Die Zwei-Faktor-Authentifizierung über Passwort und jedesmal neu generierten Sicherheitscode ist der anerkannte Goldstandard, wenn es um die Anmeldung bei Online-Diensten geht. Allerdings halten viele Nutzer dieses Verfahren für zu umständlich. Eine bessere und weniger nervige Lösung ist Passkeys – hier werden einmalig geräteunabhängige Schlüssel vergeben, mit denen sich Browser oder Betriebssysteme der Anwender automatisch identifizieren.
Die Zwei-Faktor-Authentifizierung hat sich für die Anmeldung bei zahlreichen Diensten etabliert, so auch an der Vodia Telefonanlage. So richtig zufrieden aber waren die Benutzer damit schon lange nicht mehr, aus mehreren Gründen. SMS als zweiter Faktor wäre großartig, dafür müssten die Partner allerdings einen SMS-Anbieter einbinden – was aber nur die wenigsten tun. Eine weitere Option, ein USB-Stick, hat jedoch kaum ein Endnutzer. Also blieb als einziger "praktikabler" zweiter Faktor der Code per E-Mail, doch das ist ziemlich umständlich.

“Wir hörten von der FIDO-Allianz, die mit großen Unternehmen wie Microsoft und Google zusammenarbeitete (https://fidoalliance.org/members/), um etwas Besseres als Passwörter zu entwickeln. Dass sie öffentliche und private Schlüssel verwenden, war zwar ein wenig abschreckend, schließlich erfordert das einen ganz schönen Aufwand, damit es funktioniert. Andererseits sind wir hinsichtlich kryptografischer Herausforderungen ziemlich sattelfest”, erinnert sich Dr. Christian Stredicke, Geschäftsführer von Vodia Networks. Also begann das Team bei Vodia, sich mit Passkeys genauer zu beschäftigen. Und das Timing war perfekt: Die Browser unterstützten Passkeys bereits, und es gab viel Beispielcode, um es im Frontend und Backend zum Laufen zu bringen.

Vodia hätte die Unterstützung für Passwörter gerne sofort eingestellt, aber es wurde bald klar, dass dies in absehbarer Zeit unmöglich sein würde. Schließlich konnten sich VoIP-Telefone nach wie vor über die guten alten MD5-Prüfsummen für Benutzername und Passwort registrieren. Das ist immer noch besser als das Versenden von Passwörtern in lesbarem Text, aber nicht wirklich sicher. Dr. Christian Stredicke: “Also haben wir für Benutzer eine Möglichkeit zur Authentifizierung per Passwort und E-Mail beibehalten. Allerdings haben wir zum Schutz vor dummen Replay-Angriffen (https://de.wikipedia.org/wiki/Replay-Angriff) eine API hinzugefügt – diese vermeidet eine Standardauthentifizierung und verwendet stattdessen eine vom Server generierte zufällige Zeichenfolge.”

Vodia experimentierte mit einigen Versionen des Anmeldebildschirms, bis sich eine Variante herauskristallisierte, die die unterschiedlichsten Anforderungen von Anwendern abdeckt. Die Lösung war, Passkeys zum Login anzubieten und gleichzeitig für Nutzer, die Passkeys nicht verwenden können oder wegen innerbetrieblicher Regelungen nicht dürfen, eine Checkbox zu integrieren. Wer Passkeys nicht verwenden kann oder darf, kann diese Box aktivieren und wird bei der nächsten Anmeldung nicht mehr zur Nutzung von Passkeys aufgefordert. Das sollte für die meisten Anwender auch auf längere Sicht eine gute Lösung sein.

“Unser Timing bezüglich Passkeys war wirklich gut. Am Anfang mussten wir viel Überzeugungsarbeit leisten, dass dies eine coole Sache ist. Mittlerweile sind aber Passkeys auf vielen Plattformen im Einsatz. Und die zahlreichen Berichte über Passkeys in den Medien waren ebenso hilfreich”, freut sich Dr. Christian Stredicke.

Das Wichtigste für das Team bei Vodia ist, dass Passkeys die Nutzung ihrer Telefonanlage deutlich sicherer gemacht haben. Nutzer können zwar weiterhin Passwörter verwenden, wenn sie möchten. Aber die Verwendung von Passkeys ist nun so einfach, dass sukzessive immer mehr Anwender auf Passkeys umsteigen werden.

“Passkeys verringern das Risiko, dass sich jemand in Kundensysteme hackt: Das spart Zeit und Geld und führt zu weniger Supportanfragen. Wenn Hacker die Wahl haben, entscheiden sie sich für tiefer hängende Früchte und lassen die Nutzer der Vodia PBX in Ruhe”, so Dr. Christian Stredicke.

‍

Bleiben Sie auf dem Laufenden: Folgen Sie uns auf Twitter und LinkedIn.