FIDO2-Sicherheitsschlüsselunterstützung für mobile Clients aktiviert

Das FIDO2-Protokoll zur passwortlosen Authentifizierung erleichtert die passwortlose Anmeldung und wird weiterhin als Industriestandard unterstützt. Updates für mobile Betriebssysteme haben eine native Unterstützung für den Standard hinzugefügt, sodass die Bitwarden FIDO2-Unterstützung dieses sichere Protokoll nutzen kann. Aber was ist FIDO2 und wie wirkt es sich auf Sie aus?

FIDO steht für Fast IDentity Online (nicht der Name eines Hundes), als Abkürzung für den Authentifizierungsstandard, der von der FIDO Alliance, einem offenen Branchenverband, erstellt wurde. Die Gruppe, einschließlich der führenden Unternehmen der Internetbranche, arbeitete zusammen, um den Standard zu entwickeln und die Online-Authentifizierung voranzutreiben, insbesondere um die Abhängigkeit von Passwörtern zu reduzieren.

FIDO2 dient als Protokoll für Anwendungen, Server und andere Geräte, um miteinander zu kommunizieren und sicherzustellen, dass der Benutzer, der versucht, sich anzumelden, entsprechend authentifiziert wird. Mit anderen Worten, sie sind, wer sie sagen, dass sie sind. Weitere Technologien unter diesem Oberbegriff sind WebAuthn, ein offener Webstandard, und CTAP; beide laufen unter der Haube, um die Sicherheit zu gewährleisten. Im Vergleich zu anderen Protokollen wie OTP (Einmal-Passcodes) bietet FIDO2 einen besseren Schutz, da es dank der Verwendung eines öffentlichen/privaten Schlüsselpaars als Teil seiner Sicherheit stärker gegen Phishing und gefälschte Websites geschützt ist.

Ein FIDO2-Beispiel ist ein Hardware-Sicherheitsschlüssel, bei dem es sich um ein spezielles Gerät handelt, das wie ein USB-Stick aussehen kann. Wenn der Sicherheitsschlüssel an einen Computer angeschlossen ist oder in der Nähe eines Telefons gehalten wird, um von NFC (Nahfeldkommunikation) gelesen zu werden, authentifiziert er den Benutzer. Ein Hardwareschlüssel gilt als sehr sicher, da er nicht dupliziert werden kann und ein physisches Gerät vom Benutzer mitgeführt werden muss.

Mit dieser Version ist Bitwarden jetzt ein FIDO2-Passwort-Manager, der die Verwendung von FIDO2-Hardware-Sicherheitsschlüsseln auf mobilen Clients unterstützt. Dies ergänzt das Angebot an Web-Tresor, Browsererweiterungen und Windows-Desktop-Clients, die FIDO2 als eine Form der zweistufigen Anmeldung unterstützen, um die Sicherheit Ihres Kontos zu gewährleisten.

Es ist wichtig zu beachten, dass Bitwarden FIDO2 für die zweistufige Anmeldung verwendet, nicht als Mittel zum Entsperren Ihres Bitwarden-Tresors. Das Master-Passwort wird verwendet, um sich anzumelden, um den verschlüsselten Tresor auf den Client herunterzuladen, und der aus dem Master-Passwort abgeleitete Schlüssel wird verwendet, um ihn zu entschlüsseln. Weitere Informationen zur Verschlüsselung finden Sie im Bitwarden Security Whitepaper.

Während der zweistufigen Anmeldung werden Sie von Bitwarden aufgefordert, Ihren USB-Hardware-Sicherheitsschlüssel anzuschließen oder ihn (falls NFC-fähig) in der Nähe Ihres Telefons zu halten. Sobald der Schlüssel gelesen wurde, verwendet Bitwarden die FIDO2 Webauthn-Protokolle, um Ihre Identität zu überprüfen. Wenn Sie Angemeldet bleiben auswählen, wird Ihr Gerät 30 Tage lang gespeichert. Dies ist eine leistungsstarke Form der zweistufigen Anmeldung, die Bitwarden anbietet.

Die zweistufige Anmeldung, auch bekannt als Zwei-Faktor-Authentifizierung, 2FA und Multifaktor-Authentifizierung, ist eine Möglichkeit, die Sicherheit deiner Konten drastisch zu erhöhen. Es ist so wichtig, dass, obwohl es in einem Bitwarden-Blog, Webcast und Field Guide ausführlich behandelt wurde, es sich lohnt, hier noch einmal darauf zurückzukommen.

An eine zweistufige Anmeldung kann man denken, wenn man etwas hat, das man kennt, und etwas, das man hat. Damit ein Abenteurer zum Beispiel Zugang zur verbotenen mystischen Stadt erhält, muss er die magische Phrase sprechen (die er kennt) und das verzauberte Medaillon präsentieren (das er hat). Das Hören der magischen Phrase in einer Taverne gibt ihnen keinen alleinigen Zugang!

Nachdem du die zweistufige Anmeldung in einem deiner Konten aktiviert hast, löst die Anmeldung mit einem Benutzernamen und einem Passwort von einem nicht erkannten Gerät den zweiten Schritt aus. Je nach Website können Sie beispielsweise nach einer Codesequenz gefragt werden, die Ihnen per SMS oder E-Mail gesendet wurde, oder nach einem zeitgesteuerten Einmalpasswort (TOTP) einer Authentifizierungs-App.

Verschiedene Arten von zweistufigen Login-Methoden haben unterschiedliche Sicherheitsniveaus und Widerstandsfähigkeit gegenüber Angriffen. SMS-Codes sind allgemein als am wenigsten sicher bekannt, da Telefonnummern anfällig für SIM-Swap-Angriffe sein können. Hardwareschlüssel gelten allgemein als die sicherste Form der Identitätsprüfung.

Jede Art von zweistufiger Anmeldung bietet deutlich mehr Sicherheit, als Ihr Konto ungeschützt zu lassen! Ohne zweistufige Anmeldung ist Ihr Konto nur durch ein einziges Passwort geschützt. Datenlecks und Passwortlecks können ein versehentlich wiederverwendetes Passwort aufdecken, oder ein Brute-Force-Angriff könnte versuchen, Ihr Passwort millionenfach pro Minute zu erraten. Die zweistufige Anmeldung stoppt diese bösen Akteure!

Detaillierte Schritt-für-Schritt-Anleitungen zum Aktivieren von FIDO2 WebAuthn in Bitwarden finden Sie auf der Hilfeseite.

Rufen Sie im Web-Tresor die Registerkarte Einstellungen und dann die Anmeldeseite in zwei Schritten auf. Von dort aus können Sie auswählen, welche Form der zweistufigen Anmeldung Sie verwenden möchten. Beachten Sie, dass die FIDO2-Option im Bitwarden Premium-Plan verfügbar ist.

Jeder FIDO2-Sicherheitsschlüssel kann für die Verwendung eingerichtet werden. Einige gängige Marken sind YubiKey, SoloKey und Nitrokey. Beachten Sie, dass YubiKey von Bitwarden auf zwei verschiedene Arten unterstützt werden kann: OTP (Einmalpasswort) und FIDO2. Stellen Sie sicher, dass Sie die richtige Auswahl für Ihre Bedürfnisse treffen.

Kostenlose Benutzer können bis zu fünf Sicherheitsschlüssel für die Zwei-Faktor-Authentifizierung auf ihrem Konto haben und bezahlte Bitwarden-Benutzer können bis zu zehn Schlüssel haben. Unabhängig davon, welchen Plan du hast, ist es eine gute Idee, mehr als einen zu registrieren, damit du einen für dich und einen anderen an einem sicheren Ort aufbewahren kannst. Sie sollten auch einen Wiederherstellungscode generieren und ihn an einem sicheren Ort aufbewahren, falls Sie Ihre Hardwareschlüssel verlieren. Denken Sie daran, dass die Gefahr besteht, dass Sie für immer von Ihrem Konto ausgeschlossen werden, wenn Sie Ihre Schlüssel und Ihren Wiederherstellungscode verlieren, auch wenn Sie noch Ihr Master-Passwort haben!

Es gibt zwei wichtige Schritte, die jeder heute tun kann, um die Sicherheit im Internet zu verbessern. Die erste besteht darin, jede Form der zweistufigen Anmeldung (2FA, Zwei-Faktor-Authentifizierung, Multifaktor-Authentifizierung) auf jedem Konto zu implementieren, das sie anbietet. Bitwarden kann mit einem Tool namens "Inaktiver 2FA-Bericht" helfen, das alle Anmeldungen im Tresor mit einer Liste von Websites abgleicht, die TOTP als zweistufige Anmeldung anbieten und Anmeldungen kennzeichnen, für die es nicht eingerichtet wurde.

Die zweite besteht darin, gute Passwortgewohnheiten zu praktizieren: Verwenden Sie für jedes Konto einzigartige, zufällig generierte starke Passwörter. Der integrierte Passwortgenerator in Bitwarden ist ein nützliches Werkzeug, um dies zu erleichtern, und speichert diese Passwörter in einem sicheren Tresor, damit sie nicht gespeichert werden müssen.

Darüber hinaus kann der Bitwarden Authenticator, der mit dem Bitwarden Premium-Plan erhältlich ist, bei der TOTP-Zwei-Schritt-Anmeldung helfen, indem er Codes generiert und die Verifizierung von Identitäten auf Websites erleichtert.

Aktivieren Sie noch heute die zweistufige Anmeldung für alle Ihre Konten!

Erfahren Sie, wie Bitwarden mit der Passwortverwaltung zur Verbesserung der Internetsicherheit beitragen kann. Melden Sie sich für eine Live-Demo an und erkunden Sie die Pläne auf bitwarden.com.

Anmerkung der Redaktion: Dieser Artikel wurde ursprünglich am 28. September 2021 verfasst und am 23. Juli 2022 aktualisiert.