iOS / iPadOS14

Face ID und Touch ID erhalten FIDO2 Support

12.08.2020
Von   
Mark Zimmermann weist mehrere Jahre Erfahrung in den Bereichen Mobile Sicherheit, Mobile Lösungserstellung, Digitalisierung und Wearables auf und verantwortet ein Team zur mobilen Lösungsentwicklung bei der EnBW Energie Baden-Württemberg AG. Er versteht es seine Themen aus unterschiedlichsten Blickwinkeln für unternehmensspezifische Herausforderungen darzustellen. Hierzu ist er nebenberuflich auf nationale Vorträgen und als freier Autor für Fachpublikationen tätig und betreibt einen eigenen Podcast (Beta-Schmerz) rund um das iOS-Ökosystem.
Mit iOS 14 und iPadOS 14 baut Apple die systemseitige Unterstützung des Web-Authentifizierungs-Standards FIDO2 weiter aus. Künftig fungieren iPhones, iPads und iPods als Sicherheitsschlüssel zur Authentifizierung an FIDO2-fähigen Webdiensten.
Dank FIDO2-Unterstützung können sich iPhone-Nutzer künftig via Face ID und Touch ID sicher auf Webseiten anmelden.
Dank FIDO2-Unterstützung können sich iPhone-Nutzer künftig via Face ID und Touch ID sicher auf Webseiten anmelden.
Foto: Prostock-studio - shutterstock.com

FIDO2 ist ein Standard der FIDO-Allianz und des W3C (Fast Identity Online), der eine starke Authentifizierungslösung im Web realisiert. Dazu werden Zweitfaktoren wie biometrische Merkmale, Hardware Keys, Smart Cards oder TPM-Module (Trusted Platform Module) eingesetzt, um eine starke passwortlose Mehrfaktor-Authentifizierung zu ermöglichen.

iOS: Die Funktionsweise von FIDO2

Anders als die anderen Plattformbetreiber Google und Microsoft war Apple lange der große FIDO-Nachzügler, erst mit iOS 13 kam der Support für FIDO2-kompatible NFC-, USB- und Lightning-Sicherheitsschlüssel auf Webseiten und für App-Entwickler. Mit den neuen, im Herbst erscheinenden Betriebssystemen geht Apple nun einen Schritt weiter. So sollen Anwender in die Lage versetzt werden, sich dank FIDO2-Support bei Online-Diensten ohne die Eingabe eines Kennwortes anzumelden - Fingerabdruck (Touch ID) oder Gesichtserkennung (Face ID) reichen zum Anmelden aus. Was viele iOS Nutzer bereits in Banking-Apps gewohnt sind, hält damit Einzug im Internet. Bei dem Verfahren handelt es sich in Grunde genommen um einen Anmeldevorgang, der durch zwei Faktoren geschützt wird: das iOS-Gerät, das man besitzt und die eigene Identität, die durch biometrische Merkmale (Finger / Gesicht) validiert wird. Web- und Online-Dienste müssen hierzu die Anmeldung über WebAuthn integrieren. Dies ist die Basis für ein bequemes wie abgesichertes Anmelden des Anwenders.

Technisch gesehen handelt es sich bei FIDO2 um ein so genanntes Challenge-Response-Verfahren. Dieses kann für die Mehrfaktor-Authentifizierung (MFA), das asymmetrische Verschlüsselungsverfahren und Faktoren wie biometrische Merkmale, Hardware Token, Smart Cards, eingebettete Sicherheitselemente oder TPM-Module genutzt werden. Nutzt ein Online-Dienst dieses Verfahren, läuft die Anmeldung folgendermaßen ab:

  1. Über das WebAuthn-Protokoll wird eine Kommunikation zwischen Server und Browser aufgebaut, das CTAP-Protokoll sorgt für die Kommunikation zwischen Browser und Authenticator.

  2. Der Online-Dienst stellt eine so genannte Challenge an den anmeldenden Browser. Dieser leitet die Challenge an den verwendeten Authenticator weiter. Nun fragt der Authenticator nach einer "Wissens-" und einer "Besitzkomponente". Diese Komponenten ergeben sich bei iOS / iPadOS 14 aus der Biometrie (FaceID, TouchID) und der SecureEnclave (dem Gerät selbst).

  3. Im Erfolgsfall wird eine digitale Signatur der Challenge erzeugt und zurückgeschickt.

  4. Der Online-Dienst überprüft die Signatur und authentifiziert bei erfolgreicher Prüfung den Browser.

FIDO2 Support: Bald auch auf macOS

Seit Apple Board-Mitglied der FIDO-Alliance ist, setzt sich der Konzern noch stärker für sichere Authentifizierung ein. Davon profitieren auch die Anwender, denn wenngleich Apple nicht immer der Schnellste bei der Einführung von Technologien ist, verleiht seine Unterstützung den meisten Diensten den nötigen Schwung. Dem Ziel des Verfahrens, die Anmeldung im Vergleich zur passwortbasierten Authentifizierung sicherer und gleichzeitig einfacher zu machen, wird Apple mit der Implementierung dabei voll gerecht. Der Vollständigkeit sei erwähnt, dass auch das neue macOS dieses Feature enthalten wird und damit auch Mac-Systeme als Sicherheitsschlüssel fungieren können. (mb)