Moderne Authentifizierungsprotokolle: Von OAuth 2.0 bis Passkeys
Im digitalen Zeitalter sind „Wer bist du?“ und „Was darfst du tun?“ zwei der kritischsten Fragen, die ein System beantworten muss. Authentifizierung (AuthN) und Autorisierung (AuthZ) sind die Säulen der Sicherheit. Dieser Leitfaden untersucht die modernen Protokolle, die diese Prozesse verwalten.
1. Föderierte Identität und Autorisierung
OAuth 2.0 (Autorisierung)
OAuth 2.0 ist das Standardprotokoll der Industrie für die Autorisierung. Es ermöglicht einer Website oder Anwendung, im Namen eines Benutzers auf Ressourcen zuzugreifen, die von anderen Webdiensten gehostet werden (z. B. „Anmelden mit Google“).
- Bearer Token: Der am häufigsten verwendete Typ von Zugriffstoken in OAuth 2.0. Wer den Token besitzt, hat Zugriff.
- API Key: Eine einfachere Form der Authentifizierung, die oft für die Machine-to-Machine-Kommunikation verwendet wird.
OpenID Connect (OIDC)
Aufbauend auf OAuth 2.0 fügt OIDC eine Identitätsebene hinzu. Während es bei OAuth um Zugriff geht, geht es bei OIDC um Identität. Es ermöglicht Clients, die Identität des Endbenutzers basierend auf der von einem Autorisierungsserver durchgeführten Authentifizierung zu verifizieren.
SAML (Security Assertion Markup Language)
Ein XML-basierter Standard, der hauptsächlich in Unternehmensumgebungen für Single Sign-On (SSO) verwendet wird. Er ermöglicht es Identitätsanbietern (IdP), Autorisierungsinformationen an Dienstanbieter (SP) zu übermitteln.
2. Enterprise- und Legacy-Verzeichnisdienste
LDAP (Lightweight Directory Access Protocol)
Ein ausgereiftes Protokoll für den Zugriff auf und die Verwaltung von verteilten Verzeichnisinformationsdiensten. Es ist das Rückgrat vieler Mitarbeiterdatenbanken in Unternehmen.
Kerberos
Ein Netzwerk-Authentifizierungsprotokoll, das entwickelt wurde, um eine starke Authentifizierung für Client/Server-Anwendungen durch die Verwendung von Secret-Key-Kryptographie zu gewährleisten. Es ist die Standard-Authentifizierungsmethode in Windows Active Directory.
3. Multi-Faktor-Authentifizierung (MFA)
OTP (One-Time Password)
- HOTP: HMAC-basiertes Einmalpasswort (ereignisbasiert).
- TOTP: Zeitbasiertes Einmalpasswort (verwendet von Apps wie Google Authenticator).
4. Die passwortlose Zukunft: FIDO und WebAuthn
FIDO2 & WebAuthn
Die FIDO Alliance hat diese Standards entwickelt, um Passwörter durch sichere Public-Key-Kryptographie zu ersetzen. WebAuthn ist die Browser-API, die dies ermöglicht.
Passkeys
Passkeys sind eine spezifische Implementierung von FIDO-Standards, die es Benutzern ermöglichen, sich bei Websites und Apps mit denselben Biometriedaten oder PINs anzumelden, die sie zum Entsperren ihrer Geräte verwenden (FaceID, Fingerabdruck). Sie werden über die Cloud (Apple iCloud, Google Passwortmanager) zwischen Geräten synchronisiert.
U2F (Universal 2nd Factor)
Ein älterer FIDO-Standard, der normalerweise einen physischen Sicherheitsschlüssel (wie einen YubiKey) als zweiten Faktor erfordert.
Vergleichstabelle
| Protokoll | Typ | Hauptanwendungsfall | Format |
|---|---|---|---|
| OAuth 2.0 | Autorisierung | API-Zugriff, Drittanbieter-Integration | JSON / JWT |
| OIDC | Identität | „Anmelden mit...“-Buttons | JWT (ID Token) |
| SAML | Identität/SSO | Enterprise Corporate Login | XML |
| WebAuthn | AuthN | Passwortlos / Passkeys | Public Key Crypto |
| LDAP | Verzeichnis | Benutzerverwaltung in Unternehmen | Binär |
Fazit
Der Wechsel von Passwörtern zu Passkeys und OIDC macht das Internet sicherer und benutzerfreundlicher. Während OAuth 2.0 der Standard für die API-Autorisierung bleibt, ist die Zukunft der Benutzeranmeldung zweifellos hardwaregestützt und passwortlos. Das Verständnis dieser Protokolle ist für jeden Entwickler, der heute sichere Anwendungen erstellt, unerlässlich.