◀ Prev · Parts · Full · Next ▶

Für die praktische Anwendung von FIDO2 sind zwei Schritte notwendig: Zunächst erfolgt die im Regelfall nur einmalig auszuführende Registrierung (englisch Client Registration), in deren Ablauf sich ein Anwender mit seinem Authentifikator bei einem FIDO2-Server registriert. Nach erfolgreicher Registrierung kann sich dann der Anwender mit seinem Authentifikator an dem FIDO2-Server beliebig oft authentifizieren (englisch Client Authentication).cite-ref-dev1-3-1[3]

Zur Registrierung löst der Client, beispielsweise ein Web-Browser, zunächst bei dem FIDO2-Server eine Registrierungsanforderung aus. Diese Anforderung kann bereits grundlegende Informationen wie eine Benutzerkennung enthalten. Der FIDO2-Server antwortet darauf mit einem Datenpaket, welches unter anderem eine sogenannte englisch Challenge enthält, dies ist ein aus Zufallszahlen bestehendes Datenfeld, welches im Rahmen der Challenge-Response-Authentifizierung verwendet wird und Replay-Angriffe verhindert, und verschiedenen weiteren Informationen beispielsweise die Domain und den Typ des FIDO2-Servers. Der Web-Browser prüft, ob die vom Server gelieferte Domain mit der aufgerufenen Domain übereinstimmt, dies verhindert im Rahmen der Registrierung Phishing, und leitet diese Daten via CTAP an den Authentifikator weiter.

Der Authentifikator muss für die weitere Verarbeitung zunächst um die explizite Zustimmung des Benutzers bitten. Dies kann technisch in verschiedener Art und Weise erfolgen, beispielsweise durch Drücken eines Tasters direkt am Authentifikator oder durch Aktivierung eines biometrischen Sensors. Damit ist sichergestellt, dass sich ein Benutzer physisch unmittelbar am Authentifikator befindet. Eine Fernsteuerung dieser Auslösung, beispielsweise mittels Fernwartungssoftware auf einem PC, ist nicht zulässig. Darüber hinaus kann gefordert sein, dass sich der Benutzer gegenüber dem Authentifikator als legitimer Benutzer zusätzlich zu erkennen geben muss. Das kann durch Abfrage eines PIN-Codes oder durch biometrische Merkmale wie einen Fingerabdruck erfolgen. Dabei ist wesentlich, dass diese Daten nur zwischen dem Client, beispielsweise dem lokalen Web-Browser, und dem Authentifikator erfolgt und nicht über das Internet übertragen werden. Mit dieser Benutzerkennung wird verhindert, dass ein verlorener oder entwendeter Authentifikator durch eine andere Person genutzt werden kann.

◀ Prev · Parts · Full · Next ▶