loader from loading.io

#117 - Was versteckt sich hinter WebAuthn?”

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Release Date: 09/27/2019

#133 - Was ist eigentlich WIPS? show art #133 - Was ist eigentlich WIPS?

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Heute dreht sich alles um das Thema: „Was ist eigentlich ein WIPS?”    Bevor ich Ihnen diese Frage beantworte, möchte ich kurz -der Verständlichkeit halber- auf die Begrifflichkeiten Intrusion Detection System und Intrusion Prevention System eingehen.   Intrusion Detection Systeme (IDS) und Intrusion Prevention Systeme (IPS) sind beides Bestandteile der Netzwerkinfrastruktur und dienen dazu den Datenverkehr in Netzwerken vor Gefahren bzw. Angriffen zu schützen. Das Intrusion Detection System, kurz IDS, ist dabei in der Lage, anhand bestimmter Muster Angriffe auf...

info_outline
#132 - Was ist eigentlich eine Bandbreite? show art #132 - Was ist eigentlich eine Bandbreite?

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Diese Folge wird unterstützt von Blinkist. Unter erhaltet ihr 25% auf das Jahresabo Blinkist Premium. Heute dreht sich alles um das Thema: „Was ist eigentlich eine Bandbreite?”  Zunächst einmal müssen Sie wissen, dass der Begriff "Bandbreite" in zwei verschiedenen Kontexten verwendet werden kann: In digitalen Systemen wird der Begriff Bandbreite oft als Synonym für die Übertragungsgeschwindigkeit oder die Übertragungskapazität verwendet. Die synonyme Verwendung der Begriffe geht auf den Zusammenhang zwischen Bandbreiten und Übertragungsraten zurück. Die Bandbreite stellt...

info_outline
#131 - Weihnachtsgrüsse - IT Manager Podcast 2020 show art #131 - Weihnachtsgrüsse - IT Manager Podcast 2020

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Liebe IT-Profis, wir betreiben den IT Manager Podcast nun schon bereits seit über 3,5 Jahren. Mit mittlerweile über 130 Episoden haben wir bereits viele IT-Begriffe erklärt und konnten vielen Zuhörern damit eine stetige Weiterbildung ermöglichen. Wir würden gerne wissen, wie soll es in 2020 für Euch weitergehen? Wie oft hört ihr unseren Podcast? Soll es weiterhin einmal wöchentlich ein Episode geben? Welche Themen wünscht ihr Euch für die Zukunft? Macht mit bei unserer Umfrage auf unserer Website unter innovativeIT.de Eine schöne und besinnlich Weihnachtszeit wünsche ich. Wir sind...

info_outline
#130 - Was ist ein Wireless Access Point? show art #130 - Was ist ein Wireless Access Point?

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Bei einem Wireless Access-Point, kurz WAP, handelt es sich vereinfacht ausgedrückt um eine Hardwarekomponente, die als Schnittstelle zwischen dem LAN- und dem WLAN-Netzwerk fungiert und mehreren Notebooks und anderen mobilen Endgeräte gleichzeitig den Zugriff auf Netzwerkressourcen und gegebenenfalls das Internet ermöglicht. Wireless Access Points kommen hauptsächlich bei kleineren bis großen Netzwerkinstallationen zum Einsatz. Sie dienen zur Verstärkung des Funksignals und vergrößern somit die Reichweite des WLAN-Signals im gesamten Netzwerk. Das ist insofern von Vorteil, wenn es...

info_outline
#129 - Was bedeutet TPM? show art #129 - Was bedeutet TPM?

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Die Abkürzung TPM steht für Trusted Platform Module. Es handelt sich hierbei um einen Mikrochip, der Computer oder ähnliche Geräte um grundlegende Sicherheitsfunktionen erweitert, um die Plattformintegrität sicherzustellen. Sobald es auf einem System installiert ist, dient es zur sicheren Hinterlegung von Schlüsseln, Passwörtern und digitalen Zertifikaten, um eine Plattform-Validierung zu ermöglichen, eine zentrale Vertrauensbasis einzurichten und die Voraussetzungen für das Management von Anwender-Legitimationen zu schaffen. Außerdem lässt sich mit dem TPM verifizieren, dass an der...

info_outline
#128 - Was ist eigentlich ein Hotspot? show art #128 - Was ist eigentlich ein Hotspot?

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Bevor ich Ihnen diese Frage beantworte, möchte ich ganz kurz auf zwei Begriffe eingehen, die häufig in Zusammenhang mit Hotspots genannt werden: WLAN und WiFi Die Abkürzung WLAN steht für Wireless Local Area Network und bedeutet zu Deutsch: Drahtloses lokales Netzwerk. Die Verbindung zum Internet erfolgt also drahtlos über einen sogenannten WLAN-Router. Der wesentliche Unterschied zu einem normalen LAN ist, dass das Endgerät beispielsweise ein Notebook nicht mit einem Kabel, sondern über ein Funksignal mit dem Internet verbunden ist. WLANs zeichnen sich durch ihre große Sendeleistung,...

info_outline
#127 - Was ist FTP? show art #127 - Was ist FTP?

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Die Abkürzung FTP steht für File-Transfer-Protocol und ist die englische Bezeichnung für „Dateiübertragungsprotokoll”. Bei diesem Protokoll handelt es sich genauer gesagt um ein Netzwerkprotokoll, welches den Transfer von Daten zwischen einem Server und Client in einem IP-Netzwerk ermöglicht. Die ursprüngliche Spezifikation des File-Transfer-Protocol wurde am 16. April 1971 als veröffentlicht. RFC steht für Request for Comments und bezeichnet ein formelles Dokument der Internet Engineering Task Force. Im Oktober 1985 wurde mit die heute noch gültige Spezifikation des File...

info_outline
#126 - Was ist eigentlich ein Captcha? show art #126 - Was ist eigentlich ein Captcha?

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Jeder kennt sie, niemand mag sie: CAPTCHAs. Vermutlich haben Sie auch des Öfteren Straßenschilder abgetippt, verzerrte und oftmals undefinierbare Ziffern wiedergegeben oder auch nur Tierbilder ausgewählt, um zu bezeugen, dass sie kein Roboter, sondern ein echter Webseitenbesucher mit Herz & Seele sind, richtig?   Der Begriff “CAPTCHA” steht für “Completely Automated Public Turing test to tell Computers and Humans Apart”. Frei übersetzt handelt es sich dabei also um einen „Test zur Unterscheidung zwischen Menschen und Computer“. CAPTCHAs dienen der IT-Sicherheit und...

info_outline
#125 - Was ist der Bitlocker? show art #125 - Was ist der Bitlocker?

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Heute dreht sich alles um das Thema: „Was ist eigentlich ein Bitlocker?”    Bei BitLocker handelt es sich um eine Sicherheitsfunktion von Microsoft, die in bestimmten Versionen des Windows-Betriebssystems integriert ist und eine Verschlüsselung der Systemlaufwerke, Festplatten oder Wechseldatenträger ermöglicht. Dadurch bleiben die Daten bei Diebstahl oder beim physischen Entfernen einer Festplatte aus einem Rechner geschützt. Die BitLocker-Laufwerkverschlüsselung sorgt in erster Linie dafür, dass Nutzer Daten nur dann lesen oder schreiben können, wenn sie über das...

info_outline
#125 - Was ist eigentlich ein Ryuk? show art #125 - Was ist eigentlich ein Ryuk?

IT Manager Podcast (DE, german) - IT-Begriffe einfach und verständlich erklärt

Heute dreht sich alles um das Thema: „Was ist eigentlich ein Ryuk?”    Bei Ryuk handelt es sich um einen neuen hochriskanten Verschlüsselungstrojaner, der gezielt große Unternehmen und staatliche Behörden angreift, um immens hohe Lösegelder für die Entschlüsselung verschlüsselter Datenbestände zu fordern.   Der Verschlüsselungstrojaner Ryuk trat erstmals im August 2018 in Erscheinung und erwirtschaftete seitdem mindestens 705 Bitcoins Lösegeld – umgerechnet entspricht das derzeit 2,25 Millionen Euro. Aufgrund seiner Ähnlichkeit mit der Ransomware Hermes, gehen...

info_outline
 
More Episodes

Hinter der Abkürzung WebAuthn verbirgt sich der Begriff Web Authentication. Hierbei handelt es sich um einen veröffentlichten Webstandard für eine Programmierschnittstelle -auch bekannt unter dem Begriff Application-Programming-Interface, kurz API -  die zur Authentifizierung von Usern im Web dient und anstelle von Passwörtern auf dem Public-Key-Verfahren und der Nutzung von Faktoren wie biometrischen Merkmalen, Hardware-Token oder Smartphones basiert. Darüber hinaus soll die WebAuthn-API die Kommunikation zwischen einer Webseite und einem Sicherheitsgerät einem sogenannten Token erleichtern und die Anmeldeverfahren im Internet sicherer und komfortabler machen.

Die WebAuthn ist eine Kernkomponente des FIDO2-Projektes. Im März 2019 wurde sie vom World-Wide-Web-Consortium (W3C), dem Standardisierungsgremium für das Internet, und der Fast IDentity Online-Allianz, kurz FIDO-Allianz, zu einem offiziellen Webstandard erklärt.

Die WebAuthn-API kann sowohl im Browser als auch auf Webplattform-Infrastrukturen integriert werden. Durch den Einsatz der WebAuthn-API können Webseitenbetreiber ihren Benutzern alternativ zum klassischen Passwort-Login, die Registrierung und Authentifizierung mittels „Authenticator“ anbieten. Bei einem “Authenticator” kann es sich dabei

  • um einen Hardware-Security-Token handeln, wie zum Beispiel einem FIDO-USB-Sicherheitsschlüssel, der mit einem Computer verbunden wird

oder

  • aber um ein Smartphone, an dem man sich durch biometrische Informationen identifiziert wie zum Beispiel durch den Fingerabdruck, Gesichts- oder Iris-Scan.

Bei WebAuthn haben User zudem die Möglichkeit, verschiedene Authenticatoren gleichzeitig für ihr Online-Konto zu registrieren. Dadurch wird für sie die Kontoverwaltung und -wiederherstellung wesentlich komfortabler. Beispielsweise kann sich ein User mit einem Fingerabdruckscanner bei mobilen Anwendungen auf seinem Mobilgerät anmelden und parallel dazu einen Hardware-Security-Token registrieren. Falls das ursprüngliche Gerät aktualisiert, verloren, gestohlen oder kompromittiert wurde, lässt sich so der Zugriff auf das Online-Konto schnell wiederherstellen

Aber lassen Sie mich die Funktionsweise der Web Authentication noch etwas näher erklären.

Zunächst einmal müssen Sie wissen, dass bei einer WebAuthn-Kommunikation grundsätzlich drei “Parteien” beteiligt sind: Der Authenticator, der Server und der JavaScript-Client -auch bekannt als Web App.

Mal angenommen, ein User möchte sich auf einer Webseite die eine WebAuthn-API benutzt registrieren:

Zu aller Erst bietet ihm die API mehrere Authentifizierungsmethoden an. Der User kann zwischen externen Hardware-Security-Token oder biometrische Authentifizierungsmethoden, wie dem Iris-Scan, der Gesichtserkennung oder dem Fingerabdruck wählen.

Sobald er die gewünschte Authentifizierungsmethode ausgesucht hat, muss er seinen “Authenticator” einmalig registrieren.

Bei diesem Prozess erzeugt der Server zunächst eine Challenge (Herausforderung) und sendet sie samt Login-Daten zum JavaScript-Client im Browser des Nutzers. Diese weist das Endgerät an, den neuen Authenticator zu registrieren. Anschließend generiert der “Authenticator” ein individuelles Schlüsselpaar. Der Privat Key wird auf dem Endgerät gespeichert und der Public Key wird gemeinsam mit der Credential-ID und der Signatur der Challenge an den Server übermittelt. Der Server verifiziert die Informationen und hinterlegt sie in einer Datenbank.

Beim erneuten Login übermittelt der Server erneut eine Challenge. Diese wird vom Browser zusammen mit der Domain an den Authenticator weitergereicht. Nach der Bestätigung durch den Benutzer, beispielsweise durch einen Fingerabdruck-Scan wird die digitale Signatur zurück an den Server gesendet und der erfolgreiche Login erfolgt.

Sie sehen, mit WebAuthn profitieren sowohl die Webentwickler als auch die User.

Denn:

  • die Web Authentication ermöglicht starke, eindeutige, auf öffentlichen Schlüsseln basierende Anmeldeinformationen für jede Webseite oder Webanwendung.
  • Gleichzeitig minimiert sie damit das Risiko, dass User zum Opfer gefährlicher Man-in-the-Middle-Angriffe und Passwortdiebstahl durch Phishing oder Keylogging werden.
  • Außerdem erleichtert WebAuthn die Bereitstellung sicherer Webanwendungen mit einer Auswahl an stärkeren Authentifizierungsmethoden. Auf diese Weise wird die Abhängigkeit von schwachen Passwörtern verringert.
  • Darüber hinaus bietet WebAuthn den Benutzern die Möglichkeit, verschiedene Authenticatoren für ihr Konto zu registrieren, um die Kontoverwaltung und -wiederherstellung komfortabler zu gestalten.

Bevor wir zum Ende unseres Podcasts kommen, lassen Sie mich noch einmal kurz die wichtigsten Merkmale der Web Authentication zusammenfassen:

  • Erstens, für jeden Webservice ist ein eigener, eindeutiger Account vorhanden. Sprich, es lassen sich nicht mehr gleiche Zugangsdaten zur Anmeldung an unterschiedlichen Webservices verwenden.
  • Zweitens, die Zugangsfaktoren wie biometrische Informationen verlassen niemals das Endgerät eines Users
  • Drittens, die Anwender können sich mithilfe eines Hardware-Tokens, einem Smartphone oder biometrischen Merkmalen wie beispielsweise einem Fingerabdruck, Gesichtserkennung oder Iris Scan anmelden.
  • Viertens, für die Anmeldung sind keine Passwörter notwendig. Dadurch ist diese Authentifizierungsmethode resistent gegen Man-in-the-Middle-Angriffe und verhindert den Passwortdiebstahl durch Phishing.
  • Fünftens, WebAuthn wird inzwischen von Windows 10, Android, Google Chrome, Mozilla Firefox, Microsoft Edge und Apple Safari unterstützt. Ebenso ist die Integration auf Webseiten über den Aufruf der WebAuthn-API möglich.

Fazit:

Die Web Authentication ist ein Meilenstein in der Geschichte der Internetsicherheit. Sie ist der erste globale Standard für eine sichere Web-Authentifizierung und ebnet somit den Weg in eine Welt der benutzerfreundlichen, hochsicheren und passwortfreien Authentifizierung.

Kontakt: Ingo Lücker, ingo.luecker@itleague.de