Was ist CDA (Cross-Device Authentication) in WebAuthn?

Was ist CDA (Cross-Device Authentication)?#

CDA (Cross-Device Authentication) ermöglicht es Nutzern, einen Passkey von einem Gerät zur Authentifizierung auf einem anderen zu verwenden, was einen nahtlosen Zugriff über verschiedene Plattformen hinweg erleichtert. Dieser innovative Ansatz stützt sich auf das FIDO Client-to-Authenticator Protocol (CTAP), das einen „hybriden“ Transportmechanismus einsetzt. CTAP ist integraler Bestandteil des CDA-Prozesses und wird von Authentifikatoren und Client-Plattformen implementiert, anstatt sich auf Relying Parties zu verlassen, was ein sicheres und effizientes Authentifizierungserlebnis gewährleistet.

Sie können auch einen detaillierten Bericht über Cross-Device Authentication in diesem Blogbeitrag lesen.

Wichtigste Erkenntnisse#

---

CDA (Cross-Device Authentication) ist wichtig, um Nutzern ein reibungsloses Erlebnis beim Zugriff auf Dienste über mehrere Geräte hinweg zu bieten. Es dreht sich um zwei Hauptkomponenten: den CDA-Client und den CDA-Authenticator.

• CDA-Client ist das Gerät, auf dem auf den Dienst zugegriffen wird (z. B. ein Laptop, Desktop oder Smartphone).
• CDA-Authenticator ist das Gerät, das den Passkey bereitstellt und die FIDO-Assertion generiert (normalerweise ein Smartphone oder Tablet). Diese Dualität stellt sicher, dass Authentifizierungsabläufe sicher und benutzerfreundlich bleiben.

Tieferer Einblick in die CDA-Mechanismen#

Cross-Device Authentication (CDA) integriert QR-Codes und Bluetooth, um einen vielseitigen und sicheren Authentifizierungsmechanismus bereitzustellen. QR-Codes erleichtern einfache, vom Nutzer initiierte Authentifizierungsprozesse, indem sie ein schnelles Scannen ermöglichen, um Authentifizierungsanfragen einzurichten. Bluetooth fügt eine Sicherheitsebene hinzu, indem die physische Nähe zwischen den beteiligten Geräten sichergestellt wird. Dieser duale Ansatz kombiniert Benutzerfreundlichkeit mit robusten Sicherheitsmaßnahmen und wird verschiedenen Nutzerumgebungen und -szenarien gerecht.

QR-Code-Authentifizierung#

• Initiierung: Ein eindeutiger QR-Code wird auf dem Gerät generiert, das eine Authentifizierung benötigt, codiert mit einer Sitzungskennung.
• Prozess: Nutzer scannen den QR-Code mit einem Gerät, das ihren Passkey speichert, und lösen so einen sicheren Authentifizierungsprozess über eine verschlüsselte Internetverbindung aus.
• Sicherheitsmerkmale: Der QR-Code ist für den einmaligen Gebrauch konzipiert und verschlüsselt alle Daten, um vor unbefugtem Zugriff zu schützen.

Bluetooth-Authentifizierung (caBLE)#

• Rolle: Bestätigt die physische Nähe zwischen den authentifizierenden Geräten und fügt eine zusätzliche Sicherheitsebene hinzu.
• Näherungsprüfungen: Stellt sicher, dass der Authentifizierungsprozess nur durchgeführt wird, wenn sich die Geräte in der Nähe befinden, wodurch das Risiko von Remote-Angriffen minimiert wird.
• Datenschutz und Sicherheit: Beinhaltet nicht den Austausch sensibler Authentifizierungsdaten, sondern konzentriert sich stattdessen auf die Bestätigung der Nähe als Faktor der Multi-Faktor-Authentifizierung.

Tunnelverbindung über das Internet#

• Aktivierung: Wird beim Scannen eines QR-Codes oder beim Herstellen einer Bluetooth-Verbindung aktiviert.
• Zweck: Erleichtert die sichere Übertragung von Authentifizierungsdaten, einschließlich kryptografischer Challenges und Responses.
• Sicherheit: Stellt sicher, dass die gesamte Kommunikation durch den Tunnel verschlüsselt ist, wodurch die Sicherheit über mehrere Geräte hinweg erhöht wird.

Synchronisierte Passkeys vs. Cross-Device Authentication#

Passkeys werden typischerweise über Cloud-Konten (z. B. Apples iCloud Keychain) über Geräte hinweg synchronisiert, wodurch sichergestellt wird, dass sie für die Authentifizierung unabhängig vom verwendeten Gerät leicht verfügbar sind. Diese Synchronisierung ist durch fortschrittliche Verschlüsselung gesichert und wird durch biometrische Daten oder PINs geschützt, mit Mechanismen zur Verhinderung unbefugten Zugriffs, wie z. B. Ratenbegrenzung für Login-Versuche.

Während synchronisierte Passkeys Komfort bieten, sind sie möglicherweise nicht immer auf neuen oder primär nicht genutzten Geräten zugänglich. Cross-Device Authentication begegnet dieser Herausforderung, indem eine sichere Brücke für Passkeys zwischen Geräten bereitgestellt wird, ohne dass eine Cloud-Konto-Synchronisierung erforderlich ist. Diese Methode nutzt QR-Codes zur Einleitung der Authentifizierung und Bluetooth zur Überprüfung der Nähe von Geräten, wodurch ein sicheres und benutzerfreundliches Erlebnis gewährleistet wird. Ein Anwendungsfall für die geräteübergreifende Authentifizierung ist z. B. der Login in ein Konto auf dem Gerät eines Freundes, wo die Nutzung synchronisierter Passkeys nicht möglich ist.

Verfügbarkeit auf Betriebssystemen#

Sie können diese Tabelle verwenden, um die aktuelle Unterstützung von Cross-Device Authentication für verschiedene Betriebssysteme einzusehen. Authenticator bedeutet, dass das Gerät als das Gerät dienen kann, das einen Passkey hält (normalerweise das Smartphone). Client bedeutet das Gerät, das den QR-Code erstellt und an dem der Nutzer versucht, sich einzuloggen (normalerweise der Desktop).

Verhalten auf verschiedenen Geräten#

Es ist wichtig, das unterschiedliche Verhalten von Geräten im Kontext von CDA zu berücksichtigen. Das Authentifizierungserlebnis kann je nach den Hardwarefunktionen eines Geräts variieren, z. B. dem Vorhandensein einer Kamera zum Scannen von QR-Codes oder Bluetooth für Näherungsprüfungen. Darüber hinaus können Betriebssysteme CDA unterschiedlich implementieren, was sich darauf auswirkt, wie Nutzer den Authentifizierungsprozess initiieren und abschließen. Entwickler, die CDA implementieren, müssen diese Variabilitäten berücksichtigen, um ein reibungsloses und sicheres Nutzererlebnis auf allen Geräten zu gewährleisten. Einen detaillierten Bericht über das unterschiedliche Geräteverhalten finden Sie in diesem Blogbeitrag.

---

Cross-Device Authentication (CDA) FAQs#

Ist es sicher, Passkeys über Geräte hinweg zu teilen?#

Das Teilen von Passkeys nutzt robuste Sicherheitsmaßnahmen zum Schutz von Daten. Dieser Ansatz ist essenziell, um Passwörter durch eine sicherere und benutzerfreundlichere Alternative zu ersetzen, was der Mission von FIDO entspricht, Login-Prozesse in Bezug auf Geschwindigkeit, Komfort und Sicherheit zu verbessern.

Wie ist die Verfügbarkeit von CDA auf verschiedenen OS-Plattformen?#

Cross-Device Authentication (CDA) wird zunehmend über eine Vielzahl von Betriebssystemen und Browsern verfügbar, da die Unterstützung für Passkeys eingeführt wird. Eine Übersicht über die Verfügbarkeit finden Sie auf dieser Website.

Wie werden Passkeys auf den Geräten eines Nutzers verfügbar?#

Passkeys werden über Ende-zu-Ende-verschlüsselte Mechanismen über Geräte hinweg synchronisiert, die an das Plattformkonto des Nutzers (z. B. Apple-ID, Google-Konto) gebunden sind. Dies stellt sicher, dass Passkeys, die auf einem Gerät erstellt wurden, auf allen anderen Geräten, die mit demselben Konto angemeldet sind, sofort verfügbar sind, was einen einfachen und sicheren Zugriff über das digitale Ökosystem des Nutzers hinweg erleichtert.

CDA vs. synchronisierte Passkeys – Was ist der Unterschied?#

Der hybride Transport ermöglicht eine sichere Authentifizierung über Geräte hinweg, ohne dass Passkeys über ein Cloud-Konto synchronisiert werden müssen. Dies bietet Flexibilität und belässt die Integrität von Passkeys ausschließlich beim Nutzer.

Warum nutzt CDA sowohl QR-Codes als auch Bluetooth?#

CDA setzt QR-Codes und Bluetooth ein, um Sicherheit und Komfort zu erhöhen. QR-Codes vereinfachen die Initiierung der Authentifizierung, während Bluetooth die physische Nähe der Geräte sicherstellt und so eine zusätzliche Sicherheitsebene hinzufügt.

Kann CDA ohne Internetverbindung funktionieren?#

Während CDA eine Internetverbindung für die anfängliche Einrichtung und den Authentifizierungsprozess erfordert, ist die Bluetooth-Näherungsprüfung für die Authentifizierung nicht auf eine Internetverbindung angewiesen, was ihre Vielseitigkeit erhöht.

Was sind die Hardwareanforderungen für die Nutzung von CDA?#

Geräte müssen WebAuthn unterstützen, über eine Kamera zum Scannen von QR-Codes verfügen, Bluetooth 4.0 oder höher für caBLE unterstützen und eine stabile Internetverbindung aufrechterhalten, um den CDA-Prozess effektiv zu ermöglichen.

Über Corbado

Corbado ist die Passkey Intelligence Platform für CIAM-Teams, die Consumer-Authentifizierung im großen Maßstab betreiben. Wir zeigen Ihnen, was IDP-Logs und generische Analytics-Tools nicht sehen können: welche Geräte, OS-Versionen, Browser und Credential-Manager Passkeys unterstützen, warum Enrollments nicht zu Logins werden, wo der WebAuthn-Flow scheitert und wann ein OS- oder Browser-Update den Login still und leise unterbricht – und das alles, ohne Okta, Auth0, Ping, Cognito oder Ihren In-House-IDP zu ersetzen. Zwei Produkte: Corbado Observe ergänzt Observability für Passkeys und jede andere Login-Methode. Corbado Connect bringt Managed Passkeys mit integrierter Analytics (neben Ihrem IDP). VicRoads betreibt Passkeys für über 5 Mio. Nutzer mit Corbado (+80 % Passkey-Aktivierung). Mit einem Passkey-Experten sprechen →