Push- und Hardwareschlüssel

Eingegebene OTP-Codes funktionieren, sind aber umständlich und anfällig für Phishing. Zwei stärkere Besitzfaktoren verbessern Benutzerfreundlichkeit und Sicherheit: Push-Bestätigungen und Hardwaresicherheitsschlüssel.

Push-basierte MFA sendet eine Aufforderung an Ihr Telefon. Sie tippen auf Genehmigen oder Ablehnen, anstatt einen Code einzugeben.

Das ist praktisch, und der Server bestätigt die Antwort kryptografisch.

Push-Aufforderungen sind anfällig für MFA-Müdigkeit (Push-Bombing): Angreifer senden massenhaft Genehmigungsanfragen und hoffen, dass der Benutzer aus Verärgerung auf „Genehmigen“ tippt.

Verteidigung: Nummernabgleich, bei dem der Benutzer eine auf dem Anmeldebildschirm angezeigte Zahl eingeben muss.

Ein Hardwaresicherheitsschlüssel ist ein kleines physisches Gerät (USB, NFC oder Bluetooth), das eine kryptografische Authentifizierung durchführt.

Der private Schlüssel verlässt das Gerät nie, wodurch es äußerst widerstandsfähig gegen Diebstahl ist.

FIDO2 ist der offene Standard hinter modernen Sicherheitsschlüsseln. Seine Webkomponente ist die WebAuthn-Browser-API.

Zusammen ermöglichen sie einer Website, Benutzer mithilfe von Public-Key-Kryptografie statt gemeinsamer Geheimnisse zu authentifizieren.

Bei der Registrierung erzeugt der Schlüssel für jede Website ein eindeutiges Schlüsselpaar und übergibt der Website den öffentlichen Schlüssel.

Bei der Anmeldung sendet der Server eine Challenge; der Schlüssel signiert sie mit dem privaten Schlüssel. Die Signatur beweist den Besitz, ohne ein Geheimnis preiszugeben.

FIDO2 bindet jede Anmeldeinformation an die exakte Origin der Website (Domain).

Eine Phishing-Website unter einer ähnlich aussehenden Domain erhält keine gültige Signatur, weil der Schlüssel die Authentifizierung gegenüber der falschen Origin verweigert. Dadurch ist das Verfahren phishing-resistent.

Passkeys sind FIDO2-Anmeldeinformationen, die über die Plattform (Telefon, Laptop) auf Ihren Geräten synchronisiert werden können.

Sie sollen Passwörter vollständig ersetzen und dabei die Phishing-Resistenz von FIDO2 beibehalten.

Sicherheitsschlüssel können eine lokale Prüfung hinzufügen, die als Benutzerverifizierung bezeichnet wird: eine PIN oder biometrische Prüfung direkt auf dem Gerät.

Dadurch werden etwas, das Sie besitzen, und etwas, das Sie wissen oder sind, in einer einzigen Aktion kombiniert.

Ungefähr von schwach nach stark:

• SMS-Codes (wenn möglich vermeiden)
• TOTP-Apps
• Push mit Nummernabgleich
• FIDO2 / Passkeys (phishing-resistent)

Beim Einführen von Hardwareschlüsseln:

• Registrieren Sie pro Benutzer mindestens zwei Schlüssel (einen als Backup).
• Bieten Sie einen Wiederherstellungsweg an, der ebenfalls phishing-resistent ist.
• Bevorzugen Sie FIDO2 für Konten mit hohem Schutzbedarf.

Warum gelten FIDO2-Sicherheitsschlüssel als phishing-resistent?

Sie haben stärkere Besitzfaktoren kennengelernt.

• Push ist praktisch, benötigt aber Nummernabgleich, um gegen MFA-Müdigkeitsangriffe geschützt zu sein.
• FIDO2 / Passkeys verwenden websitebezogene Schlüsselpaare und Origin-Bindung als Schutz vor Phishing.
• Registrieren Sie Ersatzschlüssel.

Als Nächstes sehen wir uns an, wie MFA dennoch umgangen und weiter abgesichert werden kann.