{"id":7815,"date":"2019-12-06T08:30:18","date_gmt":"2019-12-06T07:30:18","guid":{"rendered":"https:\/\/staging.blogs.yokogawa.de\/chemical-pharma\/unkategorisiert\/fido-auf-wie-vielen-nutzerkonten-verteilen-sie-ihre-digitale-identitaet\/"},"modified":"2022-06-17T07:54:30","modified_gmt":"2022-06-17T05:54:30","slug":"fido-auf-wie-vielen-nutzerkonten-verteilen-sie-ihre-digitale-identitaet","status":"publish","type":"post","link":"https:\/\/www.yokogawa.com\/eu\/blog\/chemical-pharma\/de\/fido-auf-wie-vielen-nutzerkonten-verteilen-sie-ihre-digitale-identitaet\/","title":{"rendered":"FIDO: Auf wie vielen Nutzerkonten verteilen Sie Ihre digitale Identit\u00e4t?"},"content":{"rendered":"

Wie registrieren und loggen Sie sich derzeit f\u00fcr Internet- \/ Webdienste ein? Nutzen Sie ein Passwort, das mindestens die Komplexit\u00e4tsvoraussetzungen erf\u00fcllt \u2013 Stichwort: die goldenen Passwortregeln. Oder nutzen Sie bereits FIDO-Key? FIDO<\/a> bedeutet ausgeschrieben \u201eFast IDentity Online\u201c. Zu Deutsch: \u201eSchnelle Identit\u00e4t bei digitalen Verbindungen\u201c. Und zwar f\u00fcr eine komplett passwortlose Registrierung auf Plattformen. Identit\u00e4tsdiebstahl ist heutzutage ein gro\u00dfes Gesch\u00e4ft. Phishing sowie Datenlecks \u00fcber gehackte oder schlecht administrierte Server sind leider mittlerweile sattsam bekannt. Dies zeigt auch sehr deutlich die aktuell ver\u00f6ffentlichte bitkom-Studie vom 6. November 2019<\/a> \u2013 Wirtschaftsschutz in der digitalen Welt.<\/p>\n

\"\"<\/p>\n

Exkurs: Phishing<\/h2>\n

Phishing (steht f\u00fcr “fishing” = englisch f\u00fcr “Angeln”) ist der Versuch, \u00fcber gef\u00e4lschte E-Mails, Internetseiten oder Kurznachrichten an Daten wie zum Beispiel Log-ins oder Passw\u00f6rter zu gelangen. Mit dieser Technik k\u00f6nnen Cyberkriminelle mit relativ wenig Aufwand an sensitive Informationen kommen bzw. Schadsoftware in die Unternehmen injizieren.<\/p>\n

Die nichtkommerzielle FIDO-Allianz<\/a> wurde im Juli 2012 ins Leben gerufen und im Februar 2013 offiziell gegr\u00fcndet, um zusammen mit vielen verschiedenen Unternehmen offene und lizenzfreie Industriestandards f\u00fcr die weltweite Authentifizierung im Internet zu entwickeln. Unter diesem Dach arbeiten unter anderem Google, Microsoft, Facebook, Amazon, Paypal, Visa und Mastercard daran, einen WebStandard f\u00fcr sichere, passwortlose Logins zu etablieren.
\nEin FIDO-Key ist immer ein Unikat somit nicht kopierbar. Denn das w\u00e4re ein Sicherheitsrisiko. Dies ist auch der Grundgedanke der FIDO-Alliance.<\/p>\n

Der Charme an diesen Keys<\/strong><\/h2>\n

Der Key kann entweder anstelle eines Passworts zum Einsatz kommen oder zus\u00e4tzlich dazu, als zweiter Faktor. Das Einloggen ohne Passwort funktioniert bereits bei Microsoft.com und den daran angeschlossenen Diensten wie Outlook.com, Office 365 und OneDrive. Allerdings nur, sofern Edge im Einsatz ist. Bei Google, GitHub, Dropbox, Twitter und BoxCryptor kann das FIDO-Key als zweiter Faktor (Zwei-Faktor-Authentifizierung per Tastendruck) genutzt werden. Dann profitiert man von dem Schutz gegen Phishing & Co., muss jedoch weiterhin das Passwort eingeben. Ausprobieren kann man das sehr sch\u00f6n auf der Demo-Seite https:\/\/webauthn.io\/<\/a><\/p>\n

Konzeptionell bietet FIDO die M\u00f6glichkeit, Sicherheit beliebig weiter zu erh\u00f6hen \u2013 bis hin zu den Anforderungen in Hochsicherheitsumgebungen. Der Fingerabdruck oder die biometrischen Daten werden nur f\u00fcr die eigentliche Anmeldung bei einem Dienst benutzt. Diese Daten bleiben strikt lokal auf dem Sicherheitsschl\u00fcssel. Somit wird bewiesen, dass man tats\u00e4chlich der richtige Anwender ist (User Verification). Dieses Verfahren bringt konsequenterweise h\u00f6here Kosten gepaart mit reduziertem Komfort mit sich. Aber schon in der niedrigsten Sicherheitsstufe sind FIDO-Sicherheitsschl\u00fcssel um einiges komfortabler und sicherer als es normale Passw\u00f6rter je sein k\u00f6nnen.<\/p>\n

Spuren im Netz?<\/strong><\/h2>\n

Nun kommt nat\u00fcrlich verst\u00e4ndlicherweise die Frage auf, ob man den Nutzer durch den Einsatz des gleichen Sicherheitsschl\u00fcssels verfolgen kann. Zumindest dann, wenn er \u00fcberall den gleichen Sicherheitsschl\u00fcssel verwendet? Es gibt zwar einen optionalen Mechanismus zum Wiedererkennen, bei dem der Server den Schl\u00fcssel bittet, zus\u00e4tzlich seine Seriennummer zu \u00fcbermitteln. Der Nutzer muss dieser Bitte jedoch in einem separaten Dialog zustimmen. Heimliches Tracking ist damit also nicht m\u00f6glich. Der Sicherheitsschl\u00fcssel generiert f\u00fcr jeden Dienst ein eigenes Schl\u00fcsselpaar, basierend auf der Domain des Gegen\u00fcbers.<\/p>\n

Umgang beim Klau des FIDO-Keys<\/strong><\/h2>\n

Wenn Sie den FIDO-Key verlieren sollten, gilt es, m\u00f6glichst schnell den Zugang zu den damit verwendeten Accounts zu sperren. Auch wenn die eingebauten virtuellen Schl\u00fcssel in Windows und Android immer durch einen zweiten Faktor – also etwa einen Fingerabdruck oder eine PIN – gesch\u00fctzt sind, die eine Nutzung durch Fremde verhindern. Die Feinheit hierbei ist, dass Cyberkriminelle nicht mehr mit einem Trojaner oder durch Einbruch auf einem Server Millionen von Passw\u00f6rtern ergattern k\u00f6nnen. Sondern es muss jemand direkt vor Ort den FIDO-Key klauen und dann auch missbrauchen. Dieser Akt ist jedoch f\u00fcr die Cybermafia unattraktiv, da es kein Milliardengesch\u00e4ft mehr generiert, sondern auf Einzelf\u00e4lle beschr\u00e4nkt sein m\u00fcsste.<\/p>\n

Wom\u00f6glich ist es eine gute Gelegenheit, sich den Key auf die Weihnachtsgeschenkliste aufzunehmen und auszuprobieren.<\/p>\n

Fortsetzung folgt. Dann mit Anwendungsbeispielen aus der Industrie.<\/p>\n

\n

6 Tipps f\u00fcr sichere Passw\u00f6rter<\/a><\/p><\/blockquote>\n