Abschied vom Passwort mit FIDO2
 

Im c't Magazin 18-2019 wird der Abschied vom Passwort angekündigt. Wie's aussieht, scheint sich in diesem Bereich endlich mal wirklich was Wegweisendes zu tun. Eine spannende Artikelserie, die sicher noch einige Diskussionen auslösen wird.

Ich hab's mit zwei Konten (Microsoft und Dropbox) mal ausprobiert. Wär schön, wenn sich das System breit durchsetzen würde.

Der Eingangsartikel kann frei gelesen werden, die Detailartikel dann leider nur in der aktuellen c't. Aber sehr lesenswert.

Abschied vom Passwort

Praktisch wäre eine solche Lösung schon, aber ohne lesen des Artikels im Heft sehe ich noch nicht, wie das sicher funktioniert. Wenn so eine eine für alles Lösunng geknackt oder gestohlen wird, dann ist auch wirklich alles hin. Wie ist es, wenn man für bestimmte Dinge auch ausgewählten, anderen Personen zugang geben möchte?

Wie identifiziert man sich als die berechtigte Person, die die Authentifizierungsfunktion des Gerätes benutzen darf? Biometrische Daten sind riskant (besonders Fingerabdrücke), denn wenn diese einmal gestohlen und misbraucht worden, steht man möglicherwese plötzlich in allen möglichen Dateien von Strafverfolgungsbehörden, obwohl man nichts getan hat. Zur Sicherheit biometrischer Daten siehe z.B.:
https://www.tagesschau.de/wirtschaft...daten-105.html
https://www.globalsign.com/de-de/blo...entifizierung/
https://www.deutschlandfunknova.de/b...ten-als-risiko
https://www.heise.de/newsticker/meld...n-3934463.html
https://www.heise.de/security/meldun...z-4496575.html

Traue dem keinen Milimeter über dem Weg.
Wenn die FANG Monopolisten was zusammen basteln dann sollten bei einem selbst die Sirenen heulen...
Am besten gleich noch mit Libra gekoppelt, damit wenn man mal einen nicht konformen Kommentar postet gleich mit einer 10tägigen Transaktionssperre (nix mehr kaufen) belegt wird.

https://youtu.be/g1VeElBAeas
https://youtu.be/ricI5t66cj8

Das System ist sicherer und komfortabler, als ein Passwort.

Es basiert eben nicht auf biometrische Daten sondern auf die Kombination eines mittels Hardware generierten Schlüssels mit einer Benutzer Verifizierung.

Ich hab's bei mir mit dem PC und dem Handy probiert. Beim PC handelt es sich um einen Microsoft Surface PC, der über ein Trusted Platform Module (TPM) verfügt. Das ist ein Chip nach der TCG-Spezifikation, der einen Computer oder ähnliche Geräte um grundlegende Sicherheitsfunktionen erweitert.

Wenn ich nun zum Beispiel bei Microsoft einlogge, braucht es einen Schlüssel und meine Authentisierung. Bei mir läuft die über die Gesichtserkennung mit Windows Hello. Wenn also jemand meinen Microsoft Account hacken will, braucht er meinen PC und mich davor, anders geht's nicht. Also es gibt kein Passwort mehr, das geklaut werden oder mir abgeluchst werden kann. Der Nachteil: Wenn der PC geklaut wird, muss ich entweder mit einem anderen Gerät oder einem Backup des Schlüssels zugreifen können. Ich mache das mit dem Handy, da habe ich die IRIS Erkennung drauf, und hier gilt dasselbe: Wenn mir jemand das Handy klaut, kann er sich nicht bei MS einloggen, sondern braucht zusätzlich meine biometrischen Daten.

Also die biometrischen Daten alleine genügen nicht, es ist die Kombination von Verschlüsselung und biometrischen Daten.

Die Verschlüsselung kann auch über ein Token, das man z.B. am Schlüsselbund mit sich trägt, gemacht werden (auch als Backup).

Also das System ist definitiv einfacher und sicherer, als die Authentisierung über ein einfaches Passwort.

Du scheinst da was zu verwechseln. Hier geht es um eine Erweiterung, die das W3C unterstützt und nicht um irgendeine proprietäre Lösung.

Quelle: c't 18-2019

An welcher Stelle haben die 16 amerikanischen Geheimdienste ihren Zutritt, um mitlesen zu können? Sie lassen sich doch eine weltweit einheitliche Useranmeldung nicht entgehen. ???

Ich werde mir das mal durchlesen und die Entwicklung beobachten.

Klingt auf jeden Fall besser als Biometrie. Biometrie-Daten werde ich auf jeden Fall maximal zur Handy-Entsperrung nutzen. Ein Passwort ist schnell geändert, sofern man noch nicht ausgesperrt wurde. Bei einem Finger oder eine Iris sieht das anders aus: Klick!

P.S.: Eine absolute Sicherheit wird es nie geben.

Die melden sich direkt bei MS und Co, wenn sie an meine Daten wollen, weil sie meine Identität nicht mehr klauen können ...

Wie BeHo geschrieben hat: Absolute Sicherheit gibt es nicht. Aber das neue Verfahren ist allemal einfacher und sicherer als die Sicherung mit einem Passwort.

man lese dazu auch noch
https://www.heise.de/security/meldun...z-4496575.html

Wo bekommt man dann im Zweifelsfall noch ein neues Gesicht und neue Fingerabdrücke her:crazy:

Beitrag #7 hast Du wohl nicht gelesen?

Edit: Und Beitrag #2 wie ich auch zumindest nicht komplett. :oops:

Ich habe in dem Video nicht eine einzige Erklärung gefunden was Fido2 sein soll, zu benutzen ist, nur blablabla. Ich bleib beim Passwort. :flop:

Welches Video? :shock:

Er meint wohl das Video, das im PDF "Abschied vom Passwort" verlinkt ist ...

Okay, es ist nicht ganz einfach, FIDO2 zu erklären. Ich versuche Mal, die Schritte aufzuzeigen, die es braucht, damit das funktioniert. Angenommen, die Seite sonyuserforum.de (SUF) unterstützt optional auch die Anmeldung ohne Passwort mit FIDO2. Dann würde das wie folgt ablaufen:

Registrierung:

SUF fragt mich nach dem Usernamen und der Art der Authentifizerung (Passwort oder FIDO).

Ich wähle HaPeKa als Usernamen und FIDO als Authentifizierungsmethode.

Mein PC startet die Gesichtserkennung um die User Verification durchzuführen und erkennt mich.

Ich kann nun über einen OK Button (in meinem Fall ein PopUp von Windows Hello) die Bestätigung geben, dass der Browser mit SUF Schlüssel austauschen darf.

Mein PC generiert das Schlüsselpaar (einen öffentlichen und einen geheimen Schlüssel), das für die Kommunikation mit SUF genutzt werden muss und der Browser schickt SUF den öffentlichen Schlüssel, der dem User HaPeKa zugeordnet und gespeichert werden kann.

Login:

Ich rufe über den Browser die SUF Seite auf und gebe HaPeKa als Login ein.

Da ich kein Passwort eingegeben habe, fragt SUF nach dem öffentlichen Schlüssel (Protokoll läuft für mich nicht sichtbar im Hintergrund zwischen SUF und meinem Browser ab).

Mein PC startet die Gesichtserkennung um die User Verification durchzuführen und erkennt mich.

Ich gebe über den OK Button mein Einverständnis, dass der Browser mit SUF Schlüssel austauschen darf.

Mein PC generiert das Schlüsselpaar und der Browser schickt SUF den öffentlichen Schlüssel zu.

SUF gleicht den öffentlichen Schlüssel mit dem bei SUF gespeicherten ab. Stimmt er überein, kommt die Kommunikation zustande und ich habe mich ohne Passwort einloggen können.

Was ist anders bei FIDO2 im Vergleich zum Passwort Login?

In der SUF Datenbank ist kein Passwort gespeichert, das geklaut oder missbraucht werden kann, nur ein öffentlicher Key, der ausschliesslich für die Kommunikation von meinem PC mit SUF genutzt werden kann.

Auf meinem PC ist kein Passwort oder Schlüssel gespeichert. Der Schlüssel wird erst erstellt, wenn der PC mich erkannt hat und ich die Einwilligung zur Kommunikation gegeben habe.

Es werden zu keinem Zeitpunkt Geheimnisse ausgetauscht oder biometrische Daten gesendet, die belauscht oder abgegriffen werden können, es wird lediglich ein öffentlicher Schlüssel gesendet, der exklusiv für die Kommunikation zwischen SUF und meinem PC genutzt werden kann.

Wenn ich ausser dem PC auch auf meinem Handy mit SUF kommunizieren will, muss ich auch mit dem Handy ein Schlüsselpaar erstellen und SUF den öffentlichen Schlüssel zukommen lassen. SUF muss also für jedes Endgerät, das HaPeKa nutzt, einen öffentlichen Schlüssel speichern.

Noch kurz zum asymetrsichen Schlüsselverfahren: Mit einem öffentlichen Schlüssel (public key) wird Klartext so unlesbar gemacht, dass er nur mit den dazugehörigen geheimen Schlüssel (private key) wieder lesbar gemacht werden kann.

Ich hoffe, das ist nun auch für nicht IT Fachleute etwas verständlicher erklärt.

Weitere Infos zum FIDO Verfahren gibt es hier auf englisch

Wenn ihr wissen möchtet, ob euer PC oder euer Handy FIDO2 tauglich ist, könnt ihr auf der webauthn.io Seite einen Test machen. Das sollte bei einem aktuellen Windows 10 (1903) oder mit Android problemlos funktionieren. Mit älteren Windows 10 Versionen funktioniert das nur mit dem Edge Browser, erst ab der aktuellsten Version 1903 auch mit Chrome, Firefox u.s.w.

webauthn.io

Wie oben am Beispiel SUF erklärt, gebt ihr für die Regsitrierung erst einen Usernamen an und drückt auf Register. Das sollte dann eine User Verification auslösen. War das erfolgreich, kann dann in einem zweiten Schritt das Login getestet werden.

Die FIDO2 Technologie ist neu, aber ich bin überzeugt, dass sie in nächster Zeit einiges bewegen wird und bin gespannt, wann die ersten Webseiten FIDO2 als Option anbieten werden.

Gut Ding will bekanntlich Weile haben :D

Vielen Dank für die ausführliche und verständliche Erklärung!

Ich verstehe noch nicht, wo da der Vorteil sein soll. Meine (durchgängigen) Apple Geräte stellen bei Nutzung einmal fest, dass es sich tatsächlich um mich handelt. Anschließend verwaltet der Schlüsselbund die Passwörter und ich kann mich überall anmelden. Und zahlen, wenn ich das möchte. Bequemer wird es mit dieser Allianz sicher nicht.

Es geht um das Prinzip, Zugriff mit Passwörtern oder ohne.

Deine Implementation ist zugegebenermassen ähnlich einfach in der Handhabung, ausser, dass du dir für jeden Dienst erstmal ein Passwort ausdenken musst. Die Verwaltung entlastet dich dann vor dem Erinnern. Das können alle anderen Passwortmanager auch.

Der Nachteil von Passwörtern, unabhängig davon, wie sie verwaltet werden, liegt in der Tatsache, dass es sie gibt und braucht. Sie können bei dir oder beim Dienstanbieter (z.B. SUF) gestohlen werden. Sie können durch einen Man-In-The-Middle Angriff abgegriffen werden.

Und in deinem Fall: sie werden zusätzlich auch bei Apple gespeichert. Apple mag das, darum scheinen sie an einem FIDO2 Erfolg nicht sonderlich interessiert zu sein.

Beim FIDO2 entfällt das eben, weil bei jedem Zugriff auf ein System, das eine hohe Sicherheit erfordert, nur noch Schlüssel ausgetauscht werden. Das erhöht die Sicherheit massiv.

Ich gehe mal davon aus, dass Telebanking- und Online-Shop Systeme die ersten sein werden, die umstellen werden. We'll see ...

Thema finde ich interessant.
Mir ist die Bindung an die HW nicht recht.
Ich muss zur Sicherheit immer zwei Geräte verbinden und kann nicht einfach andere HW nutzen. Bei uns Haushalt gibt es recht viel alte HW 5/7 (inkompatibilität nicht sicher).
Für finanzielle Themen ggf interessant, aber einschränkend.
Ich habe ja eine "clevere" Passwortregel, die ich meiner Familie beizubringen versuche. Für die wäre FIDO dann eher was. Zumal meine Tochter alles am Smartphone macht.
Wie sichere ich meinen Zugang mit nur einer HW ab?

da hast du recht, bequemer nicht, wenn's mal eingerichtet ist.

Es wird jedoch nicht lange dauern, da wird dir die Apple Marketing Maschinerie vorschwärmen, wie viel einfacher es ist, statt mit dem Apple Schlüsselbund die Funktion "Login mit Apple" zu nutzen, die Tim Cook im Juni diesen Jahres als Lösung für das Passwort Problem vorgestellt hat. Solltest du diese Umstellung vornehmen, weiss Apple dann sehr genau, wann, wo und wie oft du auf welche Webseite einloggst.

Hier noch die berechtigten Bedenken des Heise Redaktors zu diesem "Login mit xxx" Teufelszeug :D

Das ist die Herausforderung, die FIDO2 mit sich bringt und an der wohl auch noch gefeilt wird.

Die einfachste Möglichkeit ist der Einsatz eines Hardware-Tokens am Schlüsselbund oder an einem sicheren Ort hinterlegt (siehe PDF Link im ersten Post). Aber das ist ja die zweite Hardware, die du ausschliessen möchtest.

Ich hab das FIDO2 Prinzip als zweiten Faktor bei Dropbox eingestellt, und Dropbox handhabt das so, dass mir am Ende des Registrierungsvorgangs ein Backupschlüssel angezeigt wird, den ich ausdrucken und sicher verwahren kann. Sollte ich dann mal die Hardware wechseln, sollte ich ähnlich wie beim "Passwort vergessen" Vorgang einen "Schlüssel ersetzen" Vorgang starten können, bei dem ich mit dem Backup Schlüssel meine Identität bestätigen kann. Das habe ich aber noch nicht durchgespielt ...

Klar darf dieser Backup Schlüssel nicht als ScreenShot auf dem PC im Bilderordner landen, damit wäre die Sicherheit ja ausgehebelt und jemand, der meinen PC gehackt hat, hätte dann auch Zugriff auf meine Dropbox ...

Also Backup Key schön ausdrucken und sicher verwahren oder in einen VeraCrypt Container versorgen :D

Ich bin sicher, es wird noch verschiedene Ansätze geben, um beim Wechsel des Handys einen neuen Schlüssel mit dem Account zu verknüpfen.

Der Sinn ist ja, von Passwörtern und Passwortdiebstahl wegzukommen. Wie sicher und komfortabel das neue System tatsächlich ist, bleibt zu beobachten. Mit vielen verschiedenen Geräten und wenn man öfters unterwegs ist, mag es komplizierter werden. Allerdings habe ich an meinen Geräten i.d.R. keine Kamera, oder sie ist abgeklebt. Kann die Gesichtserkennung nicht durch ein Foto ausgehebelt werden?
Auf meinem Smartphone mache ich außer dem Playstore nichts, wo ich mich einloggen müsste.

Bzgl. Apple nehme mal Bezug auf den von HaPeKa verlinkten Artikel:

Der Artikel (grauer Kasten) geht noch weiter.
https://www.heise.de/select/ct/2019/18/1566917336782380

@hapeka
2. HW schließe ich nicht aus. Token wäre für mich ok.
Wenn ich für jeden Online Schlüssel noch ein Backup sichern müsste, fänd ich das zu aufwendig. Da geht der Vorteil durch Komfortverlust verloren.

@reisefoto
Betrug durch Foto lässt sich sicher leicht absichern. Videoauschnitt anstatt Foto und das das Video von einem Kopf und nicht von einem Bild ist, sollte leicht feststellbar sein.

Die Gesichtserkennung nutze ich für die sogenannte "User Verification" (UV), also zum Sicherstellen, dass ich es bin, der den Austausch der Schlüssel erlaubt. Die UV muss nicht zwingend mit der Gesichtserkennung erfolgen, ich habe bei mir am PC den Anmeldeprozess damit verbunden, weil das für mich die einfachste Art ist.

Die User Verification kann auch durch Fingerabdruck, Iriserkennung oder PIN erfolgen, also mittels eines Geheimnisses, das nur ich kenne. PIN wäre für mich jedoch zu unsicher, weil jeder, der mir mal über die Schulter schaut, den PIN erkennen und sich merken kann.

Versteht mich nicht falsch, ich wollte euch mit diesem Thread nicht animieren, euer Passwortsystem umzustellen. Dafür ist es noch zu früh. Ich wollte eigentlich nur darauf aufmerksam machen, dass sich da was tut, das unsere Art, wie wir in Zukunft mit Passwörtern umgehen, wesentlich verändern könnte.

Zur Zeit ist das von Martin beschriebene System eines Passwortmanagers immer noch das einfachste und, wenn individuelle starke Passwörter genutzt werden, auch ein sehr sicheres. Das von Dey betrachte ich als das Flexibelste, weil es überall auf verschiedenen Systemen verschiedener Hersteller eingesetzt werden kann.

Ich verwende wie Dey auch ein Passwortsystem, bei dem ich für jeden Dienst ein Passwort herleiten muss und ich betrachte das als Gehirnjogging :D

Erinnert ihr euch noch an die Zeit, wo man ein Dutzend oder mehr Telefonnummern auswendig kannte? Die Adressverwaltung auf den Telefonen ist zwar praktisch, aber hat auch dazu geführt, dass wir uns Telefonnummern kaum mehr merken wollen (und können).

Bei den Passwörtern zeichnet sich mit FIDO2 etwas ähnliches ab. An was werden wir uns in Zukunft noch erinnern müssen? Womit werden wir unsere Synapsen fit halten?

Es wird bestimmt eine Lösung für dieses Problem geben, habe an anderer Stelle was von temporären Schlüsseln für den Wechsel von Hardware A auf Hardware B gelesen, weiss aber (noch) nicht, wie dieser Ablauf vor sich gehen könnte.

Bei einem Telebankingsystem habe ich beim Wechsel des Handys bei der Bank einen neuen Freischaltcode anfordern müssen, der mir dann per Post zugestellt wurde. Das war aber noch keine FIDO2 Authentisierung sondern eine mittels CrontoSign.

Kein PDF, auf der verlinkten heise-Seite das Video.
Danke für deine ausführliche Erklärung. :top:

Auf die Post möchte ich nicht warten müssen.

@HaPeKa: Danke für die Erklärung, ich bin gerade dabei die c't Artikel zu lesen, aber deine Erklärungen sind schon mal übersichtlicher als die ersten Seiten :)

Danke, hab ja auch versucht, es etwas vereinfacht zu erklären ...

Das System scheint mir gut durchdacht zu sein, selbst für Leute, die sich intensiv mit Sicherheitsfragen befassen müssen. Aber es gibt noch einige Hürden zu nehmen, z.B. die Akzeptanz beim User und den Dienstebetreibern. Zudem muss die Verwaltung von Schlüsseln und deren Ersatz, wenn die User die Hardware wechseln, auf einfache und einleuchtende Weise gelöst werden. Gute Ansätze sind vorhanden, aber noch nichts Standardisiertes.

Heise hat zum Thema FIDO2 noch ein paar Infos auf der Online Seite bereitgestellt.

Insbesondere, wie FIDO2 vor Phishing schützt und welche Restrisiken bestehen ...

Leider nur lesbar, wenn man heise+ abboniert.

hmm, sorry, jetzt hab ich's auch gesehen ... bin da ja angemeldet.

Nachtrag: Kopie des kostenpflichtigen Artikels gelöscht.

Danke sehr. Hoffentlich bekommst du jetzt nicht mit heise Ärger.

Hat sich erledigt ... SUF soll keinen Ärger mit Heise kriegen :roll:

Man merkt, dass du von Apple keine Ahnung hast. Die Apple Geräte schlagen automatisch sichere Passwörter vor. Und zwar pro Website/Anwendung getrennt. Man muss sich um nichts kümmern.
Dazu muss man erst mal die sichere Verbindung entschlüsseln. Und beim Dienstanbieter liegen sie hoffentlich auch nicht im Klartext vor.
Dort liegen sie nur mit starker Verschlüsselung. Apple kann sie nicht auslesen.

Bald wirst du dir einen Chip implantieren lassen. Wie Hund und Katze heute schon. Viel Spaß, wenn du überfallen wirst und es die Täter auf deinen Chip abgesehen haben.

Stimmt :D

Und das "Apple System" arbeitet so, wie es andere Passwortmanager wie KeePass auch machen. Wie bereits geschrieben, zur Zeit eine der sichersten Methoden, mit den genannten Nachteilen, die FIDO2 nicht hat.

Aber FIDO2 steht am Anfang und es ist noch lange nicht sicher, ob sich das Prinzip durchsetzen wird. Leider gibt es einige, die das aus Eigeninteresse nicht unterstützen werden. Apple gehört dazu ...

Heise stellt ggfs. auch eigentlich kostenpflichtige Inhalte gratis zur Verfügung, wenn es der Verlag so entscheidet - auch auf Anregung der Leserschaft. Und selbst kostenfrei abrufbare Inhalte dürfen grundsätzlich nicht einfach so ohne Zustimmung woanders wiedergegeben werden.

Ist gelöscht, wen's wirklich interessiert, kann sich die Ausgabe ja am Kiosk oder online kaufen. Lohnt sich für IT Interessierte auf jeden Fall. Die c't habe ich seit der Erstausgabe auf der Systems 83 in München mehr oder weniger regelmässig gelesen, es gab und gibt all die Jahre nichts Vergleichbares in deutscher Sprache :top:

Interessantes Konzept und der vermutlich erste Vorteil eines TPM chips fuer Endanwender. Leider wird es beim Boardwechsel etc dann vermutlich richtig eklig.

Heise hat auf Heise Security ein FAQ dazu gepostet:

FAQ: FIDO2 und der Abschied vom Passwort

Wie letzten Freitag bekannt wurde, gab es eine iPhone Hack, der jahrelang nicht entdeckt wurde, und der sogar die Keychain ausgelesen hat. Deine Passwörter könnten also bereits anderen bekannt sein, selbst, wenn du sie nicht auswendig kannst ...

Quelle: Heise Security
iPhones über Jahre mit bösartigen Implants infiziert

Findest Du es nicht etwas schäbig die Apfeljünger so zu erschrecken? :crazy: