Abo
  • IT-Karriere:

Webauthn: Passwortloses Einloggen mit schlechter Kryptographie

Das neue Webauthn-Protokoll soll sichere Logins ohne Passwörter ermöglichen. Doch ein Security-Audit bescheinigt den bisherigen Implementierungen in Chrome, Firefox und Edge angreifbare Kryptographie.

Artikel veröffentlicht am ,
Mit Schlüsseln statt Passwörtern einloggen: Bei Webauthn muss noch an der Sicherheit gefeilt werden.
Mit Schlüsseln statt Passwörtern einloggen: Bei Webauthn muss noch an der Sicherheit gefeilt werden. (Bild: Flober81/CC0 1.0)

Das Protokoll Webauthn steht kurz vor der Verabschiedung und soll in Zukunft die Anmeldung auf Webseiten und -diensten ohne Passwort ermöglichen. Chrome, Firefox und Edge unterstützen es bereits. Sicherheitsforscher der Firma Paragon haben es in den Browsern einem Security-Audit unterzogen und mehrere, zum Teil sehr alte, Schwachstellen gefunden. Sie kritisieren, dass Webauthn veraltete Algorithmen wie RSA mit PKCS1-v1_5 vorschreiben oder die von der Fido-Allianz entwickelte Elliptische-Kurven-Kryptographie ECDAA empfehlen.

Stellenmarkt
  1. OEDIV KG, Oldenburg
  2. RSG Group GmbH, Berlin

Der Sicherheitsaudit bezieht sich auf den 1998 entdeckten Bleichenbacher-Angriff auf RSA mit PKCS1v1.5-Padding, um zu zeigen, wie alt und angreifbar der verwendete Algorithmus ist. Dieser ist für Webauthn allerdings nicht relevant, da RSA mit PKCS1v1.5 nicht zur Verschlüsselung, sondern als Signatursystem vorgeschrieben wird. Aber auch PKCS1v1.5 für Signaturen hat Probleme: Auch hier entdeckte Daniel Bleichenbacher, der Entwickler des oben genannten Bleichenbacher-Angriffs, eine Sicherheitslücke.

Eine Variante dieser zwölf Jahre alten Lücke wurde vor vier Jahren entdeckt: Mit ihrer Hilfe ließen sich Signaturen in Chrome und Firefox fälschen. Paragon kommentiert die Verwendung des Algorithmus entsprechend harsch: "PKCS1v1.5 ist schlecht. Die Exploits sind beinahe alt genug, um in den Vereinigten Staaten Alkohol zu trinken. Verwende es auf keinen Fall!" RSA-Signaturen sollten nur im RSA-PSS-Modus verwendet werden.

Nicht besser stehe es um die von der Fido-Allianz entwickelte ECDAA-Kryptographie. Diese sei bisher weder implementiert noch getestet worden. Der Standard sei in seiner jetzigen Form ebenfalls angreifbar und führe im schlechtesten Fall zu einer Umgehung der Zweifaktorauthentifizierung, was wiederum Phishing-Attacken ermöglichen würde.

Paragon fordert das W3C (World Wide Web Consortium) auf, das Design von Webauthn zu ändern und die kryptographischen Schwächen zu beheben, bevor Webauthn endgültig verabschiedet wird. Das Gremium ist für die Standardisierung von Techniken im Internet zuständig.

Google, Microsoft, Lenovo und Samsung sind beteiligt

Die Fido-Allianz wurde bereits im Sommer 2012 gegründet. Ein Zusammenschluss namhafter Firmen wie Google, Microsoft, Lenovo, Samsung und vielen anderen, die gemeinsam einen einfachen und sicheren Authentifizierungsstandard schaffen wollen. Anfang des Jahres erarbeiteten sie gemeinsam mit dem W3C, basierend auf der Fido-2.0-API, eine Web-Authentification-API: Webauthentication oder kurz Webauthn.

Webauthn ermöglicht ein sowohl passwortloses Login mittels biometrischer Daten wie Fingerabdruck oder Gesichtserkennung als auch die Zweifaktorauthentifizierung mittels Tokens aus USB-Dongles oder Smartphones. Der Standard soll mittels Public-Key-Kryptographie vor Phishing-, Man-in-the-Middle- und Replay-Angriffen schützen.

Chrome unterstützt den Standard seit Version 67, Firefox seit Version 60, welche zudem als Extended Support Release veröffentlicht wurde. Microsoft gab im Juli bekannt, dass Webauthn ab Build 17723 unterstützt wird. Bei Apples Safari wird momentan noch entwickelt.



Anzeige
Spiele-Angebote
  1. 4,19€
  2. 3,99€
  3. (-40%) 29,99€

Anonymer Nutzer 19. Sep 2018

Vielleicht solltet ihr einen eigenen Thread machen oder noch besser per PM reden.


Folgen Sie uns
       


Hyundai Kona Elektro - Test

Das Elektro-SUV ist ein echter Langläufer.

Hyundai Kona Elektro - Test Video aufrufen
HP Pavilion Gaming 15 im Test: Günstig gut gamen
HP Pavilion Gaming 15 im Test
Günstig gut gamen

Mit dem Pavilion Gaming 15 bietet HP für 1.000 Euro ein Spiele-Notebook an, das für aktuelle Titel genügend 1080p-Leistung hat. Auch Bildschirm und Ports taugen, dafür nervt uns die voreingestellte 30-fps-Akku-Drossel.
Ein Test von Marc Sauter

  1. Gaming-Notebooks Asus ROG mit Core i9 und fixen oder farbstarken Displays

Mobile-Games-Auslese: Superheld und Schlapphutträger zu Besuch im Smartphone
Mobile-Games-Auslese
Superheld und Schlapphutträger zu Besuch im Smartphone

Markus Fenix aus Gears of War kämpft in Gears Pop gegen fiese (Knuddel-)Aliens und der Typ in Tombshaft erinnert an Indiana Jones: In Mobile Games tummelt sich derzeit echte und falsche Prominenz.
Von Rainer Sigl

  1. Mobile-Games-Auslese Verdrehte Räume und verrückte Zombies für unterwegs
  2. Dr. Mario World im Test Spielspaß für Privatpatienten
  3. Mobile-Games-Auslese Ein Wunderjunge und dreimal kostenloser Mobilspaß

Sonos Move im Test: Der vielseitigste Lautsprecher von Sonos
Sonos Move im Test
Der vielseitigste Lautsprecher von Sonos

Der Move von Sonos überzeugt durch Bluetooth und ist dank Akku und stabilem Gehäuse vorzüglich für den Außeneinsatz geeignet. Bei den Funktionen ist der Lautsprecher leider nicht so smart wie er sein könnte.
Ein Test von Ingo Pakalski

  1. Update für Multiroom-Lautsprecher Sonos-App spielt keine lokalen Inhalte mehr vom iPhone ab
  2. Smarter Lautsprecher Erster Sonos-Lautsprecher mit Akku und Bluetooth
  3. Soundbars Audiohersteller Teufel investiert in eigene Ladenkette

    •  /