Das Passwort stirbt nicht aus

Einführung#

Im letzten Jahr gab es Nachrichtenartikel im Internet, die behaupteten, dass große Technologieunternehmen wie Apple, Google und Microsoft sich zusammenschließen würden, um Passwörter abzuschaffen. Einige Startups erklärten sogar, dass Passwörter veraltet und überholt seien. Nachdem ich monatelang in den Bereich der Identitätsverwaltung eingetaucht war, begann ich, die Gültigkeit und Praktikabilität dieser Behauptungen in Frage zu stellen.

Was tut ein Passwort?#

Auf den ersten Blick scheint die Antwort offensichtlich: Passwörter werden zum Anmelden und zur Identitätsprüfung verwendet. Allerdings vertrete ich einen anderen Standpunkt, wenn man bedenkt, dass Passwörter nicht wirklich bestätigen können, wer Sie sind:

• Wenn ein Benutzer sich mit einer E-Mail und einem Passwort auf einer Website anmeldet, kann die Website nicht bestätigen, wer sich tatsächlich hinter diesen Anmeldeinformationen befindet. Es könnte ein Mensch oder sogar eine Katze sein.
• Jeder kann ein iPhone mit der richtigen PIN freischalten.

In Wirklichkeit dient das Passwort dazu, anonym den Besitz von etwas zu beweisen: ein Benutzerkonto, ein Gerät oder der Zugang zu einer Tür.

Die derzeitigen “Passwort-Killer”#

Die zuvor genannten Unternehmen haben verschiedene "Passwort-Killer" vorgeschlagen. Viele behaupten, sie seien sicherere Alternativen, die die Notwendigkeit für Benutzer beseitigen, sich komplexe, statische Passwörter bei der Authentifizierung zu merken. Die meisten dieser Alternativen sind jedoch für die vollständige Abschaffung von Passwörtern nicht völlig praktikabel.

FIDO-Authentifizierung#

FIDO (Fast Identity Online) Authentifizierung, wie in der offiziellen Dokumentation erklärt, verwendet Techniken der öffentlichen Schlüsselkryptographie für die Registrierung und das Einloggen (es ist erwähnenswert, dass WebAuthn ein zentraler Bestandteil der FIDO2-Spezifikationen ist). Oberflächlich betrachtet erscheint der Prozess attraktiv:

Einfach, oder? Leider gibt es ein großes Hindernis: die Kompatibilität. Im Vergleich zur herkömmlichen Kombination von "Identifikator und Passwort" erfordert die FIDO-Authentifizierung:

• Dass Webseiten oder Apps FIDO unterstützen.
• Dass Browser und/oder Betriebssysteme FIDO unterstützen.
• Dass Benutzergeräte über einen benutzerfreundlichen Verifizierungsmechanismus verfügen.

Falls eine dieser Anforderungen nicht erfüllt ist, steht die FIDO-Authentifizierung nicht zur Verfügung und es muss auf andere Methoden ausgewichen werden.

Darüber hinaus, selbst wenn alle Bedingungen erfüllt sind, was wird auf einem Gerät als "benutzerfreundlicher Verifizierungsmechanismus" akzeptiert? Derzeit könnte dies biometrische Methoden wie Fingerabdruck- oder Gesichtserkennung beinhalten, begleitet von einer Ausweichoption wie einem PIN-Code, sprich einem Passwort. Am Ende sind wir wieder beim Ausgangspunkt.

Technisch gesehen handelt es sich nicht um einen "Passwort-Killer", sondern eher um einen sichereren und benutzerfreundlicheren Authentifizierungs- oder Verifizierungsprozess, der durch Passwörter geschützt ist.

Einmaliges Passwort#

Auch wenn der Name den Begriff “Passwort” enthält, sind einmalige Passwörter (OTPs) keine traditionellen Passwörter, da sie dynamisch sind. Es gibt zwei beliebte Arten von OTPs:

• Zeitbasiertes Einmal-Passwort (TOTP): Algorithmisch generiert unter Verwendung der aktuellen Zeit als Quelle der Einzigartigkeit. Es wird häufig bei Mehrfaktor-Authentifizierung (MFA) oder 2FA verwendet.
• SMS/E-Mail Einmal-Passwort: Auf dem Server generiert mit Zufallsalgorithmen. In einigen Ländern wurde es als primäre Anmeldemethode weitgehend akzeptiert.

TOTPs sind möglicherweise nicht so bekannt. Wenn eine Webseite Sie z.B. auffordert, MFA einzurichten und eine App wie Google Authenticator oder Duo zu verwenden, um einen QR-Code zu scannen, verwenden Sie wahrscheinlich TOTP. Sie haben möglicherweise auch bemerkt, dass die Webseite oft einen langen "Wiederherstellungscode" anzeigt und Sie dazu auffordert, ihn zu sichern, da er nur einmal angezeigt wird. Einige Webseiten ermutigen die Benutzer sogar, ihn auszudrucken. Dieser Wiederherstellungscode funktioniert im Wesentlichen wie ein langes Passwort.

Bei SMS/E-Mail OTPs können sie teuer und unzuverlässig sein:

• Der Aufbau eines SMS- oder E-Mail-Senders von Grund auf erfordert Einrichtung.
• E-Mail-Sender müssen einen positiven "Ruf" aufbauen, um die Zustellbarkeit zu verbessern - ansonsten könnte der Absender als Spam markiert werden.
• Jedes Land hat seine eigenen Mobilfunkanbieter, was zu unberechenbaren Lieferzeiten und bemerkenswerten Kosten für den SMS-Versand führt, insbesondere für Startups.

Biometrie#

Der Begriff "biometrisch" bezieht sich auf die ausschließliche Verwendung von biometrischen Methoden zur Online-Authentifizierung. Tatsächlich gibt es einen grundlegenden Unterschied im Vergleich zu anderen Methoden: biometrische Authentifizierung verlagert die ursprüngliche Aufgabe des "Nachweises des Besitzes von etwas" zum "Nachweis, wer Sie sind". Aufgrund von Datenschutzbedenken werden biometrische Methoden vorwiegend zur lokalen Authentifizierung eingesetzt.

Das Passwort ist allerdings nicht perfekt#

Wie wir sehen können, verstecken "Passwort-Killer" im Wesentlichen Passwörter oder verwenden Passwörter als Ausweichoptionen. Hier ist eine Zusammenfassung der Vorteile von Passwörtern basierend auf unserer Diskussion:

• Zugänglichkeit und Kompatibilität: Passwörter können in verschiedenen Systemen verwendet werden und sind für eine breite Palette von Benutzern zugänglich.
• Kosteneffizienz und Vielseitigkeit: Passwortbasierte Authentifizierung ist im Allgemeinen kostengünstiger als andere Methoden und an verschiedene Szenarien anpassbar.
• Anonymität und Datenschutz: Passwörter ermöglichen anonyme Nutzung und schützen die Privatsphäre der Benutzer.

Jede Medaille hat jedoch zwei Seiten. Während Passwörter ihre Vorteile haben, stellen sie, wenn man sich allein auf sie für die Authentifizierung verlässt, erhebliche Sicherheitsrisiken dar. Sie können für Endbenutzer schwierig zu handhaben sein und wenn Webseitenbetreiber keine ordnungsgemäßen Sicherheitspraktiken befolgen, werden Passwörter leicht kompromittiert. Gefährliche Sicherheitspraktiken beinhalten, sind aber nicht beschränkt auf:

• Erlauben von schwachen oder durchgesickerten Passwörtern.
• Nicht Durchsetzen von HTTPS für Verbindungen.
• Verwendung unsicherer Hash-Algorithmen.
• Nicht strenge Einhaltung bewährter Standards wie OAuth oder OpenID Connect (OIDC).
• Öffentliches Ausstellen der Datenbank.

Schlussfolgerung#

Ich beabsichtige nicht, eine der oben genannten Authentifizierungsmethoden zu untergraben. Im Gegenteil, während ich daran arbeite, Logto zu erstellen, habe ich großen Respekt entwickelt für diese bemerkenswerten Authentifizierungsmethoden und die Personen dahinter.

Dennoch ist eine 100%ige Sicherheit ein unerreichbares Ziel. Worauf wir hinarbeiten können, ist die Reduzierung der Angriffsmöglichkeiten. Ein effektiver Ansatz besteht darin, passwortbasierte Authentifizierung mit einmaligen Passwörtern zu kombinieren, die auf das aktuelle Gerät oder die aktuelle Umgebung basieren, was eine zusätzliche Verifizierungsebene hinzufügt und weit verbreitet ist. Indem wir die Stärken verschiedener Authentifizierungstechniken nutzen, können wir einen abgestuften Ansatz schaffen, der einen stärkeren Schutz bietet.

Abschließend sollten wir uns statt auf Schlagworte wie "Passwort-Killer" zu fokussieren, wenn Passwörter tatsächlich nicht abgeschafft werden, eher darauf konzentrieren, ein Gleichgewicht zwischen Sicherheit und Benutzererlebnis herzustellen. Dies erfordert das Verständnis der Stärken und Einschränkungen verschiedener Authentifizierungsmethoden und deren Implementierung auf eine Weise, die sowohl die Sicherheit der Benutzerdaten als auch ein nahtloses Benutzererlebnis gewährleistet.