Wechsel von OTP zu FIDO2 bei Grammarly Wie die Umstellung zur FIDO2-Autentifizierung gelingt

Die Arbeitswelt ist im Wandel, hin zu einer dezentralen Arbeitsumgebung. Nach dem Ausbruch der Pandemie hat das Unternehmen Grammarly ein Remote-First-Hybridmodell eingeführt. Infolgedessen sucht das Team für Sicherheit ständig nach neuen Möglichkeiten, den Schutz der Multi-Faktor-Authentifizierung (MFA) für Teammitglieder zu stärken. Kürzlich fand deshalb der Wechsel von OTP zu FIDO2 statt.

Um den Authentifizierungsprozess im Unternehmen zu verbessern, müssen dem Sicherheitsteam erst die Schwachstellen bestehender Systeme klar werden. Daher arbeitete das Grammarly-Team mit einem White-Hat-Partner zusammen, um einen raffinierten Cyberangriff auf das bestehende OTP-System zu simulieren. Mithilfe einer erstellten Website, die die SSO-Anmeldeseite und -Adresse des Unternehmens täuschend echt imitierte, wurden E-Mails verschickt. Darin wurden die Empfänger aufgefordert, einem Link zu folgen. Das taten auch einige Empfängerinnen und Empfänger und gaben ihre Benutzernamen und Kennwörter ein. Genau hier kommt die Multi-Faktor-Authentifizierung (MFA) zum Einsatz, die eine Push-Benachrichtigung sendet und eine weitere Überprüfung des Benutzers verlangt, bevor der Zugriff auf die SSO-Sitzung gewährt wird. Jetzt sollte der Hack auffallen, doch einige akzeptierten die MFA-Push-Benachrichtigung dennoch. Warum hat die MFA-Push nicht den Tag gerettet? Erstens war die Phishing-Nachricht raffiniert und schien legitim zu sein. Zweitens hatten die Teammitglieder durch den täglichen Gebrauch einen schnellen Reflex entwickelt, auf eine mobile Authentifizierungsanfrage mit "Ja" zu antworten.

OTP vs Zwei-Faktor-Autentifizierung: Das sind die Vorteile

Nachdem das Team mittels Pentest die Schwachstellen ausfindig machte und erkannte, wie anfällig OTP für Phishing-Angriffe ist, musste eine bessere Lösung gefunden werden. Deshalb wurde beschlossen, den FIDO2-Standard mit einer Kombination aus Yubico-Sicherheitsschlüsseln (YubiKeys) und biometrischen Lösungen wie Windows Hello und macOS TouchID zu implementieren. FIDO2 ist ein relativ neuer Standard – die Unterstützung für ihn ist bei einigen Apps und Diensten noch in Arbeit. Außerdem ist es keine leichte Aufgabe, alle Teammitglieder weltweit dazu zu bringen, eine neue Art der Anmeldung zu übernehmen. Daher folgt eine Schritt für Schritt Berichterstattung, wie die Umsetzung erfolgt, welche Schlüsselerfahrungen hierbei gemacht wurden und wie Prozesse optimiert werden könnten:

Der erste Schritt: Scoping

Zunächst musste festgestellt werden, welche Systemänderungen notwendig sind, um die bestmögliche Unterstützung zu bieten. Außerdem muss weiterhin sichergestellt werden, dass die Benutzererfahrung reibungslos, bequem und konsistent über verschiedene Plattformen und Anwendungen hinweg bleibt.

Hier stößt man unter Umständen schnell auf ein Hindernis, das "eingebettete" Browser betrifft. Ein eingebetteter Browser ist beteiligt, wenn sich eine native Anwendung mit SSO auf macOS authentifiziert, indem ein Safari-Fenster geöffnet wird, um Sitzungsinformationen zu erhalten. Dies funktioniert mit Login, Passwort und OTP, aber der eingebettete Safari-Browser unterstützt FIDO2 nicht. Wir konnten keine direkte Lösung finden, und da wir in erster Linie Apple-Laptops im Unternehmen nutzen, mussten wir Workarounds einbauen: Beispielsweise haben wir den Authentifizierungsprozess für unseren F5BigIP VPN-Client komplett überarbeitet.

Die wichtigsten Erkenntnisse des ersten Schritts: Erst müssen die Voraussetzungen geprüft werden, ob alle kritischen Systeme (VPN, SSO, SaaS, Cloud-Anbieter, On-Premise, Desktop-Anwendungen und Kombinationen davon) den FIDO2-Standard unterstützen. FIDO2 kann das Passwort in SSO-Systemen noch nicht vollständig ersetzen. Es gibt immer noch Systeme, in denen Sicherheitsschlüssel nicht gut funktionieren, meist aufgrund mangelnder Unterstützung für die Web-Authentifizierung. Daher muss bedacht werden, wie Legacy-Dienste und -Anwendungen authentifiziert werden, die FIDO2 nicht unterstützen. Viele Unternehmen entwickeln Lösungen für diese Probleme: Okta hat zum Beispiel FastPass entwickelt, das wir für native Anwendungen nutzen wollen.

Der zweite Schritt: Trials

Ungefähr einen Monat vor der großen Einführung sollten Alpha-Tests mit kleinen Gruppen von Teammitgliedern gestartet werden. Bevor wir mit den Tests begannen, hatten wir bereits eine erste Dokumentation erstellt, also die wichtigsten Fragen und Anworten erarbeitet und YubiKey-Einrichtungsanleitungen zur Verfügung gestellt. Testläufe helfen dabei, die Dokumentation zu erweitern und Engpässe sowie Unklarheiten zu identifizieren.

Während der Tests haben wir wichtige Fallstricke aufgedeckt: Zum Beispiel kombinieren YubiKeys mehrere Sicherheitsschnittstellen. Eine davon funktioniert als OTP unter Verwendung eines virtuellen Tastaturtreibers; sie liefert eine zeitbasiert generierte Zeichenfolge wie "ccccccril....", gefolgt von der Eingabetaste.

Wenn man jedoch beim Schreiben auf Slack versehentlich die Kontaktplatte der Taste berührt, kann es passieren, dass man diese zufällige Textzeichenfolge plötzlich an Hunderte von Mitarbeitenden sendet. Zum Glück haben wir herausgefunden, wie man dieses Verhalten abstellen kann.

Die wichtigsten Erkenntnisse des zweiten Schritts: Testläufe sind ein wichtiges Mittel, um Feedback zu erhalten und die Benutzerfreundlichkeit zu verbessern. Die Lösung und die Handbücher müssen getestet werden, um zu sehen, wie sie mit den Geschäftsprozessen der Mitarbeitenden funktionieren.

Der dritte Schritt: Rollout

Die Herausforderung beim Rollout von Sicherheitsschlüsseln besteht darin, dass dies nicht automatisch oder programmatisch erfolgen kann. Jedes Teammitglied muss die Schlüssel selbst einrichten. Bei Grammarly haben wir dieses Problem auf verschiedene Weise gelöst: FIDO2 wurde zu einem erforderlichen Authentifikator in Okta, so dass die Nutzenden ihre biometrische Authentifizierung (TouchID) einrichten mussten. Sobald ein Teammitglied eine Möglichkeit hatte, die YubiKeys zu erhalten, starteten wir einen vom IT-Team entwickelten Slack-Bot, um den Rollout zu überwachen. Wenn sie die YubiKeys nicht einrichteten, wurden sie einmal pro Woche direkt vom Bot erinnert. Simultan sammelten wir automatisch Statistiken über die Adoptionsrate und sendeten Benachrichtigungen über unseren Bot an die Führungskräfte von denjenigen, die die Schlüssel noch nicht eingerichtet hatten. Abschließend schaltete eine spezielle Automatisierung alle Faktoren außer FIDO2 aus, wenn ein Teammitglied mindestens einen Sicherheitsschlüssel registriert hatte.

Die wichtigsten Erkenntnisse des dritten Schritts: Um die Einführung zu beschleunigen, ohne die tägliche Arbeit zu beeinträchtigen, sollten die anderen Optionen so schnell wie möglich ausgeschaltet werden. Mithilfe von automatisierten Benachrichtigungen (Bot) wird die Zielgruppe an die Fristen der Implementierung erinnert. Dadurch muss das IT-Team nicht manuell Kolleg:innen anschreiben. Die Kommunikation ist einer der wichtigsten Bestandteile einer FIDO2-Einführung: Alle Mitarbeitenden müssen über die neuen Initiativen informiert werden und verstehen, warum bestehende Prozess geändert werden. Auch die Vorteile das für das Unternehmen müssen erläutert werden für die maximale Akzeptanz.

Der vierte Schritt: Logistik

Grammarly hat 2021 das hybride Remote-First-Arbeitsmodell eingeführt. Das kommt Mitarbeitenden in vielerlei Hinsicht zugute. Für das IT-Team bedeutet das jedoch eine logistische Herausforderung bei der Bereitstellung von YubiKeys in mehreren Ländern. Für neue Teammitglieder wird die Bulk-Upload-Funktion des Yubico-Unternehmensportals genutzt, um ihre YubiKeys zusammen mit ihren Laptops zu liefern. Für bestehende Teammitglieder wird ein Selbstbedienungsmodell verwendet, das es ihnen ermöglicht, Sicherheitsschlüssel bei regionalen Yubico-Händlern zu bestellen oder sie in einem der fünf Grammarly-Hubs abzuholen.

Die wichtigsten Erkenntnisse des finalen Schritts: Verantwortliche müssen sich auf die logistischen Herausforderungen einstellen und frühzeitig planen. Das bedeutet zu verstehen, wie mit verloren gegangenen Paketen umgangen werden soll. Außerdem muss ihnen bewusst sein, dass das regionale Händlernetz von Yubico die Schlüssel nicht überall vor Ort zur Verfügung stellen kann.

Vorausschauend geplant wäre die Optimierung der Logistik von Vorteil. Es müsste eine Selbstbedienungslösung angeboten werden, mit der Teammitglieder schnell neue Schlüssel erhalten und alte ungültig machen können, wenn diese verloren gegangen sind – am besten mit zwei Klicks.

Über die Autor:іnnen: Vika Basarab ist Technical Program Managerin bei Grammarly und Igor Maxuk ist Systemingenieur bei Grammarly.

(ID:49433597)