Wenn Quantencomputer Passkeys herausfordern – Teil 1

Passkeys sind eine der wichtigsten Entwicklungen auf dem Weg zu einer phishing-resistenten, passwortlosen Authentifizierung. Für Nutzer machen sie die Authentifizierung einfacher und sicherer. Technisch basieren sie auf dem FIDO2-Ökosystem – und damit auf Standards und Protokollen wie WebAuthn und CTAP.

Die langfristige Sicherheit der passwortlosen Authentifizierung hängt jedoch auch davon ab, wie gut ihre kryptografischen Grundlagen auf das Post-Quanten-Zeitalter vorbereitet werden können. Hier wird es interessant: Bei der Umstellung auf postquantum-Kryptografie (PQC) geht es nicht nur darum, einzelne Signaturalgorithmen zu ersetzen. Sie wirkt sich auf das Zusammenspiel zwischen WebAuthn, CTAP, Authentifikatoren, vertrauenden Parteien und der Public-Key-Infrastruktur aus.

In den letzten Jahren hat sich FIDO2 über Browser, Betriebssysteme, Hardware-Sicherheitsschlüssel und Cloud-Plattformen hinweg weit verbreitet etabliert. Durch den Einsatz asymmetrischer Kryptografie anstelle von Passwörtern reduziert FIDO2 erhebliche Risiken wie Phishing, den Diebstahl von Anmeldedaten und deren Wiederverwendung.

Gleichzeitig stellen die Fortschritte im Bereich des Quantencomputings eine langfristige Herausforderung dar. Algorithmen wie RSA und die Kryptografie mit elliptischen Kurven (ECC), die in verschiedenen Bereichen des FIDO-Ökosystems zum Einsatz kommen, gelten als anfällig gegenüber ausreichend leistungsstarken Quantencomputern. Dies wirft eine wichtige Frage auf: Wie kann FIDO auf postquantene Kryptografie umgestellt werden – technisch, organisatorisch und im gesamten Ökosystem?

Im Kern besteht das FIDO2-Ökosystem aus vier Hauptkomponenten.

Die vertrauende Partei ist der Online-Dienst oder die Anwendung, bei der sich ein Benutzer authentifizieren möchte.

Der Client ist in der Regel das Betriebssystem oder der Browser, der die Kommunikation über WebAuthn und CTAP (Client-to-Authenticator Protocol) abwickelt.

Der Authentifikator ist das Gerät oder die Anwendung, die den privaten Authentifizierungsschlüssel generiert und speichert. Die Implementierungen reichen von Hardware-Sicherheitsschlüsseln bis hin zu plattformbasierten Authentifikatoren.

Schließlich ist der FIDO Metadata Service (MDS) ein von der FIDO Alliance betriebener Dienst. Er stellt Informationen über Authentifikatormodelle und zugehörige Zertifikate bereit. Dies ermöglicht es einer vertrauenden Partei, zu überprüfen, ob ein Authentifikator echt und vertrauenswürdig ist.

Das Ökosystem basiert auf zwei zentralen Protokollen. WebAuthn, eine W3C-Spezifikation, definiert, wie die vertrauende Partei mit dem Client kommuniziert, um Anmeldedaten zu erstellen oder zu verwenden. CTAP, spezifiziert von der FIDO Alliance, definiert, wie der Client mit dem Authentifikator kommuniziert. Je nach Implementierung kann der Authentifikator über verschiedene Übertragungswege verbunden sein, wie beispielsweise USB-HID, NFC oder BLE.

Kurz gesagt: FIDO2 verbindet WebAuthn und CTAP und bindet ein Public-Key-Credential kryptografisch an eine bestimmte Relying Party. Dadurch sind Passkeys heute phishing-resistent. Viele FIDO-Implementierungen nutzen jedoch weiterhin klassische asymmetrische Kryptografie. Eine Migration zu Post-Quantum Security betrifft deshalb nicht nur Credential-Signaturen, sondern auch Authenticator, Attestation, sichere Kanäle, Metadaten, Zertifizierung und Transportgrenzen.

Bei der Registrierung sendet die vertrauende Partei eine Herausforderung und zusätzliche Metadaten an den Client. Der Authentifikator generiert daraufhin ein neues asymmetrisches Schlüsselpaar, das spezifisch für die vertrauende Partei und die Benutzer-ID ist. Er gibt den öffentlichen Schlüssel zusammen mit Informationen über den Authentifikator zurück.

Diese Antwort wird mit einem Attestierungsschlüssel signiert, der anhand eines Zertifikats aus dem Metadatendienst (MDS) verifiziert werden kann. Zusätzliche Informationen aus dem MDS ermöglichen es der vertrauenden Partei, die Vertrauenswürdigkeit des Geräts zu bewerten, beispielsweise anhand seiner Zertifizierungsstufe.

Während der Authentifizierung stellt die vertrauende Partei erneut eine Herausforderung bereit. Der Authentifikator signiert diese Herausforderung zusammen mit zusätzlichen Informationen, beispielsweise darüber, ob der Benutzer verifiziert wurde. Die Signatur wird unter Verwendung des bei der Registrierung generierten privaten Schlüssels erstellt. Auf diese Weise weist der Authentifikator nach, dass er weiterhin über die passenden Anmeldedaten verfügt und dass die Benutzerverifizierung erfolgreich durchgeführt wurde.

Ein Grund dafür, dass FIDO2 gegen Phishing resistent ist, besteht darin, dass Anfragen zur Erstellung oder Verwendung einer Berechtigung einen Hash der ID der vertrauenden Partei enthalten. Diese RP-ID ist typischerweise die Domain eines Webdienstes. Der Authentifikator bindet die Berechtigung an diesen RP-ID-Hash und verhindert, dass andere Ursprungsseiten sie verwenden.

Deshalb sind Passkeys so wirksam gegen Phishing: Die Anmeldeinformationen sind nicht einfach ein Geheimnis, das auf jeder beliebigen Website eingegeben werden kann. Sie sind kryptografisch an die richtige vertrauende Partei gebunden.

Aus Sicht des Nutzers erscheint FIDO2 einfach: Ein Sicherheitsschlüssel oder ein Plattform-Authentifikator ersetzt das Passwort durch eine lokale Nutzerüberprüfung. Technisch gesehen ist die Kryptografie mit öffentlichen Schlüsseln jedoch tief in verschiedenen Teilen des Ökosystems verankert.

Jede bei der Registrierung generierte Berechtigung besteht aus einem öffentlichen und einem privaten Schlüssel. Heutzutage basieren diese in der Regel auf Algorithmen mit elliptischen Kurven wie ECDSA P-256 oder Ed25519.

Eine Anfrage zur Erstellung eines Zugangsdatensatzes enthält immer eine Liste zulässiger Algorithmen. Die Antwort enthält dann die für diesen Zugangsdatensatz ausgewählte Algorithmus-Kennung.

Konzeptionell gehört dies zu den einfacher zu migrierenden Komponenten. Theoretisch kann der Signaturalgorithmus durch eine postquanten-sichere Alternative ersetzt werden, sobald die entsprechenden Kennungen registriert sind. In diesem Fall müssen die vertrauende Partei und der Authentifikator hauptsächlich einen gemeinsamen PQC-Algorithmus unterstützen. Der Client übernimmt die Übersetzung zwischen CTAP und WebAuthn, muss den Algorithmus selbst jedoch weder verstehen noch implementieren.

In der Praxis gibt es jedoch nach wie vor erhebliche Herausforderungen. Postquantenalgorithmen sind in der Regel mit deutlich größeren Schlüssel- und Signaturgrößen verbunden. Bei Geräten mit begrenzten Ressourcen, wie beispielsweise Hardware-Sicherheitsschlüsseln, kann dies zu Speicher- oder Leistungsproblemen führen. Zudem kann es zu Problemen mit Beschränkungen der Nachrichtengröße in den zugrunde liegenden Protokollen, wie beispielsweise CTAP-HID, kommen.

Dies ist ein wichtiges Thema bei der PQC-Migration von FIDO2: Der Wechsel eines Algorithmus mag im Prinzip einfach erscheinen, doch die Details der praktischen Umsetzung spielen eine entscheidende Rolle.

Passkeys haben FIDO2 einem viel breiteren Publikum bekannt gemacht. Sie sind die Lösung, die viele Menschen mittlerweile mit der passwortlosen Authentifizierung in Verbindung bringen.

Hinter der komfortablen Benutzererfahrung verbirgt sich jedoch ein komplexes Ökosystem, das auf Public-Key-Kryptografie basiert. Um dieses Ökosystem auf das Post-Quanten-Zeitalter vorzubereiten, muss man sich genauer mit den Bereichen befassen, in denen Kryptografie nicht nur für Anmeldedaten, sondern auch für Vertrauensketten, sichere Kanäle, PIN-Verifizierung, Metadaten und Zertifizierung eingesetzt wird.

Im zweiten Teil dieser Blogreihe werde ich diese komplexeren Aspekte der Migration näher beleuchten: die Attestierungsinfrastruktur, sichere Kanäle, PIN-Protokolle, die Koordination des Ökosystems sowie praktische Möglichkeiten, PQC-fähiges FIDO zu demonstrieren.