführung erfordert jedoch eine klare Strategie, denn nach wie vor gilt: Sicherheit ist zu 20 Prozent Technologie und zu 80 Prozent Prozesse, Policies und Awareness. Am Ende sind es Menschen, die das System nutzen. Sind die dahinterliegenden Prozesse zu kompliziert oder aufwändig, ist der nächste Sicherheitsvorfall nur eine Frage der Zeit.

Über den Autor: Jan Quack ist Senior Expert Presales Engineer bei Swissbit.

(ID:50502468)