Moderne Authentifizierung mit und ohne Passwort

Herkömmliche Passwörter stellen in Zeiten zunehmender Komplexität und Häufigkeit von Cyber-Angriffen eine Schwachstelle in der eigenen IT-Infrastruktur dar. Sicherheitsexperten setzen daher auf fortschrittlichere Methoden wie Public Key Infrastructures (PKIs) und moderne Authentifizierungsverfahren wie die Zwei-Faktor-Authentifizierung oder gar die passwortlose Authentifizierung. Um die Sicherheit in der eigenen digitalen Infrastruktur zu gewährleisten, ist ein tieferes Verständnis dieser Technologien und ihrer richtigen Anwendung unerlässlich.

In diesem Workshop mit hohem Praxisanteil erhalten Sie einen umfassenden Überblick über Konzepte, Protokolle und Best Practices für die Authentifizierung mit einem zweiten Faktor oder ganz ohne Passwort. Sie lernen moderne Alternativen zur traditionellen kennwortbasierten Anmeldung kennen und erfahren, welche Rolle asymmetrische Kryptographie mit öffentlichen und privaten Schlüsseln und die FIDO-Sicherheitsprotokolle dabei spielen.

In konkreten Übungen wenden Sie Ihr neu erworbenes Wissen in einer sicheren virtuellen Umgebung an, die mit OpenSSL und Active Directory Certificate Services ausgestattet ist. Grundsätzlich ist das Wissen, das Sie im Workshop erwerben, tool- und plattform-agnostisch: Das Erlernte ist auf jede andere PKI-Software und jedes andere Authentifizierungsszenario übertragbar.

Agenda:

Grundlagen

• Einführung Public Key-Verfahren und digitale Signaturen

• Algorithmen-Auswahl und Längen-Empfehlungen

• Schlüsselformate (PEM, DER, Raw)

• Schlüsselpaare erstellen und verwenden

• Sicherheitspraktiken und Offline Keys

• Digitale Signaturen richtig einsetzen

Public Key Infrastructures

• Zertifikate

  • Einführung in Zertifikate

  • Zertifikatsstruktur in X509

  • Zertifikatsformate (PKCS12, PEM, DER)

  • Digitale Zertifikate erstellen

• Chain of Trust

  • Einführung am Beispiel der WebPKI

  • Root und Intermediate Certificate Authority erstellen

  • Root-Schlüssel verwalten

  • Zertifikate durch die Certificate Authority ausstellen

  • Eigene Certificate Authorities in Browser und Betriebssystem erstellen

• Alternative Wege Der Public Key-Verteilung

  • Das TOFU-Prinzip

  • Das Web of Trust

• Authentifizierung mit PKI

  • Zertifikatsbasierte Authentifizierung am Beispiel SSH

  • Login am Rechner via Smartcard-Zertifikat

  • Client-Zertifikate in TLS

  • VPN mit Client-Zertifikaten

• Kurz-Überblick über die Active Directory Certificate Services

Zwei-Faktor-Authentifizierung und passwortlose Authentifizierung mit FIDO

• Einführung in das FIDO- und Webauthn-Protokoll

  • Was sind FIDO 2, Webauthn, und CTAP?

  • Protokollteilnehmer und Message Flow

• Einsatz- und Konfigurationsmöglichkeiten von FIDO

  • Zwei-Faktor-Authentifizierung

  • Passwortlose Authentifizierung

  • Resident Key Szenarien

• Verwendbare Hardware Tokens

  • Plattform-Tokens in Handy und Laptop

  • Hardware-Token-Anbieter

• Remote Attestation mit Zertifikaten

  • Remote Attestation mit FIDO

• FIDO im eigenen Projekt verwenden

  • FIDO-Bibliotheken für Software-Projekte

  • Tools wie Keycloak als Identity Manager

  • FIDO für die eigene Webseite/das eigene Portal aufsetzen

• (Time based) One Time Passwords als Alternative

  • Funktionsweise

  • Verwendung mit TOTP Apps

  • Vergleich mit FIDO und Co.

Ausblick

• Public Key Infrastructure und FIDO

  • Vor- und Nachteile der Lösungen

• Zukünftige Signaturverfahren

  • Post-Quantum Signaturverfahren

  • Entwicklung der Schlüsselgrößen

Offene Diskussion

• Teilnehmer bringen ihre eigenen Themen und Fragen