Zur Erhöhung der Kontosicherheit wird sIdentity um eine Zwei-Faktor-Authentifizierung erweitert - dem zeitbasierten Einmalkennwortverfahren TOTP. TOTP erzeugt zeitlich begrenzt gültige Codes, die beispielsweise mit Microsoft Authenticator oder Google Authenticator verwendet werden können. Nach erfolgreicher Anmeldung mit Benutzername und Passwort muss zusätzlich ein sechsstelliger Code eingegeben werden. 

2FA in der Profilverwaltung aktivieren

In der Profilverwaltung von sIdentity steht der Bereich„Zwei-Faktor-Authentifizierung“ zur Verfügung.

Ist noch keine Zwei-Faktor-Authentifizierung eingerichtet, wird dort die Schaltfläche„Aktivieren“ angezeigt.

Nach Auswahl der Schaltfläche öffnet sich ein Einrichtungsdialog. Die Einrichtung erfolgt schrittweise.

Authentifizierungsmethode auswählen

Im ersten Schritt wird die gewünschte Authentifizierungsmethode ausgewählt.

Zunächst steht folgende Methode zur Verfügung:

• Authenticator-App über TOTP

Die Struktur wird so aufgebaut, dass zukünftig weitere Methoden ergänzt werden können, beispielsweise Passkeys oder Einmalcodes. Duende nennt TOTP, Passkeys, per E-Mail oder SMS übermittelte Einmalcodes sowie Recovery-Codes als mögliche MFA-Bausteine. [docs.duend...ftware.com]

Nach Auswahl von TOTP wird die Einrichtung über„Weiter“ fortgesetzt.

Authenticator-App einrichten

Im nächsten Schritt zeigt sIdentity folgende Informationen an:

• einen QR-Code,
• einen geheimen Schlüssel zur manuellen Eingabe,
• einen Hinweis zur sicheren Aufbewahrung der Daten,
• ein Eingabefeld für den sechsstelligen Bestätigungscode.

Der QR-Code kann mit einer kompatiblen Authenticator-App gescannt werden. Alternativ lässt sich der angezeigte Schlüssel manuell in der App eintragen.

Sicherheitshinweis: Der geheime Schlüssel darf nicht weitergegeben oder in ungeschützten Dokumenten gespeichert werden. Personen mit Zugriff auf diesen Schlüssel können gültige TOTP-Codes erzeugen.

Einrichtung verifizieren

Nach dem Hinzufügen des Kontos zur Authenticator-App erzeugt diese einen sechsstelligen Code. Dieser wird in sIdentity eingegeben und überprüft.

Dabei gilt:

• Es sind ausschließlich sechs Ziffern zulässig.
• Der Code muss für das eingerichtete Geheimnis gültig sein.
• Der Code muss sich innerhalb des akzeptierten Zeitfensters befinden.
• Erst nach erfolgreicher Verifikation gilt die 2FA als eingerichtet.

Ist der Code ungültig oder abgelaufen, bleibt die Einrichtung geöffnet und es wird eine verständliche Fehlermeldung angezeigt:

Der eingegebene Code ist ungültig oder abgelaufen. Bitte geben Sie den aktuellen Code aus Ihrer Authenticator-App ein.

Recovery-Codes speichern

Nach erfolgreicher TOTP-Verifikation werden einmalig verwendbare Recovery-Codes erzeugt. Diese ermöglichen die Anmeldung, wenn kein Zugriff auf die Authenticator-App besteht.

Jeder Recovery-Code:

• ist eindeutig,
• kann nur einmal verwendet werden,
• wird nach erfolgreicher Nutzung ungültig,
• wird in der Datenbank ausschließlich als Hash gespeichert.

Die endgültige Anzahl der auszugebenden Recovery-Codes muss fachlich festgelegt werden. Empfohlen wird eine feste Anzahl von zehn Codes.

Folgende Funktionen stehen zur sicheren Übernahme der Codes zur Verfügung:

• Codes kopieren
• Codes herunterladen
• Codes ausdrucken

Die Verwendung einer dieser Funktionen bestätigt, dass die Recovery-Codes gespeichert wurden.

Wird„Fertigstellen“ ausgewählt, ohne die Speicherung zu bestätigen, erscheint folgende Meldung:

Die Recovery-Codes wurden noch nicht gespeichert. Ohne diese Codes kann der Zugriff auf das Konto verloren gehen, wenn die Authenticator-App nicht verfügbar ist. Möchten Sie die Einrichtung trotzdem abschließen?

Nach Abschluss der Einrichtung werden die Recovery-Codes nicht erneut im Klartext angezeigt.

Anzeige in der Profilverwaltung

Nach erfolgreicher Aktivierung zeigt die Profilverwaltung:

• den Status„Zwei-Faktor-Authentifizierung aktiv“,
• die Methode„TOTP“,
• die Schaltfläche„Deaktivieren“.

Optional kann zusätzlich angezeigt werden, wie viele ungenutzte Recovery-Codes noch zur Verfügung stehen.

Anmeldung mit Zwei-Faktor-Authentifizierung

Ist TOTP für einen Benutzer aktiviert, wird die Zwei-Faktor-Authentifizierung bei jeder neuen Anmeldung berücksichtigt.

Der Ablauf erfolgt in zwei Stufen:

1. Anmeldung mit Benutzername und Passwort
2. Eingabe des sechsstelligen TOTP-Codes

Nach erfolgreicher Prüfung beider Faktoren wird die Anmeldung abgeschlossen. Ein typischer MFA-Ablauf prüft nach der primären Anmeldung, ob ein zweiter Faktor eingerichtet ist, fordert diesen an und erstellt erst danach die vollständige Sitzung. [docs.duend...ftware.com]

TOTP-Code eingeben

Nach erfolgreicher Passwortprüfung öffnet sich die Maske zur Eingabe des sechsstelligen Codes.

Die Maske enthält:

• das Eingabefeld für den TOTP-Code,
• die Schaltfläche„Bestätigen“,
• die Funktion„Recovery-Code verwenden“,
• eine verständliche Fehlermeldung bei ungültiger Eingabe.

Nach erfolgreicher Verifikation wird die Anmeldung fortgesetzt.

Schutz vor fehlerhaften Eingaben

Nach fünf aufeinanderfolgenden fehlerhaften Eingaben wird das Konto vorübergehend für weitere 2FA-Versuche gesperrt.

Die Sperrmeldung informiert über:

• die temporäre Sperre,
• die verbleibende Sperrdauer,
• gegebenenfalls verfügbare Hilfs- oder Wiederherstellungsoptionen.

Eine erfolgreiche Verifikation setzt den Fehlversuchszähler zurück.

Recovery-Code verwenden

Über„Recovery-Code verwenden“ öffnet sich eine alternative Eingabemaske.

Nach Eingabe eines gültigen Recovery-Codes wird die Anmeldung fortgesetzt. Der verwendete Code wird anschließend ungültig gemacht und kann nicht erneut verwendet werden. Recovery-Codes sind als einmal verwendbare Rückfalloption vorgesehen, falls die primäre 2FA-Methode nicht verfügbar ist. [docs.duend...ftware.com]

Für ungültige oder bereits verwendete Codes wird folgende Meldung angezeigt:

Der eingegebene Recovery-Code ist ungültig oder wurde bereits verwendet.

Zwei-Faktor-Authentifizierung deaktivieren

In der Profilverwaltung kann die eingerichtete Zwei-Faktor-Authentifizierung über „Deaktivieren“ entfernt werden.

Zur Bestätigung muss der Benutzer wahlweise:

• einen gültigen sechsstelligen TOTP-Code oder
• einen noch nicht verwendeten Recovery-Code

eingeben.

Nach erfolgreicher Verifikation werden:

• die TOTP-Konfiguration deaktiviert,
• das gespeicherte Geheimnis entfernt,
• sämtliche Recovery-Codes ungültig gemacht.

Bei der nächsten Anmeldung wird kein zweiter Faktor mehr angefordert.

2FA administrativ zurücksetzen

Administrator

Administratoren erhalten in der Benutzerverwaltung die Aktion „Zwei-Faktor-Authentifizierung zurücksetzen“.

Für das Zurücksetzen ist wahlweise erforderlich:

• ein Recovery-Code des betroffenen Benutzers oder
• der eigene gültige 2FA-Code des Administrators.

Nach erfolgreicher Bestätigung wird die 2FA des ausgewählten Benutzers entfernt. Bei der nächsten Einrichtung muss ein neues TOTP-Geheimnis erzeugt werden.

Plattformbetreiber oder Super-Administrator

Ein Plattformbetreiber beziehungsweise Super-Administrator kann die 2FA eines Benutzers ohne zusätzlichen Bestätigungscode zurücksetzen.

Diese Aktion muss besonders geschützt und vollständig protokolliert werden.

Sichere Speicherung

Das für TOTP benötigte Geheimnis wird verschlüsselt in der Datenbank gespeichert.

Dabei gelten folgende Anforderungen:

• Verschlüsselung mit AES-256
• Schlüsselverwaltung getrennt von den verschlüsselten Daten
• kein Klartext-Logging des TOTP-Geheimnisses
• keine Ausgabe des Geheimnisses nach abgeschlossener Einrichtung
• Recovery-Codes ausschließlich als kryptografische Hashwerte speichern
• Vergleich eines Recovery-Codes nur gegen dessen Hash
• verwendete Recovery-Codes unmittelbar entwerten

Protokollierung

Alle sicherheitsrelevanten 2FA-Aktionen werden im Verlauf protokolliert.

Dazu gehören insbesondere:

• Einrichtung der 2FA
• erfolgreiche Verifikation der Einrichtung
• fehlgeschlagene Verifikationsversuche
• vorübergehende Kontosperre
• Verwendung eines Recovery-Codes
• Deaktivierung durch den Benutzer
• Zurücksetzen durch einen Administrator
• Zurücksetzen durch einen Super-Administrator

Der Verlauf enthält mindestens:

• Benutzer
• ausführender Benutzer oder Administrator
• Aktion
• Zeitpunkt
• verwendete Methode
• Ergebnis der Aktion

TOTP-Geheimnisse, Kennwörter und Recovery-Codes dürfen nicht im Verlauf gespeichert werden.

Empfohlene Aufteilung der Umsetzung

Die Umsetzung kann in vier fachlich getrennte Backlogs gegliedert werden:

1. Profilverwaltung und TOTP-Einrichtung

   • Aktivierung
   • QR-Code
   • manueller Schlüssel
   • Verifikation des sechsstelligen Codes

2. Deaktivierung und administratives Zurücksetzen

   • Benutzer
   • Administrator
   • Super-Administrator

3. Anpassung des Anmeldeprozesses

   • TOTP-Abfrage nach Passwortprüfung
   • Fehlversuche
   • temporäre Sperre

4. Recovery-Codes

   • Erzeugung
   • sichere Speicherung
   • einmalige Verwendung
   • Bestätigung der sicheren Übernahme