Kaum will man bei einem Webshop etwas kaufen, sind persönliche Daten notwendig. Dazu gehören Vorname, Nachname, Adresse, E-Mail usw. Der Einfachheit halber wird dazu ein Konto erstellt, mit dem man sich später wieder anmelden kann. So können Bestellungen im Nachhinein überprüft und z. B. dieselben Waren mit wenigen Mausklicks nochmals bestellt werden.
Dieses Konto ist schützenswert. Es geht niemanden etwas an, wer welche Waren bei wem bestellt hat und wieviel es gekostet hat. Daher wird der Zugriff auf ein Konto mit einem Passwort geschützt, welches der Benutzer frei wählen kann.

Die meisten Benutzer kaufen aber nicht nur bei einem Webshop ein, sondern erwerben diverse Waren (Bücher, Elektronikartikel, Musik usw.) von verschiedenen Anbietern.

Dieses Verfahren hat gravierende Nachteile, birgt aber auch einen Vorteil:

• Aus Bequemlichkeit wählen die Benutzer beim Registrieren meist den gleichen Benutzernamen und dasselbe Passwort. Die Wiederverwendung gleicher Zugriffsinformationen für unterschiedliche Webshops kann aber fatale Folgen für den Benutzer haben, wenn diese Informationen auf einem dieser Webshops gestohlen werden oder in falsche Hände geraten.
• Ein Benutzer muss sich immer wieder von neuem registrieren und wiederholt dieselben Daten eingeben (Name, Vorname, Adresse, E-Mail, usw.).
• Der Vorteil liegt aber darin, dass diese Informationen dezentral abgelegt sind. Wenn sich ein Benutzer bei einem Webshop anmeldet, so erfolgt dies direkt zwischen Browser und Web-Applikation. Es sind keine anderen Systeme involviert.

Was ist eine föderierte Identität?

Eine föderierte Identität ist einfach gesagt ein Login, das für mehrere Webseiten, Plattformen usw. verwendet werden kann. Der Benutzer kann so seine Benutzerdaten zentral verwalten und diese besser schützen.

Der Vorteil des Benutzers liegt darin, dass er nur noch ein Konto sowie eine zentrale Stelle hat, bei der er die Daten verwalten muss. Er hat die Übersicht, welche Web-Applikation welche Daten wann bezogen hat. Um Identitätsdiebstahl vorzubeugen, bieten Anbieter von föderierten Identitäten dem Benutzer meist an, das Konto mittels starker Authentifizierungsmittel (langes starkes Passwort, zweiter Authentifizierungsfaktor, wie SMS oder Push-Nachricht auf einem Smartphone) gut zu schützen.

Bereits heute gibt es föderierte Logins. So ist es bei einigen Portalen möglich, sich mit Google- oder Facebook-Konten anzumelden. Die genannten Konten haben neben den genannten Vorteilen aber erhebliche Nachteile bezüglich der Privatsphäre. Der Benutzer zahlt indirekt mit seinen Daten, den Spuren, die er im Internet hinterlässt. Für Google und Facebook ist sichtbar, welche Webseiten ein Benutzer verwendet und welche Benutzerdaten an die Webseiten weitergegeben werden. Sie können das Verhalten und Informationen des Benutzers aufzeichnen und somit ein Profil erstellen. Mit diesen Daten ist es für Google und Facebook u.a. besser möglich, personalisierte Werbung für den Benutzer einzublenden.

Schutz der Privatsphäre mittels Broker

Abbildung 1: Parteien in einem föderierten System mit Broker

Um die Privatsphäre der Benutzer besser zu schützen, sollte der Informationsfluss zwischen dem Identitätslieferanten (z. B. Google, Facebook) und der Web-Applikation getrennt werden. Dies kann mit einem Vermittler, einem sogenannten Broker (engl. Authentication Broker) zwischen Webshop (im Bild als Relying Party, kurz RP bezeichnet) und dem Identitätslieferanten erreicht werden.

Der Broker ist jeweils Protokoll-Endpunkt einer Kommunikationsstrecke und blockiert somit den direkten Informationsfluss zwischen Informationslieferanten und Webshop. Dies wird auch als „double blinding“ bezeichnet. Damit erhalten die beiden Endsysteme keinen Blick mehr auf die ‘andere’ Seite. Der Broker kontrolliert dabei den Informationsfluss. Aber genau dies ist wiederum ein Nachteil hinsichtlich Privatsphäre, da nun der Broker alle Kommunikationsvorgänge bei einer Authentisierung mitlesen kann. Mit zusätzlichen kryptographischen Mitteln (Privacy-Enhancing Technologies) kann auch der Broker z.T. ’blind’ gemacht werden. Mit diesen Techniken und regulatorischen Massnahmen kann der Schutz der Privatsphäre eines Benutzers mit einfachen und standardisierten Mitteln grösstmöglich umgesetzt werden.

Für die Webshops (Relying Parties) ergibt sich ein weiterer Vorteil: Sie müssen nicht mehrere Identitätsanbieter unterstützen und ihnen vertrauen, sondern nur einen, nämlich den Broker. Der Broker übernimmt die Anbindung der Identitätslieferanten und transformiert bzw. übersetzt die Nachrichten, die zwischen den Parteien versendet werden.

E-ID ohne Überwachung

Auch eine staatlich anerkannte elektronische Identität (E-ID) kann mit Hilfe eines solchen Brokers in das Schweizer Identitäts-Ökosystem einbezogen werden, ohne dass der Schweizer Staat die Daten über die Internet-Benutzer sammeln und verwerten kann. Denn in einem föderierten System mit Broker wäre der Staat ein vertrauenswürdiger, aber ‘nichts sehender’ Identitätslieferant.

Die Vorteile einer nationalen Identitätslösung kämen so am besten zur Geltung. Kommerzielle Webshops und besonders Anwendungen aus dem E-Government könnten sich auf die staatlich erfassten und überprüften Benutzerinformationen voll verlassen.
Die Benutzer müssten nicht mehr ständig ihre Daten wieder und wieder eingeben und sie könnten mit derselben Benutzerfreundlichkeit, wie sie von Google- und Facebook her gewohnt sind, nun staatlich geprüfte Identitätsdaten an Webshops weitergeben, ohne die ständige Bedrohung durch Profilbildung der Identitätslieferanten zu fürchten.

Wo wir heute stehen

Seit Anbeginn der Informatik identifizieren Anwendungen ihre Benutzer, indem sie von diesen die Preisgabe eines Geheimnisses verlangen. Ebenso lange stehen Sicherheitsbeauftragte im unermüdlichen Kampf gegen diese Passwörter. Über die Jahre haben sie damit erreicht, dass viele Anwendungen heute noch ein zweites Passwort verlangen, das jeweils nur einmal verwendet werden kann. Solche Einmalpasswörter werden entweder beim Benutzer generiert oder diesem per SMS zugestellt. Das letztere Verfahren, auch mTAN für „mobile Transaktionsnummer“ genannt, ist heute im B2C Umfeld dominant.

Das Grundproblem von Passwörtern ist, dass ein preisgegebenes Geheimnis kein Geheimnis mehr ist. Einmalpasswörter können zwar nicht ganz so einfach gestohlen werden wie statische Passwörter, raffiniertere Angriffe mittels Phishing oder trojanischen Pferden führen aber allzu oft doch zum Erfolg. Einiges spricht heute dafür, dass die Ära der Passwörter – und damit auch mTAN – zu Ende geht. Dies zeigt sich beispielsweise daran, dass sich kaum mehr eine Schweizer Bank darauf verlassen will.

Wohin die Reise geht

Sichere Alternativen zu Passwörtern basieren auf einem benutzerseitigen kryptographischen Schlüssel, der einen gesicherten Kontext niemals verlässt. Über die Jahre sind viele solche Lösungen entstanden, ausserhalb des E-Banking konnten sie sich aber nirgends etablieren. Neben den hohen Kosten und einer häufig umständlichen Bedienung liegt dies auch daran, dass eine Vielzahl und Vielfalt von Endgeräten unterstützt werden muss. Leider spricht nichts dafür, dass sich dies in absehbarer Zukunft ändert.

Es ist deshalb an der Zeit, das Thema „Benutzerauthentifizierung“ neu zu denken. Wie anderswo in der Informatik liegt die Lösung in einer Schichtenarchitektur, bei der sich spezialisierte Lösungskomponenten ergänzen:

• Sogenannte Authenticators in Hardware oder Software sorgen seitens des Benutzers dafür, dass die persönlichen kryptographischen Schlüssel sicher aufbewahrt werden. Diese Authenticators sind typischerweise gerätespezifisch und anwendungsneutral. Sie interagieren mit dem Benutzer (für die Aktivierung des Schlüssels beispielsweise mittels Fingerabdruck oder Gesichtserkennung) und dem Identity Provider (für die Prüfung des Schlüssels).
• Identity Provider (IdP) verifizieren über geeignete Protokolle, dass der Benutzer im Besitz des ihm zugeordneten privaten Schlüssels ist. Anschliessend geben sie die authentifizierte Identität des Benutzers über ein Federation Protokoll wie SAML oder OpenID Connect an die Anwendungen weiter.
• Die Anwendungen validieren die vom IdP ausgestellte Authentifizierungsbestätigung (Assertion) und gewähren dem Benutzer Zugriff auf seine Ressourcen. Es werden seitens der Anwendung keine Passwörter verwaltet oder geprüft.

In diesem Schichtenmodell hat die Anwendung keine direkte Kontrolle über die Authentisierung. Damit sie dennoch eine Gewähr dafür hat, dass ihre Sicherheitsbedürfnisse erfüllt werden, vereinbart sie mit dem Identity Provider einen von diesem mindestens einzuhaltenden Qualitätsstandard (sog. Level of Assurance LoA, z.B. nach eCH-170/171).Die Lösungsansätze und Protokolle dieser Schichtenlösung sind seit einigen Jahren verfügbar, haben sich aber erst punktuell durchgesetzt. Dies wird sich in den nächsten Jahren ändern (müssen).

Was ist zu tun?

Die Anbieter von Anwendungen (die Service Provider) sollten keine Gedanken mehr daran verschwenden, mit welchen Authentisierungsmitteln sie ihre Kunden zukünftig beglücken wollen. Sie sollten sich vielmehr darauf konzentrieren, eine Strategie für die Anbindung von Identity Providern zu definieren und die Zusammenarbeit mit geeigneten Anbietern zu suchen.

Die Identity Provider (IdP) ihrerseits sollten sich darauf konzentrieren, den Benutzern ein breites Portfolio von Authentisierungsverfahren anzubieten, das alle möglichen Endgeräte und Anwendungssituationen abdeckt. Der IdP sollte hierfür ohne proprietäre Client-Komponente auskommen und auf die FIDO Standardschnittstelle bauen.

Die Benutzer ihrerseits sollten Gerätehersteller und Serviceanbieter bevorzugen, die offene Schnittstellen unterstützen und nicht versuchen, ihre Kunden über technische Restriktionen an sich zu binden.

Ein Blick in die Kristallkugel

Technologiekonzerne wie Google, Apple, Facebook oder Amazon haben sich über die letzten Jahre eine starke Stellung als Identity Provider erarbeitet und investieren weiterhin in ihre Ökosysteme. Alternative Anbieter haben hier kaum Aussicht auf Erfolg und es ist zu erwarten, dass der Social Media Login für die meisten Benutzer das Tor zur alltäglichen Interaktion mit dem Internet sein wird.

Für den Zugriff auf höherwertige Dienste wie Finanztransaktionen oder die Verarbeitung vertraulicher Daten besteht noch Raum für ein passendes Angebot. Die beste Ausgangslage bietet sich den Banken, da sie bereits über langjährige Erfahrung und Expertise mit der starken Authentisierung verfügen. Würden die grossen Schweizer Banken das bestehende e-Banking Login für andere Service Provider öffnen, dann wäre eine starke Authentisierung für den grössten Teil der IT-affinen Bevölkerung per sofort verfügbar.

Entsprechende Gespräche, auch auf nationaler Ebene, werden heute geführt. Es ist zu hoffen, dass sich daraus zielführende Projekte ergeben; das Feld der Digitalen Identitäten ist zu wichtig, als dass es kampflos den Amerikanern überlassen werden darf!