Passwortlose Multi-Faktor-Authentifizierung Wie das Smartphone zur Smartcard wird

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Cohesity GmbH

Specops Software GmbH

Beim Rechner-Login werden traditionell Passwörter verwendet. Sie bieten aber nur eine minimale Sicherheit und schränken gleichzeitig den Benutzerkomfort ein. Eine Alternative stellen Lösungen dar, die das Smartphone zur Smartcard machen und einen hochsichereren, anwenderfreundlichen Anmeldeprozess am PC unterstützen – und zwar völlig passwortlos.

Die Anmeldung am PC mit Benutzername und Passwort ist in vielen Unternehmen immer noch gängige Praxis. Dieses Verfahren ist aber weder komfortabel noch sicher, vier von fünf Sicherheitsvorfällen gehen schließlich auf gestohlene, ausgespähte oder zu schwache Passwörter zurück.

Eine Alternative existiert bereits seit Längerem, denn Smartcards und Public-Key-Kryptografie machen eine hochsichere Authentifizierung an PC-Systemen möglich. Dieses Verfahren wird jedoch eher selten genutzt, da die damit verbundenen Herausforderungen oft zu groß sind. Es setzt den Einsatz spezifischer Endgeräte mit entsprechenden Kartenlesern voraus und erfordert einen hohen organisatorischen Aufwand für die Verteilung der Smartcards an alle Mitarbeiter.

Allerdings bleibt die Entwicklung nicht stehen. Was vor zehn Jahren noch undenkbar war, ist inzwischen möglich. Dank moderner Technologien und Standards sowie des Siegeszugs mobiler Geräte können Smartphones als Smartcard genutzt werden. Sie ermöglichen Anwendern eine denkbar simple und gleichzeitig den höchsten Sicherheitsvorgaben entsprechende Anmeldung am PC, an Single-Sign-on-Programmen oder Cloud-Anwendungen. Und auch für Unternehmen entsteht durch solche Anmeldeverfahren nur ein geringer Aufwand.

Eine Smartphone-basierte und passwortlose Lösungsarchitektur basiert auf einem asymmetrischen Kryptosystem, also einem Public-Key-Verschlüsselungs­verfahren. Es beinhaltet zu einem einen Private Key, der auf dem mobilen Gerät des Users auf Hardwareebene sicher gespeichert wird, das heißt in der TrustZone. Zum anderen wird ein Public Key auf einem passwortlosen Server gesichert, der die User-Authentifizierung übernimmt. Die Registrierung eines neuen Users und Gerätes kann mit diesem Lösungsmodell in rund 30 Sekunden durchgeführt werden. Für die autorisierten Mitarbeiter startet dann die Authentifizierung in Sekundenbruchteilen am Anfang des PC-Logins. Im weiteren Arbeitsprozess kann der User im Netzwerk auch andere Authentifizierungs­prozesse wie Single-Sign-on-Anmeldungen, VPN- und Cloud-Zugriffe oder Remote-Desktop-Verbindungen passwortlos durchlaufen.

Eine Smartphone-basierte Login-Lösung muss mehrere Kriterien erfüllen, um eine höchstmögliche Sicherheit zu bieten. Dazu zählen die Multi-Faktor-Authentifizierung (MFA), die FIDO-Zertifizierung und vor allem die vollständige und durchgängige Passwortlosigkeit.

Klar ist, dass eine hohe Sicherheit eine Multi-Faktor-Authentifizierung beim Anmeldeprozess am PC erfordert, und zwar bereits beim Login am PC und nicht erst, nachdem der Anwender im Netzwerk ist. Mit einem Smartphone ist MFA problemlos umsetzbar. So kann der Login am Smartphone (Faktor: Besitz) initiiert und durch Biometrie (Faktor: Inhärenz) oder eine PIN (Faktor: Wissen) authentifiziert werden. Soll das Smartphone als Smartcard genutzt werden, muss auch der von der FIDO (Fast IDentity Online)-Allianz definierte offene Industriestandard für die Zwei-Faktor-Authentifizierung unterstützt werden.

Passwortlos ist nicht gleich passwortlos

Unter Sicherheitsaspekten entscheidend ist aber, dass der Smartphone-Einsatz eine echte Passwortlosigkeit bietet. So positionieren sich mehrere Lösungen, zum Beispiel kommen One-Time-Password (OTP)-Token in Form einer Smartphone App zum Einsatz. Sogenannte Authenticator-Programme vereinfachen den Anmeldeprozess, indem der Nutzer lediglich dazu aufgefordert wird, eine Push-Anfrage auf seinem Smartphone zu bestätigen. Dass sich auch dahinter eine passwortbasierte Anmeldung verbirgt, die vor Angreifern nur bedingt schützen kann, ist oftmals nicht bekannt.

Bei der Passwortlosigkeit ist somit ein Missverständnis auszuräumen. Sie ist nur dann wirklich gegeben, wenn nicht nur der Anwender ohne Passwörter agieren kann, sondern wenn auch im Backend keine Kennwörter vorhanden sind, also mit gespeicherten Credentials etwa in einer Datenbank. Solche Verzeichnisse sind aus Sicherheitsgründen immer problematisch, da ein Zugriff Hackern vielfältige Angriffsszenarien eröffnet. Wenn hingegen eine echte Passwortlos-Struktur vorhanden ist, sind nur Angriffe auf einzelne Personen denkbar, nicht aber auf eine Credential-Datenbank mit zahlreichen Anmeldeinformationen.

Hohe Sicherheit mit Steigerung des Benutzerkomforts

Eine passwortlose Multi-Faktor-Authentifizierungslösung macht Passwörter überflüssig und unterstützt schnelle PC-Anmeldeprozesse, die einen maximalen Benutzerkomfort bieten. Wenn ein Hardware-Token wie eine Smartcard zur Smartphone App wird, ist eine deutlich bessere Usability das Ergebnis, ohne dass die Sicherheit vermindert wird. Aber auch bei Einsatz von Smartphones für die passwortlose Authentifizierung sollte immer die Möglichkeit bestehen, alternativ FIDO-basierte Tokens zu verwenden. So können auch Anwender, denen kein Smartphone zur Verfügung steht, problemlos in die Sicherheitsarchitektur integriert werden.

Ein großer Vorteil einer passwortlosen Lösungsumgebung ist die damit mögliche Entkopplung von Identity-Plattformen. Ihre Multi-Faktor-Lösungen basieren auf Kennwörtern und Shared Secrets. Da Unternehmen nun zunehmend unterschiedliche Cloud-Services nutzen, stehen sie vor dem Dilemma, verschiedene Identitätsplattformen verwalten zu müssen. Und die Endbenutzer sind mit zahlreichen Multi-Faktor-Anmeldemethoden konfrontiert, die immer komplexer und inkonsistenter werden.

Trotz aller Standardisierungsbestrebungen der MFA-Anbieter ist es ihnen nicht gelungen, das Problem der Passwortnutzung zu lösen. Obwohl es mehr Möglichkeiten zur Anmeldung als je zuvor gibt, sind Unternehmen weiterhin stark darauf angewiesen. Zudem kämpfen sie immer noch damit, Lücken in der MFA-Abdeckung zu schließen. Mit der Entkopplung der Authentifizierung vom Lösungsangebot der Identity Provider ist es möglich, das Identitäts-Wirrwarr zu neutralisieren, MFA-Lücken zu schließen und das Versprechen der Passwortlosigkeit einzulösen.

Mit einer passwortlosen MFA-Lösung, die ein Smartphone zur Smartcard macht, steht eine Lösung zur Verfügung, die das Passwortdilemma vieler Unternehmen beseitigen kann – vor allem im Hinblick auf die Sicherheit, den Komfort, die Kosten oder den Verwaltungsaufwand. Darüber hinaus wird mit einer solchen Lösung der IT-Helpdesk entlastet, der einen teilweise hohen Aufwand bei vergessenen Kennwörtern, System-Lockouts oder fehlgeschlagenen Änderungsprozeduren hat. Aber auch eine passwortlose MFA-Lösung wird die Passwortnutzung nicht gänzlich beseitigen. Für einzelne Altapplikationen wird sie auch weiterhin erforderlich sein.

Über den Autor: Jochen Koehler ist Leiter der Region Zentraleuropa bei Hypr in Heilbronn.

(ID:47699915)