Abo
  • Services:

Webauthn: Passwortloses Einloggen mit schlechter Kryptographie

Das neue Webauthn-Protokoll soll sichere Logins ohne Passwörter ermöglichen. Doch ein Security-Audit bescheinigt den bisherigen Implementierungen in Chrome, Firefox und Edge angreifbare Kryptographie.

Artikel veröffentlicht am , Moritz Tremmel
Mit Schlüsseln statt Passwörtern einloggen: Bei Webauthn muss noch an der Sicherheit gefeilt werden.
Mit Schlüsseln statt Passwörtern einloggen: Bei Webauthn muss noch an der Sicherheit gefeilt werden. (Bild: Flober81/CC0 1.0)

Das Protokoll Webauthn steht kurz vor der Verabschiedung und soll in Zukunft die Anmeldung auf Webseiten und -diensten ohne Passwort ermöglichen. Chrome, Firefox und Edge unterstützen es bereits. Sicherheitsforscher der Firma Paragon haben es in den Browsern einem Security-Audit unterzogen und mehrere, zum Teil sehr alte, Schwachstellen gefunden. Sie kritisieren, dass Webauthn veraltete Algorithmen wie RSA mit PKCS1-v1_5 vorschreiben oder die von der Fido-Allianz entwickelte Elliptische-Kurven-Kryptographie ECDAA empfehlen.

Stellenmarkt
  1. über duerenhoff GmbH, München
  2. Haufe Group, Freiburg

Der Sicherheitsaudit bezieht sich auf den 1998 entdeckten Bleichenbacher-Angriff auf RSA mit PKCS1v1.5-Padding, um zu zeigen, wie alt und angreifbar der verwendete Algorithmus ist. Dieser ist für Webauthn allerdings nicht relevant, da RSA mit PKCS1v1.5 nicht zur Verschlüsselung, sondern als Signatursystem vorgeschrieben wird. Aber auch PKCS1v1.5 für Signaturen hat Probleme: Auch hier entdeckte Daniel Bleichenbacher, der Entwickler des oben genannten Bleichenbacher-Angriffs, eine Sicherheitslücke.

Eine Variante dieser zwölf Jahre alten Lücke wurde vor vier Jahren entdeckt: Mit ihrer Hilfe ließen sich Signaturen in Chrome und Firefox fälschen. Paragon kommentiert die Verwendung des Algorithmus entsprechend harsch: "PKCS1v1.5 ist schlecht. Die Exploits sind beinahe alt genug, um in den Vereinigten Staaten Alkohol zu trinken. Verwende es auf keinen Fall!" RSA-Signaturen sollten nur im RSA-PSS-Modus verwendet werden.

Nicht besser stehe es um die von der Fido-Allianz entwickelte ECDAA-Kryptographie. Diese sei bisher weder implementiert noch getestet worden. Der Standard sei in seiner jetzigen Form ebenfalls angreifbar und führe im schlechtesten Fall zu einer Umgehung der Zweifaktorauthentifizierung, was wiederum Phishing-Attacken ermöglichen würde.

Paragon fordert das W3C (World Wide Web Consortium) auf, das Design von Webauthn zu ändern und die kryptographischen Schwächen zu beheben, bevor Webauthn endgültig verabschiedet wird. Das Gremium ist für die Standardisierung von Techniken im Internet zuständig.

Google, Microsoft, Lenovo und Samsung sind beteiligt

Die Fido-Allianz wurde bereits im Sommer 2012 gegründet. Ein Zusammenschluss namhafter Firmen wie Google, Microsoft, Lenovo, Samsung und vielen anderen, die gemeinsam einen einfachen und sicheren Authentifizierungsstandard schaffen wollen. Anfang des Jahres erarbeiteten sie gemeinsam mit dem W3C, basierend auf der Fido-2.0-API, eine Web-Authentification-API: Webauthentication oder kurz Webauthn.

Webauthn ermöglicht ein sowohl passwortloses Login mittels biometrischer Daten wie Fingerabdruck oder Gesichtserkennung als auch die Zweifaktorauthentifizierung mittels Tokens aus USB-Dongles oder Smartphones. Der Standard soll mittels Public-Key-Kryptographie vor Phishing-, Man-in-the-Middle- und Replay-Angriffen schützen.

Chrome unterstützt den Standard seit Version 67, Firefox seit Version 60, welche zudem als Extended Support Release veröffentlicht wurde. Microsoft gab im Juli bekannt, dass Webauthn ab Build 17723 unterstützt wird. Bei Apples Safari wird momentan noch entwickelt.



Anzeige
Top-Angebote
  1. 39,99€
  2. (heute u. a. Roccat Tyon Maus 69,99€, Sandisk 400 GB Micro-SDXC-Karte 92,90€)
  3. 19,99€
  4. (heute u. a. Yamaha AV-Receiver 299,00€ statt 469,00€)

RichardEb 19. Sep 2018 / Themenstart

Vielleicht solltet ihr einen eigenen Thread machen oder noch besser per PM reden.

Kommentieren


Folgen Sie uns
       


Lenovo Thinkpad T480s - Test

Wir halten das Thinkpad T480s für eines der besten Business-Notebooks am Markt: Der 14-Zöller ist kompakt und recht leicht und weist dennoch viele Anschlüsse auf, zudem sind Speicher, SSD, Wi-Fi und Modem aufrüstbar.

Lenovo Thinkpad T480s - Test Video aufrufen
Apple Watch im Test: Auch ohne EKG die beste Smartwatch
Apple Watch im Test
Auch ohne EKG die beste Smartwatch

Apples vierte Watch verändert das Display-Design leicht - zum Wohle des Nutzers. Die Uhr bietet immer noch mit die beste Smartwatch-Erfahrung, auch wenn eine der neuen Funktionen in Deutschland noch nicht funktioniert.
Ein Test von Tobias Költzsch

  1. Smartwatch Apple Watch Series 4 mit EKG und Sturzerkennung
  2. Smartwatch Apple Watch Series 4 nur mit sechs Modellen
  3. Handelskrieg Apple Watch und anderen Gadgets drohen Strafzölle

Passwörter: Eine vernünftige Maßnahme gegen den IoT-Irrsinn
Passwörter
Eine vernünftige Maßnahme gegen den IoT-Irrsinn

Kalifornien verabschiedet ein Gesetz, das Standardpasswörter verbietet. Das ist ein Schritt in die richtige Richtung, denn es setzt beim größten Problem von IoT-Geräten an und ist leicht umsetzbar.
Ein IMHO von Hanno Böck

  1. Retrogaming Maximal unnötige Minis
  2. Streaming Heilloses Durcheinander bei Netflix und Amazon Prime
  3. Sicherheit Ein Lob für Twitter und Github

Life is Strange 2 im Test: Interaktiver Road-Movie-Mystery-Thriller
Life is Strange 2 im Test
Interaktiver Road-Movie-Mystery-Thriller

Keine heile Teenagerwelt mit Partys und Liebeskummer: Allein in den USA der Trump-Ära müssen zwei Brüder mit mexikanischen Wurzeln in Life is Strange 2 nach einem mysteriösen Unfall überleben. Das Adventure ist bewegend und spannend - trotz eines grundsätzlichen Problems.
Von Peter Steinlechner

  1. Adventure Leisure Suit Larry landet im 21. Jahrhundert

    •  /