Donnerstag, März 28, 2024
spot_img
StartAktuellYubico - Authentifizierung per Berührung vom Spezialisten aus Schweden

Yubico – Authentifizierung per Berührung vom Spezialisten aus Schweden

Nürnberg (btn/Interview mit Jan Quack, Senior Solution Engineer bei Yubico) – Weltweit legen Unternehmen nach wie vor schlechte Authentifizierungspraktiken an den Tag. Yubico, der führende Anbieter von Hardware-Sicherheits-Keys zur Authentifizierung zeigte mit YubiKey auf der it-sa 365 wie es besser geht.

Das Interview führt Jens Schmidtmann, Co-Publisher für it-management.today, eine Publikation des Business.today Network.

YubiKey 5 Serie von YubiCo (Bild: YubiCo)

JS: Können Sie mir einen kurzen Überblick über sich und Yubico geben?

JQ: Mein Name ist Jan Quack und ich bin seit vier Jahren als Senior Solution Engineer bei Yubico tätig. Yubico selber ist ein schwedisches Unternehmen, gegründet 2007 in Stockholm von Stina und Jakob Ehrensvärd. Relativ kurz nach der Gründung gingen beide Gründer nach Silicon Valley, um ihr Produkt, den YubiKey, dort zu etablieren. Gleichzeitig behielten sie den Standort Schweden bei, sodass aus Yubico ein schwedisch-amerikanisches Unternehmen wurde. Entwicklung von Hard- und teilweise auch Software finden größtenteils noch in Schweden statt, während in Kalifornien viele der Kunden und Partner sind, die uns groß gemacht haben. Bei Google etwa, einer unserer größten Kunden, besitzt mittlerweile jeder Mitarbeiter mehrere YubiKeys. Unter anderem diese Partnerschaft mit Google hat dem YubiKey zu weltweiter Relevanz als Security Token verholfen, der heute jedes industrierelevante Authentisierungsprotokoll beherrscht. Für die Entwicklung gänzlich neuer Authentisierungsstandards wie etwa U2F wurde mit dieser Partnerschaft der Grundstein gelegt. Auch am aktuellsten verabschiedeteten Standard der FIDO Allianz, oft als FIDO2 bezeichnet, hatte Yubico an zentralen Punkten mitgearbeitet. Ziel dieses neuen Standards ist es, starke Authentifizierung für jedermann einfacher und gleichzeitig sicherer zu machen.

JS: Viele unserer Leser werden zumindest einige Artikel darüber gelesen haben, warum der Einsatz von Passwörtern langfristig weiter zurückgehen wird – und obwohl es heute mehr Sicherheitsauthentifizierungsmethoden als je zuvor gibt, sind Passwörter immer noch die Hauptmethode für den Zugriff auf Konten und Daten.
Warum ist die Nutzung von Passwörtern weiterhin so stark ausgeprägt?

JQ: Bei der Kombination aus Nutzernamen und Passwort zur Authentifizierung handelt es sich um eine Praxis, die in den 1960er Jahren eingeführt wurde. Und solch alte Arbeitsweisen sind nur z. T. nur schwer durch neue, sicherere und einfacher zu bedienende Verfahren zu ersetzen. Viele Legacy-Systeme in Unternehmen setzen beispielsweise nur auf die Authentifizierung per Passwort und können von sich aus keine sichereren Methoden unterstützen. Die Entwicklung geht aber ganz klar in Richtung 2FA und passwortlosem Login. Innerhalb der letzten zwei Jahre hat die Entwicklung einiges an Fahrt aufgenommen, sodass heute auch Hersteller wie Microsoft und Apple alternative Authentisierungsmethoden, wozu auch 2FA und passwordless gehören, unterstützen. Windows 10 beispielsweise funktioniert heute schon komplett passwortfrei mit Hilfe von FIDO 2. Trotzdem gibt es wie gesagt noch sehr viele über Jahrzehnte gewachsene Legacy-Systeme, die zukünftig noch umgebaut werden müssen.

JS: Sie haben ja einen anderen Sicherheitsansatz, bei dem Ihre physischen YubiKey-Schlüssel für verschiedene Gerätetypen eingesetzt werden.
Können Sie erklären, wie Ihre YubiKeys funktionieren und was sie von anderen Authentifizierungsmethoden unterscheidet?

JQ: Es ist die Kombination aus den von YubiKeys unterstützten Authentifizierungsprotokollen, die unsere Keys von anderen ähnlichen Lösungen unterscheidet. Auch die genutzten Kommunikationsschnittstellen sind mit Sicherheit ein Unterscheidungsmerkmal. So unterstützen YubiKeys je nach Ausführung alle gängigen Standards, von USB-A und -C über Lightning bis hin zu NFC. 2FA lässt sich somit auch auf älteren Geräten nutzen und öffnet so einen Pfad weg vom Passwort, hin zur passwortlosen Authentifizierung. Mitarbeiter haben sich dann schon an den Key gewöhnt und können gleich mit demselben Authenticator weiterarbeiten, der nun anstelle von klassischer 2FA den passwortlosen Login ermöglicht. Die Authentifizierung ohne Passwort funktioniert dabei per Public Key-Verfahren, das als sehr sicher und zuverlässig gilt.

JS: Was sollte Ihrer Meinung nach Unternehmen dazu bewegen, auf passwortlose Sicherheit umzusteigen – oder was hält sie zurück?

JQ: Es gibt eigentlich keinen Grund, der Unternehmen davon abhält, mit dem Umstieg zu beginnen. Wir sehen, dass das Thema passwordless Login immer häufiger in den Köpfen von Entscheidern zugegen ist. Darüber hinaus sind wir ja nicht der einzige Hersteller für passwortlose Login-Lösungen, viele Unternehmen setzen beispielsweise auf andere Methoden zu Authentifizierung, etwa TAN-Generatoren oder Smartphones. Mit Windows 10 gibt es jetzt ein Betriebssystem, welches in Kombination mit AzureAD den passwortlosen Login per FIDO2 nativ unterstützt. Auch gibt es Lösungen von Drittherstellern, die sowohl per Smartphone aber auch per Hardware-Keys die Authentifizierung am Betriebssystem oder Cloudservices ermöglichen. Hardware Keys haben im direkten Vergleich zu Smartphones allerdings ein paar Vorteile wie etwa die Unabhängigkeit von Netzinfrastrukturen und, zumindest im Falle von YubiKeys, das Fehlen von Akkus, die immer dann leer sind, wenn man sie wirklich braucht. Auch das Thema Backup ist bei einem YubiKey einfacher zu realisieren als etwa bei einem Smartphone: Es ist für Unternehmen und Privatpersonen günstiger, einen Ersatzkey zu kaufen als ein zweites Smartphone.

JS: Welche Mitanbieter sind in Ihrem direkten Umfeld aktiv und wie differenzieren Sie sich – haben Sie eventuell einen Studienbericht, der das darstellt?

JQ: Es gibt einige Hersteller, die ähnliche Lösungen und Produkte wie wir anbieten. Wir differenzieren uns wie gesagt durch die Vielfalt unterstützter Protokolle und Schnittstellen sowie die Kombination aus Ease of use, Langlebigkeit und hoher Sicherheit. Im jährlich erscheinenden Ponemon Report zum Stand des Passwort- und Sicherheitsverhaltens, den Yubico sponsert, kann man sehen, dass etwa 45 Prozent der deutschen Unternehmen auf 2FA setzen. Hierbei dominieren allerdings noch Authentifizierungsmethoden wie SMS-Code und Authenticator-Apps. Lösungen, die zwar funktionieren, aber streng genommen nicht mehr dem Stand der Technik entsprechen, da diese klassischen 2FA Verfahren selbst zu einfach angegriffen werden können.

JS: Wer sind die typischen Kunden – sind es eher Systemintegratoren oder haben Sie ein Schwerpunkt im Direktgeschäft, gibt es eventuell einen oder mehrere Branchenschwerpunkte?

JQ: Grundsätzlich gesagt funktionieren YubiKeys bei einem Einmannbetrieb genauso zuverlässig wie in einem Großunternehmen mit mehr als Hunderttausend Anwendern. Im DACH-Markt agiert Yubico mit unseren Resellern und Distributoren für Unternehmen dabei hundert Prozent im Channel. Wir haben allerdings für größere Unternehmen einen Direct-Touch-– Channel Fulfillment Ansatz. Dabei arbeiten mit diesen Kunden während der Pre-Sales- und PoC-Phase direkt aber immer in Zusammenarbeit mit einem Channelpartner zusammen. In Deutschland haben wir typischerweise viele Kunden aus dem produzierenden Gewerbe, von denen einige teilweise lange etabliert sind und nun unsere Produkte zur 2FA und zum passwortlosen Login einsetzen.

JS: Haben Sie auch Kunden, die Ihre Lösungen und Produkte vor allem im Fertigungsumfeld bereits einsetzen oder einsetzen möchten – und falls ja, welche Anwendungen stehen hier im Vordergrund?

JQ: Wir haben ein Projekt mit einem Kunden aus dem Fertigungsumfeld, der allerdings keinen YubiKey an sich benutzt, sondern unser Hardware Security Module, das YubiHSM, das vereinfacht gesagt kryptografische Schlüssel aufbewahrt. Diese werden im Produktionsprozess benutzt, um weitere, durch das HSM erzeugte, kryptografische Schlüssel in Produkten zu implementieren. Hiermit zertifiziert der Hersteller die Authentizität der Teile, die er hergestellt. Auch das Thema Shared Workplace ist aus unserer Sicht von zentraler Bedeutung. Ganz klassisch gibt es hier den Automobilhersteller, der in seinen Fertigungshallen Terminals aufgebaut hat, an denen Mitarbeiter Gehaltsabrechnungen einsehen und Urlaub eintragen können. Hier geht man immer mehr dazu über, YubiKeys als Authenticator für die Mitarbeiter einzusetzen. Dies hat nicht nur Effizienzgründe, auch der Datenschutz wird durch diese Methode gewährleistet.

JS: Zum Abschluss kurz noch eine Frage bezüglich Ihrer Teilnahme an der it-sa 365 – was hat Sie überzeugt an dieser Webkonferenz teilzunehmen und wurden Ihre Erwartungen Stand heute erfüllt?

JQ: Hinsichtlich it-sa 365 sind wir nur im Rahmen dieser Interviewreihe mit der Messe verbunden, ich war allerdings gestern noch auf einer digitalen Messe, die Identify2020 von Ping, die in Europa, USA und Asien stattfand. Es ist natürlich wichtig, auf solchen Messen präsent zu sein und zu erkennen, dass dies Teil der neuen Normalität ist. Die Qualität einer echten Messe ist natürlich eine ganz andere, da man hier den persönlichen Kontakt hat, Produkte auch mal anfassen und Live demonstrieren kann und die Stimmung insgesamt eine ganz andere ist. Man kommt in der echten Welt schneller mit einem Standbesucher ins Gespräch als wenn ein Chat-Client dazwischengeschaltet ist. Digitale Messen wirken zwar steril, sind aber wichtig dafür, um im Gespräch zu bleiben und Neuigkeiten gleichermaßen erfahren und verbreiten zu können. Die Zahlen an digitalen Zuschauern bei den Key Notes war zumindest bei dem Event, an dem ich teilgenommen habe, vergleichbar mit der von Zuschauern bei einem Live-Event wie der itsa.

Vielen Dank für das Gespräch und noch eine erfolgreiche Konferenz.


Über Yubico: Yubico setzt weltweit neue Standards für den einfachen und sicheren Zugang zu Computern, Mobilgeräten, Servern und Internet-Konten. Das Kernprodukt des Unternehmens, der YubiKey, bietet per simpler Berührung effektiven hardwarebasierten Schutz für eine beliebige Zahl von IT-Systemen und Online-Diensten. Das YubiHSM, Yubicos hochportables Hardware-Sicherheitsmodul, schützt vertrauliche Daten auf Servern. Yubico leistet einen wesentlichen Beitrag zur Entwicklung der offenen Authentifizierungsstandards FIDO2 und FIDO Universal 2nd Factor. Die Technologien des Unternehmens werden von 9 der 10 führenden Internet-Marken und Millionen von Nutzern in 160 Ländern genutzt und geschätzt. Yubico, 2007 gegründet, ist ein Privatunternehmen mit Niederlassungen in Schweden, dem Vereinigten Königreich, Deutschland, den USA, Australien und Singapur.

Jens Breimeier
Jens Breimeier
Jens Breimaier kümmerte sich bei BTN Media um Business Development und den Aufbau von neuen Geschäftsfeldern. Er hat über 19 Jahren Erfahrung und Erfolg im Medien- und Onlinebusiness, u.a. bei Burda, Verlagsgruppe Milchstraße, Bauer Verlagsgruppe und Vibrant Media: "Ich arbeite mit Brands, Agenturen, Startups und Publishern im Online-Business und unterstütze sie beim Wachstum ihres Geschäfts sowie beim Aufbau von Know-How und Netzwerk. Meine Erfahrung als Sales- und BD-Verantwortlicher, sowie bei der Umsetzung von komplexen Aufgabenstellungen geben mir eine fachliche Basis und Kompetenz, die ich weiter geben möchte."
zugehörige Artikel

Top Artikel