Phishing-resistente MFA-Verfahren Das ist die Zukunft der Multifaktor-Authentifizierung

Anbieter zum Thema

Sophos Technology GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Viele MFA-Verfahren schützen nicht ausreichend vor Phishing-Attacken wie evilginx2. Security-Experte Chester Wisniewski (Sophos) erläutert, warum WebAuthn nahezu unüberwindbar ist, weshalb echte Multifaktor-Authentifizierung bidirektional funktionieren sollte – und wie sie endlich nutzerfreundlich genug wird, um breite Akzeptanz zu finden.

Nicht alle Authentifizierungsverfahren sind den immer komplexeren Bedrohungen der Gegenwart gewachsen. Im Laufe der Jahre hat sich die Branche bei ihren Versuchen, das Passwort zu ergänzen oder zu verbessern schwergetan und zudem eine ganze Latte teilweise verwirrender Begriffe eingeführt: Zwei-Faktor-Authentifizierung (2FA), Zwei-Schritt-Authentifizierung, Multi-Faktor-Authentifizierung (MFA) oder auch die Unschärfen um den universellen zweiten Faktor (U2F), Fast Identity Online 2 (FIDO2), WebAuthn und Passkeys.

Phishing trotz Zwei-Faktor-Authentifizierung

Erfolgreiche Hacks trotz 2FA – das können Unternehmen tun

Problem der einseitigen Authentifizierung

Es ist unstrittig, dass jedes Verfahren, das über das Passwort hinausgeht, eine Verbesserung der Cybersicherheit darstellt. Zu viele der einfachsten „2FA“-Möglichkeiten entsprechen aber nicht dem, was eine Zweifaktor-Authentifizierung eigentlich sein sollte. Idealerweise handelt es sich bei den beiden Faktoren um zwei der folgenden drei Arten:

• Etwas, das der Nutzer kennt (wie ein Passwort oder eine PIN),

• Etwas, das der Nutzer besitzt (wie ein USB-/ Bluetooth-Token, eine SmartCard oder ein öffentliches/ privates Schlüsselpaar)

• Etwas, das den Nutzer eindeutig definiert (wie ein Fingerabdruck oder Gesichtserkennung).

Bislang konzentrieren sich die meisten Lösungen darauf, dass nur ein Aspekt der obigen Arten verwendet wird. Wenn die Authentifizierungsmethode jedoch nur nach einem Faktor fragt, wie Kennwort und einen dynamisch generierten Geheimcode, wird ein kompromittierter Nutzer (zum Beispiel via KI-gefälschter E-Mail) beides preisgeben. Diese Art der Authentifizierung geht nur in eine Richtung: Der Betrüger verifiziert die User-Identität, aber der Nutzer selbst hat die Identität des Unternehmens, das den Nachweis verlangt, nicht verifiziert.

Es gibt frei verfügbare Werkzeuge, um diese Täuschung zu automatisieren. Eines der populärsten heißt evilginx2. Ursprünglich auf dem beliebten Webserver nginx basierend, ist es nun eine eigenständige Anwendung, die als All-in-One-Tool dient, um wissensbasierte Multi-Faktor-Authentifizierung zu fälschen, Sitzungscookies zu stehlen und so die Authentifizierung zu umgehen.

Anmelden ohne Kennwörter

Passkeys statt Passwörter

Die Anfänge der Authentifizierung

Die Geschichte der Kompromittierung von Anmeldedaten beginnt mit den kriminellen Möglichkeiten in unverschlüsselten Wi-Fi- und anderen Netzen. Die Verschlüsselung nahezu aller Daten war die Reaktion auf diese Angriffe und schützte vor Machine-in-the-Middle-Angriffe (MitM). Heute wird HTTPS fast überall im Internet und sogar in den Smartphone-Applikationen verwendet. Cyberkriminelle nahmen daraufhin den Diebstahl von Zugangsdaten ins Visier, unterschiedliche Multifaktor-Authentifizierungen sollten den Nutzer davor schützen.

WebAuthn ist nahezu Phishing-resistent

Ein anerkannter Standard in diesem Bereich ist die Web-Authentifizierungs-API oder WebAuthn. WebAuthn/ Passkeys machen die Multifaktor-Authentifizierung nahezu sicher vor Phishing und funktioniert folgendermaßen: Der Nutzer möchte ein Konto auf einer Webseite für soziale Medien erstellen. Er verwendet dazu Smartphone oder Computer mit Passkey-Unterstützung. Die Webseite fordert den Nutzer nun auf, seinen gewünschten Benutzernamen einzugeben. Das Gerät, das der Nutzer verwendet, sendet den Benutzernamen an die Webseite und sie antwortet mit dem nun gesetzten Benutzernamen, einer Aufforderung und dem Domänennamen der Seite. Das Nutzergerät generiert ein eindeutiges kryptografisches Schlüsselpaar, speichert es sicher zusammen mit dem Namen der Webseite und dem Benutzernamen, signiert die Aufforderungen der Webseite und fügt den zugehörigen öffentlichen Schlüssel hinzu, den die Webseite nun als den Nutzer-Identifikator verwendet.

Authentifizierungsbarotmeter der FIDO Alliance

Verbraucher haben keine Lust auf Passwörter

Ruft der User diese Webseite das nächste Mal auf, braucht er kein Passwort mehr einzugeben. Stattdessen sendet er den Benutzernamen, der mit dem Domänennamen der Webseite übereinstimmt. Diese antwortet mit einer Aufforderung. Das Nutzergerät sucht nach dem Schlüssel für diesen Domänennamen und verwendet ihn, um die Aufforderung zu signieren und die User-Identität zu beweisen. Mit dieser Kombination von Datenpunkten kann der Schlüssel nicht einfach gestohlen oder wiederverwendet werden und der Nutzer kann nicht zu einer gefälschten Webseite gelockt werden.

Die Verwendung von U2F-Hardware-Tokens, wie YubiKey oder SmartCard, gewährleistet, dass die Schlüssel an das Gerät gebunden sind und nicht entnommen werden können. Physischer Diebstahl ist die einzige praktische Option. Mit dem Aufkommen von Passkeys können die geheimen Schlüssel über die Cloud des Betriebssystemanbieters (iCloud, Google Drive, OneDrive) oder über den Passwortmanager (Bitwarden, 1password, usw.) synchronisiert werden, was sie jedoch anfälliger für Diebstahl macht, wenn das Nutzerkonto kompromittiert wird.

privacyIDEA Workshop – Teil 4

Keycloak an privacyIDEA anbinden

Die Zukunft der MFA lautet Bidirektionalität

Der Nutzer muss in der Lage sein, seine Identität gegenüber seinem Gerät mit einer PIN, einem Finger- oder Gesichtsabdruck nachzuweisen, und das Gerät sollte die Arbeit der Authentifizierung beider Parteien übernehmen. Das ist der wichtigste Teil dieser Transaktion – ihre Bidirektionalität. Damit Nutzer diese zum Teil für sie umständlichen Verfahren auch wirklich zu ihrer Sicherheit verwenden, ist auch die Sicherheitsbranche aufgefordert, die Handhabung der multiplen Authentifizierung zu vereinfachen.

Über den Autor: Chester Wisniewski, Director ist Global Field CTO bei Sophos.

Passwortlose Anmeldung

Mit Passkeys an Microsoft 365 und Azure anmelden

(ID:50476456)