Passwortlose Authentifizierung mit WebAuthn | WordPress

Passwortlose Authentifizierung mit WebAuthn

Durch die passwortlose Authentifizierung können sich Benutzer anmelden, ohne sich ein Passwort merken zu müssen. Anstelle des herkömmlichen Benutzernamens und Passworts können Sie mit WebAuthn die bereits auf Ihrem Gerät eingerichteten Anmeldemethoden verwenden. Mit der Webauthentifizierung können Sie also den Fingerabdrucksensor Ihres Telefons oder Windows Hello auf Ihrem PC verwenden oder sich sogar mit Ihrer Apple-ID auf einer beliebigen Website anmelden.

Zu den unterstützten Methoden gehören unter anderem:

• Windows Hallo
• Fingerabdrucksensoren auf beiden Laptops/Handys
• Windows-PIN
• Yubikey
• Gesichtsauthentifizierung

Die meisten Benutzer verwenden möglicherweise dieselben Anmeldeinformationen für verschiedene Systeme. Dadurch wird die Sicherheit all dieser Websites erheblich geschwächt, wenn die Anmeldeinformationen durchsickern oder von einem unbefugten Benutzer erlangt werden. Die Webauthentifizierung ist eine relativ neue Spezifikation, die für das neue Zeitalter des Internets und die darin enthaltenen neuen Technologien entwickelt wurde. Geben Sie uns die Ressourcen und die Infrastruktur, um verschiedene Authentifizierungsmethoden zu verwenden.

Im Gegensatz zu seinem Vorgänger sollte WebAuthn bestehen bleiben. Obwohl die Feinheiten der Spezifikation komplex sind, ließ sich die Webauthentifizierung in der Praxis recht einfach implementieren. Zum Zeitpunkt des Verfassens dieses Artikels verfügen sowohl Chrome als auch Firefox über die für WebAuthn erforderlichen Datentypen, und der Nightly Build von Firefox ist in der Lage, Anmeldeinformationen zu erstellen und anzufordern. Wir werden etwas später darüber sprechen, was dieser neue Standard für die Zukunft von Passwörtern bedeuten könnte (leider werden sie wahrscheinlich morgen nicht verschwinden), aber zunächst etwas mehr über die Kernkomponenten der WebAuthn-API.

Webauthentifizierung im Vergleich zu herkömmlichen Authentifizierungsmethoden

Das Wichtigste, was WebAuthn bieten möchte, ist die biometrische Multi-Faktor-Authentifizierung basierend auf „Etwas, das ein Benutzer ist“. Ein Benutzer hat (in den meisten Fällen) eine Stimme, einen Fingerabdruck oder eine Netzhaut, die für ihn einzigartig ist. Heutzutage verfügen die meisten Benutzer auch über ein biometrisches Gerät wie ein Smartphone, das diese Daten verwenden kann, um Anmeldeinformationen zu erstellen und zu verwalten, auf die nur der Benutzer über diese einzigartigen Merkmale zugreifen kann.
Um Implementierungen von WebAUthn im wirklichen Leben zu sehen, können Sie zu Github gehen, der die Webauthentifizierung als Anmeldemethode nativ unterstützt. Für eine Web-Demo können Sie sich hier die gesamte Implementierung ansehen. https://webauthn.io/

Aktivieren von WebAuthn für Ihre WordPress-Website

miniOrange ist derzeit die einzige Möglichkeit, WebAUthn zuverlässig auf Ihrer WordPress-Website zum Laufen zu bringen. Mit unserem Zwei-Faktor-Authentifizierungs-Plugin können Sie die Web-Authentifizierung als zweiten Faktor nutzen. miniOrage bietet ein sicheres Zwei-Faktor-Authentifizierungsmechanismus-Plugin für mehrere Plattformen (WordPress, Atlassian, Drupal, Magento und Moodle), das den Datenbanken und der Website Ihres Unternehmens eine zusätzliche Sicherheitsebene hinzufügt. Über diese Plugins erhalten Sie Zugriff auf mehrere Authentifizierungsmethoden, die verhindern können, dass die Anmeldeinformationen des Benutzers absichtlich oder versehentlich an Dritte weitergegeben werden. Wenn der Benutzer seinen/ihren korrekten Benutzernamen und sein Passwort eingibt, wird ihm eine Seite zur Zweitfaktor-Authentifizierung angezeigt, damit er sich erfolgreich anmelden kann. Wir bieten über 15 Authentifizierungsmethoden an, darunter OTP über E-Mail, OTP über SMS, Hardware-Token, QR-Code-Authentifizierung, Google-Authentifikator usw.

Welche Vorteile bietet die passwortlose Authentifizierung mit WebAuthn?

• Bessere Sicherheit

  Benutzergesteuerte Passwörter stellen eine große Schwachstelle dar, da Benutzer Passwörter wiederverwenden und sie mit anderen teilen können.
  
  Die Sicherheit passwortloser Authentifizierungssysteme hängt vom erforderlichen Identitätsnachweis und deren Umsetzung ab.
  
  Beispielsweise gilt die Verwendung sicherer Push-Benachrichtigungen an das Mobilgerät des Kontoinhabers im Allgemeinen als sicherer als Passwörter. One-Time-Passwörter per SMS werden auf Mobilgeräten im Allgemeinen als zweiter Authentifizierungsfaktor neben der herkömmlichen Kombination aus Benutzername und Passwort verwendet.




• Bessere Kontrolle

  Phishing, Wiederverwendung und Weitergabe sind häufige Probleme bei der Verwendung von Passwörtern. Mit der passwortlosen Anmeldung haben Benutzer eine bessere Kontrolle über ihr Konto und sind weniger anfällig für Phishing.
  Wenn Passwörter nicht mehr im Spiel sind, verbessern sich sowohl die Benutzererfahrung als auch die Sicherheit.

Was verhindert die passwortlose Anmeldung mit WebAuthn?

• Passwort sprühen

  Beim Passwort-Spraying handelt es sich um einen Angriff, bei dem versucht wird, mit einigen wenigen häufig verwendeten Passwörtern auf eine große Anzahl von Konten (Benutzernamen) zuzugreifen. Bei herkömmlichen Brute-Force-Angriffen wird versucht, sich durch Erraten des Passworts unbefugten Zugriff auf ein einzelnes Konto zu verschaffen.
  
  Beim Passwort-Spraying probiert ein Angreifer Kombinationen aus Benutzernamen und Passwörtern aus der Liste häufig verwendeter Passwörter aus.




• Füllen von Anmeldeinformationen

  Credentials Stuffing ist eine Angriffsart, bei der gestohlene Anmeldeinformationen verwendet werden, die aus einer Liste von Benutzernamen und ihren Passwörtern bestehen. Credentials Stuffing unterscheidet sich vom Brute-Force-Angriff darin, dass nicht versucht wird, die Anmeldeinformationen eines Benutzers zu erraten, sondern eine Liste der durchgesickerten Anmeldeinformationen verwendet wird.
  
  Credential-Stuffing-Angriffe sind möglich, weil viele Benutzer dieselbe Benutzername/Passwort-Kombination auf mehreren Websites wiederverwenden. Eine Umfrage berichtet, dass 81 % der Benutzer ein Passwort auf zwei oder mehr Websites wiederverwendet haben und 25 % der Benutzer auf den meisten Websites dieselben Passwörter verwenden ihre Konten.




• Brute-Force-Angriff

  Bei einem Brute-Force-Angriff handelt es sich um eine Angriffsart, bei der durch Versuch und Irrtum eine Kombination aus Benutzername und Passwort erraten wird. Es besteht aus wiederholten Anmeldeversuchen mit jeweils unterschiedlichen Kombinationen. Das Erraten eines kurzen Passworts kann relativ einfach sein, aber das ist bei längeren Passwörtern oder Verschlüsselungsschlüsseln nicht unbedingt der Fall. Die Schwierigkeit von Brute-Force-Angriffen wächst exponentiell, je länger das Passwort oder der Schlüssel ist.

Passwortlose Anmeldung in WordPress mit dem miniOrange 2-Faktor-Authentifizierungs-Plugin mit WebAuthn

Die Anmeldung kann mit Benutzername und 2-Faktor oder nur mit Benutzername erfolgen, der basierend auf der Benutzerrolle festgelegt werden kann. Wenn einer Rolle die passwortlose Anmeldung nicht gestattet ist, meldet sie sich mit einem Passwort und einem Benutzernamen an.

Es gibt zwei Möglichkeiten:

• Login mit Passwort + 2. Faktor:

  Sie können sich mit WordPress-Benutzername + Passwort und anschließender 2.-Faktor-Authentifizierung anmelden.




• Nur mit 2nd Factor anmelden:

  Bei dieser zweiten Option erhalten Sie Variationen von Benutzername + Passwort und Benutzername + 2-Faktor-Authentifizierung im selben Fenster.

Welche Add-ons gibt es für WordPress Login?

• Erzwingen Sie bei der Benutzerregistrierung die Zwei-Faktor-Verifizierung für WordPress-Benutzer

  Mit dem miniOrange Zwei-Faktor-Plugin für die WordPress-Anmeldung können Sie WordPress-Benutzer anweisen, die Telegram-Verifizierung während der Inline-Registrierung zu konfigurieren, damit die zweite Sicherheitsebene zu ihrem WordPress-Konto hinzugefügt wird.



• Zwei-Faktor-Verifizierung, kompatibel mit Woocommerce-Formularen

  Diese Verifizierungsmethode ist mit fast allen WordPress-Anmeldeformularen und auch mit dem WooCommerce-Formular kompatibel.



• Passwortlose Anmeldung mit Zwei-Faktor-Verifizierung

  Sie können die passwortlose Anmeldung problemlos auf Ihr WordPress-Login einrichten, indem Sie mit nur einfachen Schritten die Telegram-Verifizierung einrichten.



• Anpassung

  Die Anmeldesicherheit von miniOrange bietet auch Anpassungsoptionen. Sie können die Benutzeroberfläche mit Zwei-Faktor-Eingabeaufforderung an das Design Ihrer WordPress-Website anpassen.



• Sicherungsmethoden

  Für den Fall, dass Sie Ihre Zwei-Faktor-Authentifizierung verlieren, erhalten Sie auch Ersatzmethoden wie eine alternative Zwei-Faktor-Methode oder eine alternative zusätzliche Sicherheitslösung, um zu Ihrem WordPress-Konto zurückzukehren.