Passwortmigration, ohne dass Benutzer ihr Passwort zurücksetzen müssen
Passwortmigration bedeutet, die Passwörter von Benutzern von einem Identitätssystem in ein anderes zu übertragen, damit sie sich weiter mit ihrem bisherigen Passwort anmelden. Entweder importieren Sie die gespeicherten Passwort-Hashes, wenn das neue System ihren Algorithmus unterstützt, oder Sie prüfen jedes Passwort bei der nächsten Anmeldung gegen das alte System und speichern es neu (Lazy Migration). Die Skycloak Platform ist dafür gebaut, Keycloak-Benutzer mit ihren Passwörtern zu importieren, sodass am Tag des Wechsels niemand sein Passwort zurücksetzen muss.
Warum erzwungenes Zurücksetzen Benutzer kostet
Am einfachsten ist es, die Passwörter wegzulassen und alle Benutzer ein neues festlegen zu lassen. Das klingt harmlos, aber jedes Zurücksetzen schickt dem Benutzer eine Nachricht, verlangt, dass er seine Arbeit unterbricht und zurückkommt, und manche bringen es nie zu Ende. Wer sich vor langer Zeit registriert hat, nutzt das damalige Postfach vielleicht nicht mehr und bleibt ausgesperrt, bis der Support hilft. Für ein Produkt ist jeder Benutzer, der nach dem Zurücksetzen nicht zurückkommt, ein Kunde, den Sie aus einem Grund verloren haben, der mit dem Produkt nichts zu tun hat.
Ein massenhaftes Zurücksetzen wirkt außerdem verdächtig, denn eine plötzliche Nachricht, die alle Benutzer zum Ändern ihres Passworts auffordert, sieht genau wie eine Phishing-Kampagne aus. Der Support bekommt in den Tagen danach viele Tickets, und Angreifer können die Verwirrung nutzen, um eigene gefälschte Nachrichten zum Zurücksetzen zu verschicken. Wenn Sie die Passwörter selbst übertragen, vermeiden Sie all das, weil Benutzer am Tag des Wechsels nichts bemerken. Dafür gibt es zwei Wege, und die meisten Migrationen nutzen einen davon oder beide.
Passwort-Hashes importieren oder bei der nächsten Anmeldung neu hashen
Identitätssysteme speichern keine Passwörter, sondern einen Hash von jedem: das Ergebnis einer Einwegfunktion, die ein Passwort in einen Wert umrechnet, der sich nicht zurückrechnen lässt, meist zusammen mit einem Zufallswert namens Salt. Unterstützt das neue System denselben Hash-Algorithmus, etwa bcrypt oder PBKDF2, können Sie die Hashes mit ihren Salts und Parametern importieren, und die Benutzer melden sich sofort im neuen System an. Das ist der sauberste Weg, weil alle Benutzer auf einmal umziehen und das alte System abgeschaltet werden kann, aber er funktioniert nur, wenn das alte System den Export der Hashes erlaubt und das neue diesen Algorithmus prüfen kann.
Lassen sich die Hashes nicht importieren, überträgt die Lazy Migration die Benutzer einzeln, sobald sie sich anmelden. Das neue System erhält das Passwort bei der Anmeldung, prüft es gegen das alte System und speichert, wenn es stimmt, einen eigenen Hash, sodass die nächste Anmeldung das alte System nicht mehr braucht. Dafür muss das alte System weiterlaufen, bis sich die meisten Benutzer angemeldet haben, und wer nie zurückkommt, braucht am Ende trotzdem ein Zurücksetzen. Viele Teams kombinieren beide Ansätze, importieren, was sich importieren lässt, und hashen den Rest neu.
Wie die Skycloak Platform Passwörter, MFA und Passkeys übernimmt
Die Plattform ist dafür gebaut, die Benutzer eines Keycloak-Realms mit ihren Passwörtern zu importieren, sodass die Hashes übernommen werden und sich die Benutzer mit dem Passwort anmelden, das sie kennen. Derselbe Import übernimmt ihre Einstellungen zur Multi-Faktor-Authentifizierung und ihre Passkeys, sodass sie keinen zweiten Faktor neu einrichten müssen. Ein Passkey ist ein Anmeldeschlüssel auf dem Gerät des Benutzers, der das Passwort durch einen kryptografischen Schlüssel ersetzt, und er ist an die Domain gebunden, für die er erstellt wurde, deshalb lohnt es sich, die Anmeldedomain vor dem Umzug festzulegen. Migrations-Kits für andere Identitätsanbieter sind für später geplant.
Sobald die Benutzer auf der Plattform sind, gelten für sie die geplanten Anmeldefunktionen, darunter eine Prüfung der Passwörter gegen die Datenleck-Daten von Have I Been Pwned, mit einer lokalen Kopie, falls dieser Dienst nicht erreichbar ist. Anwendungen funktionieren über Keycloak-kompatible Adressen und Token-Formate weiter, und ein Mandant lässt sich zurück in eine Keycloak-Realm-Datei exportieren, falls Sie den Umzug rückgängig machen müssen. All das ist geplant und noch nicht live, und in einer Demo sehen Sie, welche Teile Sie heute schon nutzen können. Wenn Sie von einem anderen Anbieter kommen, können wir in diesem Gespräch auch klären, wie Ihre Passwörter heute gespeichert sind und welcher Ansatz passt.
Häufige Fragen
Lassen sich Passwörter migrieren, ohne dass Benutzer es merken?
Ja, entweder durch den Import der Hashes oder durch neues Hashen bei der nächsten Anmeldung. In beiden Fällen melden sich Benutzer weiter mit ihrem bisherigen Passwort an, und nur wer sich während einer Lazy Migration nie anmeldet, muss es am Ende zurücksetzen.
Von welchen Anbietern kann die Skycloak Platform Passwörter importieren?
Die Plattform ist dafür gebaut, Keycloak-Realms mit den Passwörtern, der MFA und den Passkeys der Benutzer zu importieren. Migrations-Kits für andere Identitätsanbieter sind für später geplant.
Sehen Sie sich die Skycloak Platform selbst an
Buchen Sie eine Demo, und wir zeigen Ihnen die Plattform mit Blick auf Ihre eigenen Anmeldeabläufe.