Anmelden auf Knopfdruck

Wir beginnen unseren Test mit der Webseite Webauthn.io. Hier können wir die Fido-Sticks testweise registrieren und uns dann mit dem Stick per Webauthn anmelden. Das funktioniert weitgehend unter Windows 10 1809 mit Firefox, Edge und Chrome sowie unter Ubuntu 18.04 mit Firefox. Die Betaversion des Nitrokeys hat mit Chrome und Edge noch Probleme, bis zur Veröffentlichung sollen diese jedoch behoben sein. Im Praxistest wird die Zwei-Faktor-Authentifizierung dann auch problemlos funktionieren.

Mit Chromium unter Ubuntu 18.04 funktionieren die Fido-Sticks anfangs gar nicht. Das Chromium-Paket lässt sich unter Ubuntu sowohl klassisch als auch im Ubuntu-eigenen Paketformat Snap installieren. Letzteres macht massive Probleme bei der Verwendung von Fido-Sticks, mit Firefox 70 klappt jedoch alles ohne Probleme. Zudem müssen unter Ubuntu und vielen anderen Linux-Distributionen zuerst Udev-Regeln hinterlegt werden, damit diese auch erkannt und verwendet werden können. Nitrokey weist auf der Installationsseite des Vorgängermodells auf die Udev-Regeln hin, Solokeys bietet eine Anleitung, auf die in den FAQ verwiesen wird. Bei aktuellen Linux-Distributionen reicht es jedoch, das Paket libu2f-udev zu installieren. Ab der Version 1.1.10 sind hier die entsprechenden Udev-Regeln für die Solokeys bereits hinterlegt. Der Nitrokey Fido2 soll bald folgen.

Kryptographische Zwei-Faktor-Authentifizierung auf Knopfdruck

Anschließend testen wir die Zwei-Faktor-Authentifizierung der Sticks mit Dropbox und Google. Im Unterschied zu Zwei-Faktor-Codes, die per SMS zugestellt oder per TOTP generiert werden, kommt bei den Fido-Sticks Public-Key-Kryptographie zum Einsatz. Ähnlich wie bei der E-Mail-Verschlüsselung mit PGP werden öffentliche und private Schlüssel generiert. Der öffentliche Schlüssel wird zwischen Nutzer und Webdienst ausgetauscht. Will sich der Nutzer einloggen, schickt der Dienst eine Challenge an ihn. Mit dieser beweist der Nutzer, dass er im Besitz des privaten Schlüssels ist - ohne dass der private Schlüssel das Gerät verlässt. Das Ergebnis schickt er an den Dienst, der es mit dem öffentlichen Schlüssel des Nutzers überprüfen kann. Im Unterschied zu den Codes lässt sich dies nicht abfangen oder phishen.

• 

Der Somu von Solokeys ist winzig. (Bild: Martin Wolf/Golem.de)

Wir hinterlegen die beiden Sticks bei Dropbox sowie Google und melden uns ab. Nun melden wir uns in verschieden Browsern wieder an. Nach Eingabe unseres Benutzernamens und Passworts müssen wir den Knopf des jeweiligen Fido-Sticks drücken, um uns einzuloggen. Wir testen die Sticks unter Ubuntu in Chromium und Firefox und unter Windows in Edge, Chrome und Firefox: Alles funktioniert.

Komplizierter wird es mit dem passwortlosen Anmelden, das bisher nur von login.live.com, Microsofts zentraler Loginseite für Online-Dienste wie Outlook, Office 365 oder Onedrive, unterstützt wird. Das funktioniert allerdings bisher nur unter Windows 10 ab Version 1809. Mittlerweile wird neben Microsofts hauseigenem Browser Edge jedoch auch Chrome unterstützt. Wir konnten beide Sticks in Microsoft Edge sowie in Chrome hinterlegen. Das passwortlose Anmelden klappte jedoch nur mit dem Somu und auch nicht immer auf Anhieb. Zudem sperrte Microsoft das passwortlose Anmelden nach mehreren Logins hintereinander vorübergehend. Die Firmware des finalen Nitrokey Fido2 sowie des Somu sollten dann auch keine Probleme mehr mit dem passwortlosen Anmelden bei Microsoft haben. Verwenden die Nutzer allerdings nicht die Microsoft-Webdienste oder setzen keine aktuelle Version von Microsofts Betriebssystem Windows 10 ein, bleibt passwortloses Anmelden erst einmal weiter ein Traum. Hier fehlen schlicht die Dienste und eine breite Unterstützung über verschiedene Geräte - auch wenn dies technisch problemlos möglich sein sollte und sie von den beiden Sticks im Test bereits unterstützt werden.