Was ist FIDO?

Anstatt sich auf etwas zu verlassen, das ein Benutzer weiß und zur Preisgabe verleitet werden kann, nutzt die FIDO-Authentifizierung kryptografische Zugangsdaten, die an ein Gerät oder einen Authentifikator gebunden sind, über den der Benutzer die Kontrolle hat. Für Unternehmen, die sich von Passwörtern verabschieden, hat sich FIDO zu einem der grundlegenden Standards für moderne passwortlose Authentifizierung, Passkeys und phishingresistente Multi-Faktor-Authentifizierung entwickelt.

Die FIDO Alliance ist ein offener Branchenverband, der Authentifizierungsstandards entwickelt, die darauf abzielen, die weltweite Abhängigkeit von Passwörtern zu verringern. Zu ihren Mitgliedern zählen Identitätsanbieter, Gerätehersteller, Browserentwickler, Finanzinstitute und Regierungsbehörden, die alle auf ein gemeinsames Ziel hinarbeiten: die Anmeldung für die Nutzer sowohl sicherer als auch einfacher zu gestalten.

FIDO ist kein Produkt und gehört keinem einzelnen Anbieter. Es handelt sich um einen standardbasierten Ansatz, der geräte-, betriebssystem-, browser-, anwendungs- und authentifikatorübergreifend implementiert werden kann. Diese Offenheit ist einer der Gründe, warum FIDO für Unternehmen so nützlich ist. Derselbe Standard, der auf einem Sicherheitsschlüssel eines Herstellers funktioniert, funktioniert auch auf einem Plattform-Authentifikator eines anderen Herstellers, auf einem Mobilgerät oder in einem Browser. Das Ergebnis ist eine einheitliche Grundlage, auf der Unternehmen aufbauen können, ohne sich auf ein einziges Ökosystem festzulegen.

RSA ist Gründungsmitglied der FIDO-Allianz und ist Mitglied des Vorstands. RSA ist außerdem Mitglied der folgenden Arbeitsgruppen der FIDO Alliance:

• Arbeitsgruppe für den Einsatz in Unternehmen
• Arbeitsgruppe „Benutzererfahrung“
• Arbeitsgruppe „Metadaten-Dienst“
• Technische Arbeitsgruppe
• Untergruppe „Benutzererfahrung im Unternehmensbereich“
• Untergruppe „Nicht-CTAP-Software-Authentifizierung“

Vor kurzem hat die FIDO-Allianz einen Fallstudie in dem beschrieben wird, wie RSA die passwortlose Authentifizierung für seine weltweiten Mitarbeiter eingeführt hat.

FIDO steht für „Fast Identity Online“. Der Name spiegelt das Ziel des Standards wider: eine Authentifizierung, die schneller, einfacher und sicherer ist als Passwörter. Heute wird FIDO eng mit passwortloser Authentifizierung, Passkeys und phishing-resistenter MFA in Verbindung gebracht.

Die FIDO-Authentifizierung basiert auf der Kryptografie mit öffentlichen Schlüsseln. Jedes Mal, wenn sich ein Nutzer bei einem Online-Dienst registriert, generiert der Authentifikator ein eindeutiges Schlüsselpaar. Der private Schlüssel verlässt den Authentifikator des Nutzers zu keinem Zeitpunkt. Der öffentliche Schlüssel wird vom Dienst gespeichert. Wenn sich der Nutzer anmeldet, stellt der Dienst eine Herausforderung, die nur der passende private Schlüssel beantworten kann. Dadurch wird nachgewiesen, dass der Nutzer die Anmeldedaten kontrolliert, ohne dass jemals ein Passwort über das Netzwerk gesendet werden muss.

In der Praxis sieht der Ablauf wie folgt aus:

1. Ein Benutzer registriert ein Authentifizierungsgerät: Dies kann ein Gerät, ein biometrisches Merkmal, ein Sicherheitsschlüssel oder ein anderes von FIDO unterstütztes Authentifizierungsmittel sein.
2. Der Authentifikator erstellt ein Schlüsselpaar: Der private Schlüssel verbleibt beim Authentifizierer. Der öffentliche Schlüssel wird beim Online-Dienst registriert.
3. Der Benutzer überprüft dies lokal: Der Benutzer kann den Authentifikator mithilfe biometrischer Daten, einer PIN oder einer anderen lokalen Methode entsperren.
4. Der Dienst überprüft die kryptografische Antwort: Der Dienst bestätigt, dass der Benutzer den privaten Schlüssel kontrolliert, ohne den privaten Schlüssel selbst zu erhalten.
5. Die Authentifizierung gelingt, ohne dass ein Passwort gesendet wird: Dies trägt dazu bei, das Risiko von Phishing-Angriffen zu verringern und Diebstahl von Zugangsdaten.

Da kein gemeinsames Geheimnis jemals den Authentifikator des Benutzers verlässt, kann ein Angreifer, der den Netzwerkverkehr abfängt, in die Serverdatenbank eindringt oder eine überzeugende gefälschte Anmeldeseite einrichtet, nichts Brauchbares stehlen.

FIDO ist die übergeordnete Familie offener Authentifizierungsstandards. FIDO2 ist die moderne Sammlung von FIDO-Standards, zu der auch WebAuthn und CTAP gehören, und genau darauf beziehen sich die meisten Menschen heute, wenn sie von passwortlosen Anmeldungen, Passkeys und phishing-resistenter MFA sprechen.

FIDO ersetzt das Passwort durch eine kryptografische Berechtigung, über die der Benutzer die Kontrolle hat. Aus Sicht des Benutzers kann die Anmeldung beispielsweise durch einen Fingerabdruck, einen Gesichtsscan, eine Geräte-PIN, das Antippen eines Sicherheitsschlüssels oder eine Bestätigung über eine mobile Authentifizierungs-App erfolgen. Aus Sicht des Dienstes ist es der mit dieser Berechtigung verknüpfte kryptografische Nachweis, der den Benutzer tatsächlich authentifiziert.

Dies ist ein wichtiger Unterschied. Die biometrischen Daten oder die PIN sind nicht das, was der Dienst sieht. Es handelt sich vielmehr um die lokale Methode, mit der der Benutzer seinen Authentifikator entsperrt. Die Authentifizierung selbst hängt vom Besitz der FIDO-Anmeldeinformationen und der dadurch erzeugten kryptografischen Antwort ab. Genau das macht FIDO nützlich für passwortlose Authentifizierung. Der Benutzer muss nichts eingeben, ein Angreifer hat keine Möglichkeit zum Phishing, und es gibt keine wiederverwendbaren Daten, die gestohlen werden könnten. Je nachdem, wie eine Organisation das System einsetzt, kann FIDO eine vollständig passwortlose Anmeldung ermöglichen oder als starker zweiter Faktor innerhalb eines umfassenderen MFA-Prozesses dienen.

Passkeys sind FIDO-Zugangsdaten, die auf der Kryptografie mit öffentlichen Schlüsseln basieren, und sie stellen für die meisten Nutzer die übliche Art dar, wie sie die FIDO-basierte Authentifizierung im Alltag erleben. Ein Passkey kann auf einem einzelnen Gerät gespeichert sein, über einen Cloud-Anbieter auf allen Geräten eines Benutzers synchronisiert werden oder an einen Hardware-Authentifikator gebunden sein. In allen Fällen ist die zugrunde liegende Funktionsweise dieselbe: ein privater Schlüssel auf Seiten des Benutzers, ein beim Dienst registrierter öffentlicher Schlüssel und eine kryptografische Abfrage anstelle eines Passworts.

Für Unternehmen sind Passkeys vielversprechend, aber noch nicht ausgereift. Die Benutzererfahrung ist gut, und die Sicherheit ist im Vergleich zu Passwörtern deutlich höher. Unternehmen müssen jedoch noch sorgfältig darüber nachdenken, wie Passkeys ausgegeben werden, wo sie gespeichert werden, wie sie synchronisiert werden, wie sie wiederhergestellt werden, wenn ein Nutzer ein Gerät verliert, und wie sie über den gesamten Identitätslebenszyklus hinweg verwaltet werden. Die Frage ist nicht, ob Passwörter Es geht darum, ob das Bereitstellungsmodell den Sicherheits- und Kontrollanforderungen der Umgebung entspricht, in die es eingeführt wird.

FIDO-Zugangsdaten sind an die legitime Dienstdomäne gebunden. Diese Bindung macht den Standard gegen Phishing resistent. Ein Nutzer, der dazu verleitet wird, eine gefälschte Website aufzurufen, kann dort denselben Authentifizierungsablauf nicht abschließen, da die kryptografischen Zugangsdaten nicht auf eine Domäne reagieren, unter der sie nicht registriert wurden.

Ein paar Einzelheiten sind dabei von Bedeutung:

• FIDO überträgt keine wiederverwendbaren Passwörter über das Netzwerk.
• Die privaten Schlüssel verbleiben beim Authentifikator und werden dem Dienst niemals offengelegt.
• Zertifikate mit öffentlichem Schlüssel gelten nur für eine bestimmte vertrauende Partei oder Domäne.
• FIDO kann Risiken durch Phishing-Angriffe auf Anmeldedaten, MFA-Müdigkeit und bestimmte Techniken zur Umgehung der Multi-Faktor-Authentifizierung verringern.
• FIDO entfaltet seine volle Wirkung am besten in Verbindung mit einer soliden Registrierung, Wiederherstellung und Gerätesteuerung.

Aufgrund dieser Eigenschaften verweisen Analysten und Normungsgremien zunehmend auf FIDO, wenn sie über Phishing-sichere Authentifizierung. Dadurch werden die Voraussetzungen beseitigt, auf denen die meisten Angriffe unter Verwendung von Anmeldedaten beruhen.

FIDO kommt in einer Vielzahl von Unternehmensszenarien zum Einsatz, und die richtige Einsatzweise hängt in der Regel von der Benutzergruppe und dem Risikoprofil ab.

• Passwortlose Anmeldung bei Workforce: Mitarbeiter nutzen von FIDO unterstützte Authentifizierungsgeräte, um ohne Passwörter auf Unternehmensanwendungen zuzugreifen.
• Phishing-resistente MFA: Unternehmen nutzen FIDO als stärkeren Authentifizierungsfaktor für Zugriffe mit hohem Risiko.
• Authentifizierung im Bank- und Finanzwesen: Banken können die passwortlose Anmeldung auf Basis von FIDO nutzen, um Phishing-Angriffe auf Zugangsdaten zu reduzieren und die Zugriffssicherheit für Kunden und Mitarbeiter zu verbessern.
• Zugriff mit Administratorrechten: Administratoren und Benutzer mit hohem Risiko können die Anmeldedaten „FIDO“ verwenden, um eine höhere Zugriffssicherheit zu gewährleisten.
• Zugriff auf Hybrid- und Cloud-Anwendungen: FIDO kann bei Integration in die richtige IAM-Architektur eine sichere Identitätsverwaltung in Cloud-, Hybrid- und lokalen Umgebungen gewährleisten.
• Zero-Trust-IAM: FIDO unterstützt das Zero-Trust-Identitäts- und Zugriffsmanagement, indem es die Benutzerüberprüfung vor der Zugriffsgewährung verstärkt.

Die Argumente für FIDO betreffen zum einen die Sicherheit, zum anderen die Benutzererfahrung und zum dritten eine langfristige Identitätsstrategie. Zu den wichtigsten Vorteilen zählen:

• Reduziert Angriffe, die auf Passwörtern basieren: FIDO trägt dazu bei, das Risiko durch den Diebstahl von Zugangsdaten, die Wiederverwendung von Passwörtern und Phishing zu verringern.
• Unterstützt phishing-resistente MFA: Die FIDO2-Authentifizierung bietet einen stärkeren Schutz als SMS, OTP oder einfache Push-Benachrichtigungen. MFA.
• Verbessert die Benutzererfahrung: Benutzer können sich mit einem Gerät, einer Authentifizierungs-App, einer biometrischen Entsperrung oder einem Sicherheitsschlüssel anmelden, anstatt Passwörter einzugeben.
• Unterstützt die Sicherheitsziele des Zero-Trust-Ansatzes: FIDO verbessert die Identitätsprüfung als Teil einer Null Vertrauen IAM-Strategie.
• Trägt dazu bei, die gestiegenen Anforderungen an die Authentifizierung zu erfüllen: FIDO kann Unternehmen dabei unterstützen, strengere MFA-Anforderungen und Cybersicherheitsstandards zu erfüllen.
• Skalierbar für verschiedene Benutzergruppen: Unternehmen können je nach Risikostufe, Rolle und Umgebung verschiedene Arten von Authentifizierungsmethoden einsetzen.

Die Aktivierung von FIDO ist nicht gleichbedeutend mit einer erfolgreichen Implementierung. Der größte Teil des Nutzens ergibt sich aus den damit verbundenen Entscheidungen hinsichtlich Authentifizierungsmethoden, Registrierung, Benutzergruppen, Infrastruktur und Governance.

Auswahl des Authentifikators

Die meisten Unternehmen benötigen eine Kombination aus verschiedenen Lösungen. Mobile Authentifizierungslösungen eignen sich gut für den täglichen Zugriff der Mitarbeiter. Gerätegebundene Zugangsdaten und Hardware-Token sind oft sinnvoller für Benutzer mit besonderen Zugriffsrechten, in regulierten Umgebungen oder in Szenarien, in denen die Übertragbarkeit von Zugangsdaten streng kontrolliert werden muss. In Laptops und Smartphones integrierte Plattform-Authentifizierungslösungen bieten eine hervorragende Benutzererfahrung für die allgemeine Belegschaft.

Anmeldung und Wiederherstellung

Eine starke Authentifizierung ist nur so sicher wie der Prozess, der zu ihrer Einrichtung verwendet wird. Wenn ein Benutzer seine FIDO-Anmeldedaten über einen schwachen Helpdesk-Workflow oder einen passwortbasierten Fallback wiederherstellen kann, schwinden die Sicherheitsvorteile schnell. Der Wiederherstellungsprozess verdient dieselbe Aufmerksamkeit bei der Konzeption wie der Authentifizierungsablauf selbst.

Benutzergruppen und Risikostufen

Unterschiedliche Rollen bergen unterschiedliche Risiken. Benutzer mit Sonderrechten, Auftragnehmer, Lieferanten und Mitarbeiter in regulierten Arbeitsabläufen benötigen häufig Authentifizierungsverfahren mit höherer Sicherheitsstufe. Die Zuordnung von FIDO-Optionen zu den jeweiligen Benutzergruppen ist Teil einer erfolgreichen Implementierung.

Anforderungen an Cloud-, Hybrid- und lokale Lösungen

FIDO muss überall dort funktionieren, wo Identitätsmanagement erforderlich ist. Für viele Unternehmen bedeutet dies, dass es gleichzeitig in Cloud-, Hybrid-, lokalen und hochsicheren Umgebungen eingesetzt werden muss, einschließlich souveräner oder luftisolierter Bereitstellungen, in denen Ökosysteme mit Passkeys für Endverbraucher möglicherweise nicht anwendbar sind.

Unternehmensführung und Compliance

FIDO-Zugangsdaten sollten Teil des Identitätslebenszyklus sein und nicht außerhalb davon stehen. Das bedeutet, dass die Ausstellung, der Widerruf und die Prüfnachweise von Authentifikatoren mit Zugriffsrichtlinien und Compliance-Workflows verknüpft werden sollten, anstatt FIDO als eigenständige Funktion zu behandeln.

FIDO ist eines der leistungsstärksten Werkzeuge, über die Unternehmen verfügen, um Passwörter hinter sich zu lassen und die Lücke zu schließen, die Phishing-Angriffe auf Anmeldedaten seit Jahren ausnutzen. Um diesen Nutzen jedoch voll auszuschöpfen, reicht es nicht aus, Passkeys lediglich zu aktivieren. Es kommt darauf an, wie Authentifikatoren ausgegeben werden, wie die Wiederherstellung gehandhabt wird, wie Zugriffsrichtlinien geregelt werden und wie die Identitätssicherung in Cloud-, Hybrid-, lokalen und hochsicheren Umgebungen gewährleistet wird.

RSA unterstützt Unternehmen dabei, FIDO in eine umfassende passwortlose Identitätsstrategie zu integrieren – mit der Flexibilität bei der Authentifizierung, den Governance-Richtlinien und den Bereitstellungsoptionen, die Unternehmen in komplexen Umgebungen benötigen. Um zu erfahren, wie sich dies auf Ihr Unternehmen auswirkt, informieren Sie sich bei RSA passwortlose Authentifizierung und Multi-Faktor-Authentifizierung Lösungen.