• IT-Karriere:
  • Services:

Webauthn: Standard für passwortloses Anmelden verabschiedet

Ohne Passwort anmelden? Mit dem Webauthn-Standard soll das möglich werden. Die Technik steht bereit und soll das Anmelden nicht nur sicherer, sondern auch komfortabler machen.

Artikel von veröffentlicht am
Webauthn: Schlüssel statt Passwörter.
Webauthn: Schlüssel statt Passwörter. (Bild: PDPics/Pixabay)

Ein sicheres, langes, individuelles Passwort soll es sein - oder auch nicht. Die Web Authentication API (Webauthn) ermöglicht den Login auf Webseiten ganz ohne Passwort. Der Standard wurde am 4. März vom World Wide Web Consortium (W3C) verabschiedet. Diese hatte den Standard gemeinsam mit der Fido-Allianz entwickelt - einem Zusammenschluss namhafter Firmen wie Google, Microsoft, Lenovo, Samsung und vielen anderen, die einen einfachen und sicheren Authentifizierungsstandard schaffen wollen. Der Standard soll Passwörter nicht nur obsolet machen, sondern das Anmelden auf Internetseiten soll auch sicherer und komfortabler werden.

Stellenmarkt
  1. operational services GmbH & Co. KG, Frankfurt am Main, Berlin, Braunschweig, München, Wolfsburg
  2. Delta Energy Systems (Germany) GmbH, Soest

Bei Webauthn kommt statt des Passworts Public-Key-Kryptografie zum Einsatz. Ähnlich wie bei PGP oder SSH werden öffentliche und private Schlüssel generiert. Der öffentliche Schlüssel wird zwischen Nutzer und Webdienst ausgetauscht. Will sich der Nutzer einloggen, schickt der Dienst eine Challenge an ihn, mit der er beweist, dass er im Besitz des privaten Schlüssels ist - ohne dass der private Schlüssel das Gerät verlässt. Das Ergebnis wird an den Dienst geschickt, der über den öffentlichen Schlüssel überprüft, ob der Einloggende auch wirklich im Besitz des privaten Schlüssels ist. Trotz Kritik an den teilweise schon älteren Algorithmen, die im Webauthn-Standard verwendet werden, ist das System deutlich sicherer als Passwörter - und kann in der Handhabung für den Nutzer angenehmer sein.

Zusätzlicher Schutz durch PIN oder Biometrie

Zusätzlich kann der private Schlüssel durch einen PIN oder Biometrie wie Fingerabdruck oder Gesicht geschützt werden. Der Schutz findet auf dem Gerät des Nutzers statt, beispielsweise mit einer im Fido2-Stick hinterlegten PIN oder per Gesichtserkennung in Windows Hello. Das Verfahren wird Multi-Faktor-Authentifizierung genannt und gilt als besonders sicher.

Neben dem passwortlosen Anmelden lässt sich über den Standard auch Zwei-Faktor-Authentifizierung realisieren. Beispielsweise unterstützen die Fido-Sticks von Yubico oder Nitrokey den Fido1- oder Fido2-Standard, bei welchem neben Benutzername und Passwort ebenfalls Public-Key-Kryptografie als zweiter Faktor zum Einsatz kommt.

Die Technik steht bereit

Die Browser Firefox, Chrome/Chromium und Edge unterstützen Webauthn bereits. Auch unter Windows 10 und Android kann Webauthn verwendet werden. Erst kürzlich gab Google bekannt, dass Android eine Fido2-Zertifizierung erhalten hat. Neuere Geräte sollen passwortloses Anmelden ab Werk ermöglichen, auf älteren Geräten ab Android 7.0 wird die Funktion über ein Update der Google Play Services bereitgestellt. Millionen Geräte, die das passwortlose Login unterstützen, stehen mit Verabschiedung des Standards bereit.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote

screamz@gmx.net 09. Apr 2019

Funktioniert auch mit Firefox und den neueren Insider Previews von Windows 10: https...

screamz@gmx.net 09. Apr 2019

Siehe Quelle: https://www.nitrokey.com/de/news/2019/new-nitrokey-hsm-2-rsa-4096-ecc-521...

nille02 06. Mär 2019

Die Dinger kosten ein Apfel und ein Ei. Einige kosten nicht mal 10¤. Aber sobald du...

redmord 06. Mär 2019

Ich hatte es so verstanden, dass diese ID vom Authenticator generiert und einmalig zum...

LASERwalker 06. Mär 2019

Der Schützt aber nicht gegen Phishing.


Folgen Sie uns
       


Radeon RX 6800 (XT) im Test mit Benchmarks

Lange hatte AMD bei Highend-Grafikkarten nichts zu melden, mit den Radeon RX 6800 (XT) kehrt die Gaming-Konkurrenz zurück.

Radeon RX 6800 (XT) im Test mit Benchmarks Video aufrufen
BVG: Lieber ungeschützt im Nahverkehr
BVG
Lieber ungeschützt im Nahverkehr

In einem Streit mit dem BSI definiert sich die BVG als klein, um unsicher bleiben zu dürfen. Das ist kleinkariert und absurd.
Ein IMHO von Moritz Tremmel

  1. Mobilitätswende Berlin schickt 100. Elektrobus auf die Straße
  2. Solaris Urbino 18 electric Berliner Verkehrsbetriebe mit elektrischen Gelenkbussen
  3. Dekarbonisierung Alle Berliner Busse werden elektrisch

Hitman 3 im Test: Agent 47 verabschiedet sich mörderisch
Hitman 3 im Test
Agent 47 verabschiedet sich mörderisch

Das (vorerst) letzte Hitman bietet einige der besten Einsätze der Serie - daran dürften aber vor allem langjährige Fans Spaß haben.
Von Peter Steinlechner

  1. Hitman 3 angespielt Agent 47 in ungewohnter Mission

IT-Security outsourcen: Besser als gar keine Sicherheit
IT-Security outsourcen
Besser als gar keine Sicherheit

Security as a Service (SECaaS) verspricht ein Höchstmaß an Sicherheit. Das Auslagern eines so heiklen Bereichs birgt jedoch auch Risiken.
Von Boris Mayer

  1. Joe Biden Stellenanzeige im Quellcode von Whitehouse.gov versteckt
  2. Sturm auf Kapitol Pelosis Laptop sollte Russland angeboten werden
  3. Malware Offenbar Ermittlungen gegen Jetbrains nach Solarwinds-Hack

    •  /