Grundlegendes Wissen von Nevis: Was ist WebAuthn

WebAuthn (Web Authentication)

Die Web Authentication API (auch bekannt als WebAuthn) ist eine browserbasierte API, die es Webanwendungen ermöglicht, registrierte Geräte (Telefone, Laptops usw.) als Authentifizierungsfaktoren zu verwenden. Sie ermöglicht es Servern, Benutzer ohne Passwort zu registrieren und zu authentifizieren. Dies vereinfacht und sichert den Prozess der Benutzerauthentifizierung und schützt die Benutzer vor komplexen Phishing-Angriffen.

WebAuthn ist eine gemeinsame Initiative des World Wide Web Consortium (W3C) und der FIDO Alliance in Zusammenarbeit mit Google, Mozilla, Microsoft, Yubico und anderen. Es handelt sich um einen offenen Standard mit einer einheitlichen Schnittstelle, der die passwortfreie Authentifizierung bei webbasierten Diensten erleichtert, indem er sich auf Public Key Cryptography (PKC) stützt.

WebAuthn ist eine JavaScript-API-Spezifikation, mit der Anwendungen sichere Authentifizierungen sowohl mit mehreren Faktoren als auch mit einem Faktor durchführen können. Die API, die von einem kompatiblen Browser bereitgestellt wird, ermöglicht es Anwendungen, mit Authentifikatoren wie Schlüsselanhängern oder Fingerabdruckscannern zu kommunizieren.

Vorteile von WebAuthn

WebAuthn bietet drei Hauptvorteile, die mehrere Interessengruppen betreffen, darunter Kunden, Produktverantwortliche, Sicherheitsteams und Support-Teams. WebAuthn:

Verbessert die Kundenbindung, indem es ein reibungsloses Anmeldeerlebnis bietet: Dank der gerätebasierten Authentifizierung macht WebAuthn Passwörter überflüssig. Das bedeutet, dass Kunden sich nicht mehr an Benutzernamen und komplizierte Passwörter erinnern müssen, um sich anzumelden, oder ein Einmalpasswort als zweiten Authentifizierungsfaktor anfordern müssen. Endbenutzer können sich einfach mit ihrem registrierten Gerät authentifizieren.

Verkürzen des Zeitraums bis zur Authentifizierung/der Time-to-Market für Produkteigner: WebAuthn macht Passwörter überflüssig. Das ist attraktiv für Produkteigner, die Barrieren für Kunden beseitigen und die Nutzung ihrer Anwendungen und Dienste vereinfachen wollen. WebAuthn sorgt für ein nahtloses Anmeldeerlebnis. Da bei der Verwendung von WebAuthn keine komplexen Passworteinstellungen berücksichtigt werden müssen (d. h. es müssen keine komplexen Architekturen zur Verwaltung und Speicherung von Passwörtern aufgebaut werden), können Produkteigner die Time-to-Market verkürzen.

Stärkung der Sicherheitsposition eines Unternehmens und des Vertrauens der Kunden: Das Vertrauen der Verbraucher ist angesichts der zunehmenden Datenschutzverletzungen besonders wichtig. Wenn Kunden ihre Informationen und Daten zur Verfügung stellen, wollen sie sich darauf verlassen können, dass diese sicher sind. WebAuthn bietet eine äusserst sichere Authentifizierungsmethode und mindert die mit Passwörtern verbundenen Risiken.

Sicherheitsteams müssen sich nicht mehr mit Problemen befassen, die mit Passwörtern verbunden sind: Da WebAuthn sich nicht auf wissensbasierte Authentifizierung wie Benutzernamen und Passwörter stützt, sondern auf benutzereigene und registrierte Geräte, ist es schwieriger, den Authentifizierungsprozess zu unterlaufen. Das ist eine gute Nachricht für alle Sicherheitsteams.

Reduzierung der Organisationslast auf Support-Anwendungen für mehrere Faktoren und verbesserte Abwärtskompatibilität: Bei der Verwendung von WebAuthn als primärer Anmeldemethode wird die Anzahl der Authentifizierungsfaktoren im Wesentlichen auf WebAuthn reduziert. Dadurch werden die Support-Zyklen erheblich verkürzt. Darüber hinaus bietet WebAuthn Abwärtskompatibilität. Das bedeutet, dass Unternehmen die bereits verteilten Token nicht sofort aktualisieren müssen. FIDO U2F-Schlüssel, wie U2F-unterstützte YubiKeys, können als Zweitfaktoren in Webbrowsern verwendet werden, die WebAuthn unterstützen. Dadurch profitieren Unternehmen von einer langsameren und besser strukturierten Migration.

Wie funktioniert WebAuthn?

WebAuthn ist eine API, die eine sichere Authentifizierung durch Anwendungen für Webdienste und dergleichen ermöglicht. Das Verfahren stützt sich auf die Standardunterstützung, die bereits in führenden Browsern und Plattformen integriert ist. So können Webdienste den Benutzern auf einfache Weise eine starke Authentifizierung mit einer Reihe von Authentifikatoren anbieten, von Sicherheitsschlüsseln bis hin zu integrierten Plattformauthentifikatoren wie biometrischen Lesegeräten.

WebAuthn greift auf die Website des Anbieters, einen WebAuthn-Client-Browser und einen FIDO2-kompatiblen Authentifikator zurück. FIDO2-kompatible Authentifikatoren können entweder FIDO U2F-Hardware-Token oder Software-Token (d. h. auf einem Smartphone gespeicherte Token) oder ein Plattform-Authentifikator wie die Betriebssysteme Android oder Windows Hello sein.

Bei der FIDO2-Authentifizierung erfolgt die Abfrage des Browsers auf der Website über JavaScript. Der Browser verwendet dann eine JavaScript-API innerhalb des Browsers, um mit dem Authentifikator zu kommunizieren. Anschliessend führt der Benutzer die erforderliche Aktion auf dem Authentifikator aus (d. h. Eingabe einer PIN oder eines biometrischen Merkmals). Nachdem die Website die signierte Authentifizierung vom Browser erhalten hat, wird die digitale Signatur mit dem vertrauenswürdigen öffentlichen Schlüssel des Benutzers überprüft. Daraufhin wird dem Benutzer der Zugang gewährt.