◀ Prev · Parts · Full · Next ▶

Im erfolgreichen Fall nutzt bzw. generiert der Authentifikator im Rahmen der Public-Key-Authentifizierung mittels asymmetrischer Kryptotechniken einen öffentlichen und privaten Schlüssel. Je nach Verfahren (CTAP1 oder CTAP2) verbleibt der private Schlüssel ausschließlich im Authentifikator und kann auch in Folge nicht ausgelesen werden, oder diese Daten werden verschlüsselt und als Teil der Antwort an den FIDO2-Server übertragen und dort gespeichert. Je nach Protokoll umfasst die Antwort vom Authentifikator neben den Daten der Challenge-Response-Authentifizierung auch noch verschiedene weitere Daten. Zusätzlich kann eine „Beglaubigung“ (englisch attestation) des Authentifikators erfolgen, welche nur bei der Registrierung vorgesehen ist. Dabei werden Informationen über den verwendeten Authentifikator wie die AAGUID mit übertragen. Mit diesen zusätzlichen Daten wie die AAGUID kann der FIDO2-Server seinen Service auf bestimmte Typen von Authentifikatoren einschränken, auch den konkreten Authentifikator anhand einer eindeutigen Kennung ermitteln und zum Beispiel für die Nutzung des Services eine bestimmte FIDO2-Zertifizierungsstufe oder die Verwendung eines Hardware-Token eines bestimmten Herstellers oder Herstellergruppe erzwingen. Diese zusätzliche Übermittlung von Daten für die „Beglaubigung“ kann in bestimmten Anwendungen in puncto Datenschutz problematisch sein, weshalb auch bei diesem Schritt bei manchen Clients eine zusätzliche Rückfrage erfolgt.

Die vom Client mittels WebAuthn an den FIDO2-Server übermittelten Daten werden im erfolgreichen Fall der Registrierung dort permanent gespeichert und dienen in Folge der Authentifizierung des Benutzers. Die Registrierung ist zum Schutz gegen Phishing an den genauen Namen bzw. die Domain des FIDO2-Servers gebunden. Wird vom Betreiber des FIDO2-Servers der Name oder die Domain geändert, verlieren alle Registrierungen ihre Gültigkeit.

Der Authentifizierungsablauf dient dazu, dass sich ein bestimmter, vorher registrierter Benutzer mit seinem Authentifikator bei einem FIDO2-Server anmelden kann. Aus praktischer Sicht ist der Ablauf für den Benutzer nahezu identisch mit den einzelnen Schritten bei der Registrierung, nur dass dabei die Daten, welche im finalen Schritt an den FIDO2-Server übermittelt werden, mit den bereits am Server abgelegten Daten verglichen werden und bei positivem Ausgang der Zugang zu den Diensten des Servers erfolgt.

Im Rahmen von FIDO2 und eingeschränkt auf CTAP2 und je nach Gestaltung des Anmeldeablaufes am FIDO2-Server besteht auch die Möglichkeit, dass sich ein Benutzer nur mit seiner Benutzerkennung (Benutzernamen) und ohne Passwort bei einem Dienst anmelden kann. Dieses Verfahren besteht technisch zwar auch bei CTAP1 und FIDO1, allerdings mit der Schwierigkeit, dass keine Möglichkeit vorgesehen ist, die unberechtigte Nutzung des Authentifikators durch Dritte zu verhindern. Erst ab CTAP2 besteht die Möglichkeit, dass der FIDO2-Server im Rahmen des Authentifizierungsablaufes den Authentifikator via Web-Browser anweist, dass sich der Benutzer gegenüber dem Authentifikator als legitimer Benutzer zu erkennen geben muss, beispielsweise durch Eingabe einer PIN oder durch die Erkennung von biometrischen Merkmalen.

◀ Prev · Parts · Full · Next ▶