Phishing-resistente MFA, die eine gefälschte Anmeldeseite nicht umgehen kann
Phishing-resistente MFA ist Multi-Faktor-Authentifizierung, die den Benutzer auch dann schützt, wenn er auf einer überzeugend gefälschten Anmeldeseite landet. Codes per SMS und Codes aus einer Authenticator-App erreichen das nicht, weil ein Benutzer sie auf der falschen Website eingeben kann. Passkeys und Sicherheitsschlüssel erreichen es, und die Skycloak Platform ist dafür gebaut, Ihren Benutzern diese Faktoren ohne neuen Code in Ihrer Anwendung zu geben.
Warum Codes nicht reichen
Ein Einmalcode beweist, dass der Benutzer ein Telefon besitzt, aber nicht, auf welcher Website er ihn eingibt. Angreifer betreiben Proxy-Seiten zwischen Benutzer und echter Website: Der Benutzer gibt Passwort und Code auf der Fake-Seite ein, der Proxy reicht beides sofort an die echte Website weiter und behält die Sitzung, die er zurückbekommt. Der zweite Faktor wurde benutzt, und das Konto ist trotzdem verloren.
Push-Bestätigungen haben eine verwandte Schwäche. Ein Angreifer, der das Passwort schon hat, schickt Anfragen, bis ein müder Benutzer auf Bestätigen tippt, weshalb Sicherheitsteams heute Faktoren verlangen, die vom Benutzer gar kein Urteil erfordern.
Was einen Faktor phishing-resistent macht
Passkeys und FIDO2-Sicherheitsschlüssel nutzen den WebAuthn-Standard. Der Browser teilt dem Authenticator mit, welche Website anfragt, und der Authenticator signiert nur für die Website, für die das Credential erstellt wurde. Unter einer gefälschten Adresse gibt es schlicht kein Credential, sodass der Angriff scheitert, ohne dass der Benutzer etwas bemerken muss.
Genau diese Eigenschaft nennen Vorgaben wie die Zero-Trust-Strategie der US-Regierung und viele Sicherheitsfragebögen von Unternehmen heute ausdrücklich, wenn sie nach Multi-Faktor-Authentifizierung fragen.
Wie die Plattform sie bereitstellt
Passkeys und Multi-Faktor-Authentifizierung stehen im Plan der Plattform, Passkeys gebaut auf go-webauthn. Die Anmeldeseite Ihres Mandanten übernimmt Registrierung, Anmeldung und Wiederherstellung, und Ihre Anwendung erhält dieselben OpenID-Connect-Tokens, gleich welcher Faktor genutzt wurde.
Für Geschäftskunden, die phishing-resistente Faktoren schon in ihrem eigenen Verzeichnis erzwingen, steht auch Enterprise SSO über SAML im Plan, sodass ihre Richtlinie gilt, wenn sich ihre Mitarbeitenden in Ihrem Produkt anmelden. Wir nennen eine Funktion erst verfügbar, wenn sie ausgeliefert ist; in einer Demo sehen Sie, was Sie heute nutzen können.
Häufige Fragen
Sind Codes aus einer Authenticator-App phishing-resistent?
Nein. Sie sind viel besser als ein Passwort allein, aber ein Benutzer kann den Code auf einer Fake-Seite eingeben, und ein Angreifer kann ihn in Sekunden an die echte Website weiterreichen.
Ist ein Passkey ein zweiter Faktor oder ein Ersatz für das Passwort?
Beides ist möglich. Ein Passkey verbindet etwas, das der Benutzer besitzt, das Gerät, mit etwas, das er ist oder weiß, die Entsperrung, und zählt damit allein schon als Multi-Faktor.
Sehen Sie sich die Skycloak Platform selbst an
Buchen Sie eine Demo, und wir zeigen Ihnen die Plattform mit Blick auf Ihre eigenen Anmeldeabläufe.