• IT-Karriere:
  • Services:

Webauthn: Passwortloses Einloggen mit schlechter Kryptographie

Das neue Webauthn-Protokoll soll sichere Logins ohne Passwörter ermöglichen. Doch ein Security-Audit bescheinigt den bisherigen Implementierungen in Chrome, Firefox und Edge angreifbare Kryptographie.

Artikel veröffentlicht am ,
Mit Schlüsseln statt Passwörtern einloggen: Bei Webauthn muss noch an der Sicherheit gefeilt werden.
Mit Schlüsseln statt Passwörtern einloggen: Bei Webauthn muss noch an der Sicherheit gefeilt werden. (Bild: Flober81/CC0 1.0)

Das Protokoll Webauthn steht kurz vor der Verabschiedung und soll in Zukunft die Anmeldung auf Webseiten und -diensten ohne Passwort ermöglichen. Chrome, Firefox und Edge unterstützen es bereits. Sicherheitsforscher der Firma Paragon haben es in den Browsern einem Security-Audit unterzogen und mehrere, zum Teil sehr alte, Schwachstellen gefunden. Sie kritisieren, dass Webauthn veraltete Algorithmen wie RSA mit PKCS1-v1_5 vorschreiben oder die von der Fido-Allianz entwickelte Elliptische-Kurven-Kryptographie ECDAA empfehlen.

Stellenmarkt
  1. Universität Konstanz, Konstanz
  2. LISTAN GmbH, Glinde

Der Sicherheitsaudit bezieht sich auf den 1998 entdeckten Bleichenbacher-Angriff auf RSA mit PKCS1v1.5-Padding, um zu zeigen, wie alt und angreifbar der verwendete Algorithmus ist. Dieser ist für Webauthn allerdings nicht relevant, da RSA mit PKCS1v1.5 nicht zur Verschlüsselung, sondern als Signatursystem vorgeschrieben wird. Aber auch PKCS1v1.5 für Signaturen hat Probleme: Auch hier entdeckte Daniel Bleichenbacher, der Entwickler des oben genannten Bleichenbacher-Angriffs, eine Sicherheitslücke.

Eine Variante dieser zwölf Jahre alten Lücke wurde vor vier Jahren entdeckt: Mit ihrer Hilfe ließen sich Signaturen in Chrome und Firefox fälschen. Paragon kommentiert die Verwendung des Algorithmus entsprechend harsch: "PKCS1v1.5 ist schlecht. Die Exploits sind beinahe alt genug, um in den Vereinigten Staaten Alkohol zu trinken. Verwende es auf keinen Fall!" RSA-Signaturen sollten nur im RSA-PSS-Modus verwendet werden.

Nicht besser stehe es um die von der Fido-Allianz entwickelte ECDAA-Kryptographie. Diese sei bisher weder implementiert noch getestet worden. Der Standard sei in seiner jetzigen Form ebenfalls angreifbar und führe im schlechtesten Fall zu einer Umgehung der Zweifaktorauthentifizierung, was wiederum Phishing-Attacken ermöglichen würde.

Paragon fordert das W3C (World Wide Web Consortium) auf, das Design von Webauthn zu ändern und die kryptographischen Schwächen zu beheben, bevor Webauthn endgültig verabschiedet wird. Das Gremium ist für die Standardisierung von Techniken im Internet zuständig.

Google, Microsoft, Lenovo und Samsung sind beteiligt

Die Fido-Allianz wurde bereits im Sommer 2012 gegründet. Ein Zusammenschluss namhafter Firmen wie Google, Microsoft, Lenovo, Samsung und vielen anderen, die gemeinsam einen einfachen und sicheren Authentifizierungsstandard schaffen wollen. Anfang des Jahres erarbeiteten sie gemeinsam mit dem W3C, basierend auf der Fido-2.0-API, eine Web-Authentification-API: Webauthentication oder kurz Webauthn.

Webauthn ermöglicht ein sowohl passwortloses Login mittels biometrischer Daten wie Fingerabdruck oder Gesichtserkennung als auch die Zweifaktorauthentifizierung mittels Tokens aus USB-Dongles oder Smartphones. Der Standard soll mittels Public-Key-Kryptographie vor Phishing-, Man-in-the-Middle- und Replay-Angriffen schützen.

Chrome unterstützt den Standard seit Version 67, Firefox seit Version 60, welche zudem als Extended Support Release veröffentlicht wurde. Microsoft gab im Juli bekannt, dass Webauthn ab Build 17723 unterstützt wird. Bei Apples Safari wird momentan noch entwickelt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. (-82%) 11,00€

Anonymer Nutzer 19. Sep 2018

Vielleicht solltet ihr einen eigenen Thread machen oder noch besser per PM reden.


Folgen Sie uns
       


Tesla-Baustelle in Grünheide - Eindrücke (März 2020)

Golem.de hat im März 2020 die Baustelle der Tesla-Fabrik in Grünheide besucht und Drohnenaufnahmen vom aktuellen Stand des Großprojekts gedreht.

Tesla-Baustelle in Grünheide - Eindrücke (März 2020) Video aufrufen
Indiegames-Rundschau: Stadtbaukasten trifft Tentakelmonster
Indiegames-Rundschau
Stadtbaukasten trifft Tentakelmonster

Traumstädte bauen in Townscaper, Menschen fressen in Carrion und Bilderbuchgrusel in Creaks: Die neuen Indiegames bieten viel Abwechslung.
Von Rainer Sigl

  1. Indiegames-Rundschau Licht aus, Horror an
  2. Indiegames-Neuheiten Der Saturnmond als galaktische Baustelle
  3. Indiegames-Rundschau Dunkle Seelen im Heavy-Metal-Rausch

Mars 2020: Was ist neu am Marsrover Perseverance?
Mars 2020
Was ist neu am Marsrover Perseverance?

Er hat 2,5 Milliarden US-Dollar gekostet und sieht genauso aus wie Curiosity. Einiges ist dennoch neu, manches auch nur Spielzeug.
Von Frank Wunderlich-Pfeiffer


    Sysadmin Day 2020: Du kannst doch Computer ...
    Sysadmin Day 2020
    Du kannst doch Computer ...

    Das mit den Computern könne er vergessen, sagte ihm das Arbeitsamt nach dem Schulabschluss. Am Ende wurde Michael Fischer aber doch noch Sysadmin, zur allerbesten Sysadmin-Zeit.
    Ein Porträt von Boris Mayer


        •  /