Moderne Authentifizierung mit und ohne Passwort

Dieser Workshop gibt Antwort auf folgende Fragen:

• Was ist Authentifizierung?

• Was ist Public Key Kryptografie und wie funktionieren Schlüsselpaare?

• Was sind digitale Signaturen?

• Was sind Zertifikate und wie funktionieren sie?

• Wie können Zertifikate angewendet werden?

• Was ist eine Certificate Authority und wie kann sie verwendet werden?

• Welche Wege der Public-Key-Verteilung gibt es?

• Wie kann zertifikatsbasierte Authentifizierung verwendet werden?

• Was ist Zwei-Faktor und Password-less?

• Was ist FIDO, Webauthn und CTAP?

• Wofür kann FIDO eingesetzt werden?

• Welche Geräte haben FIDO-Unterstützung?

• Wie kann ich FIDO im eigenen Projekt/Unternehmen einsetzen?

• Was sind OTPs und wie können sie eingesetzt werden?

• Was sind die Risiken bei OTPs im Zwei-Faktor-Einsatz?

• Welche Rolle spielt Post-Quantum-Kryptografie für PKI und Password-less?

Lernziele und anwendbare Fähigkeiten

• Arbeiten mit Schlüsselpaaren, Zertifikaten und PKI (am Beispiel von OpenSSL):

• Zertifikate/Certificate Authorities im Betriebssystem und Browser verwalten

• SSH mit zertifikatsbasierter Authentifizierung verwenden

• Smartcard-Authentifizierung konfigurieren

• SSH-Authentifizierung mit Zertifikaten einrichten

• VPN ohne Passwörter mit PKI einrichten (am Beispiel OpenVPN)

• Webanwendung mit FIDO absichern (am Beispiel Wordpress)

• FIDO in eigener Software mit Bibliotheken verwenden

• OTPs als zweiten Faktor einführen

• OTP-Anwendung mit eigenem Backend verwenden

Zielgruppe

Administratoren, IT-Sicherheitsbeauftragte und Entwickler, die ihre Sicherheitspraxis durch moderne Authentifizierung jenseits von Passwörtern verbessern und sich vor den wachsenden Bedrohungen schützen wollen.

Voraussetzungen

Zur Workshop-Durchführung wird Zoom verwendet mittels eines DSGVO-konformen On-Premise-Connectors. Wir bitten Sie, ein Mikrofon oder Headset sowie einen aktuellen Browser zu nutzen.

Inhalte

Einfache Passwörter stellen in Zeiten zunehmender Komplexität und Häufigkeit von Cyber-Angriffen eine Schwachstelle dar. Sicherheitsexperten setzen daher auf fortschrittliche Methoden wie Public Key Infrastructures (PKIs) und moderne Authentifizierungsverfahren wie die Zwei-Faktor-Authentifizierung oder gar die passwortlose Authentifizierung. Um die Sicherheit in der digitalen Landschaft zu gewährleisten, ist ein tieferes Verständnis dieser Technologien und ihrer richtigen Anwendung unerlässlich.

In diesem interaktiven Online-Workshop erhalten Sie einen umfassenden Überblick über Konzepte, Protokolle und Best Practices für die Authentifizierung mit einem zweiten Faktor oder ganz ohne Passwort. Sie lernen moderne Alternativen kennen und erfahren, welche Rolle PKI-Zertifikate und FIDO dabei spielen.

In Übungen wenden Sie Ihr neu erworbenes Wissen in einer sicheren virtuellen Umgebung an, die mit OpenSSL und Active Directory Certificate Services ausgestattet ist. Das Erlernte ist auf jede andere PKI-Software und jedes andere Authentifizierungsszenario übertragbar.

Agenda

• 1. Grundlagen

  • Einführung Public Key-Verfahren und digitale Signaturen

  • Algorithmen-Auswahl und Längen-Empfehlungen

  • Schlüsselformate (PEM, DER, Raw)

  • Schlüsselpaare erstellen und verwenden

  • Sicherheitspraktiken und Offline Keys

  • Digitale Signaturen richtig einsetzen

• 2. Public Key Infrastructurs

  • Zertifikate

    • Einführung in Zertifikate

    • Zertifikatsstruktur in X509

    • Zertifikatsformate (PKCS12, PEM, DER)

    • Digitale Zertifikate erstellen

  • Chain of Trust

    • Einführung am Beispiel der WebPKI

    • Root und Intermediate Certificate Authority erstellen

    • Root-Schlüssel verwalten

    • Zertifikate durch die Certificate Authority ausstellen

    • Eigene Certificate Authorities in Browser und Betriebssystem erstellen

  • Alternative Wege Der Public Key-Verteilung

    • Das TOFU-Prinzip

    • Das Web of Trust

  • Authentifizierung mit PKI

    • Zertifikatsbasierte Authentifizierung am Beispiel SSH

    • Login am Rechner via Smartcard-Zertifikat

    • Client-Zertifikate in TLS

    • VPN mit Client-Zertifikaten

  • Kurz-Überblick über die Active Directory Certificate Services
    

• 3. Zwei-Faktor-Authentifizierung und passwortlose Authentifizierung mit FIDO

  • Einführung in das FIDO- und Webauthn-Protokoll

    • Was sind FIDO 2, Webauthn, und CTAP?

    • Protokollteilnehmer und Message Flow

  • Einsatz- und Konfigurationsmöglichkeiten von FIDO

    • Zwei-Faktor-Authentifizierung

    • Passwortlose Authentifizierung

    • Resident Key Szenarien

  • Verwendbare Hardware Tokens

    • Plattform-Tokens in Handy und Laptop

    • Hardware-Token-Anbieter

  • Remote Attestation mit Zertifikaten

    • Remote Attestation mit FIDO

  • FIDO im eigenen Projekt verwenden

    • FIDO-Bibliotheken für Software-Projekte

    • Tools wie Keycloak als Identity Manager

    • FIDO für die eigene Webseite/das eigene Portal aufsetzen

  • (Time based) One Time Passwords als Alternative

    • Funktionsweise

    • Verwendung mit TOTP Apps

    • Vergleich mit FIDO und Co.

• 4. Ausblick

  • Public Key Infrastructure und FIDO

    • Vor- und Nachteile der Lösungen

  • Zukünftige Signaturverfahren

    • Post-Quantum Signaturverfahren

    • Entwicklung der Schlüsselgrößen
      

• 5. Offene Diskussion

  • Teilnehmer bringen ihre eigenen Themen und Fragen

Durchführung

Ist die Durchführung der Veranstaltung aufgrund höherer Gewalt, wegen Verhinderung eines Referenten, wegen Störungen am Veranstaltungsort oder aufgrund zu geringer Teilnehmerzahl (weniger als 50%) nicht möglich, werden die Teilnehmer spätestens 7 Tage vorher informiert.

Die Teilnehmerzahl ist auf max. 12 Personen begrenzt.