WebAuthN-Login 1.0.0 pl 2

Diese Erweiterung integriert WebAuthN in Ihre WSC-Installation.

Achtung: das folgende Paket ist eine Beta-Version. Es wird empfohlen das Paket nicht auf einem Livesystem zu installieren. Der Entwickler des Paketes und Betreiber dieser Seite übernimmt keinerlei Haftung für etwaige Schäden an Ihrem System.

WebAuthN ist ein W3C-Standard, welcher die Authentifizierung von Benutzern ohne Passwörter ermöglichen soll. Das Ganze geschieht durch das Public-Key-Verfahren und die Nutzung verschiedener Faktoren (z.B. Hardware-Schlüssel, Fingerprint/TouchID, etc). WebAuthN wurde von der FIDO-Allianz entwickelt. Zu dieser Allianz gehören unter anderem Google, Amazon, Microsoft, RSA und weitere Firmen.

Das Ziel dieser Erweiterung ist es WebAuthN weiter zu verbreiten. Diese Erweiterung implementiert WebAuthN komplett ins WSC. Benutzer die WebAuthN aktiviert haben, müssen nirgendwo im WSC ihr Passwort eingeben und können sich überall über ihren Sicherheitsschlüssel authentifizieren (Login, ACP-Login, etc.).

Features

• komplette Implementierung von WebAuthN ins WSC
• Aktivierung von WebAuthN bereits während der Registrierung möglich
• Login im Frontend und Backend (ACP) via WebAuthN
• das Hinzufügen mehrerer Sicherheitsschlüssel ist möglich (z.B. 2 YubiKeys oder ein YubiKey und TouchID, etc.)
• Administratoren können Sicherheitsschlüssel im ACP entfernen

Sicherheit

Technisch ist WebAuthN aufgrund des Public-Key-Verfahrens sehr sicher. Selbst aus der Ferne (übernommener PC, etc.) können sich Benutzer nicht mit einem Account einloggen, wenn dieser via WebAuthN geschützt ist.

WebAuthN hat allerdings auch Nachteile. Wenn zum Beispiel der Sicherheitsschlüssel physisch gestohlen wird, könnte der Dieb theoretisch auf die Accounts zugreifen. Deswegen ist WebAuthN nur so sicher, wie der Anwender auf seinen Sicherheitsschlüssel aufpasst.

Ich habe meinen Sicherheitsschlüssel verloren und jetzt?

In der Regel ist dein Account damit verloren. Allerdings könnten dir die Administratoren der entsprechenden Seite entgegen kommen und die Sicherheitsschlüssel manuell im ACP entfernen. Hier sollte aber jedem Administrator bewusst sein, dass die meisten Accounts auf Grund von Social Hacking übernommen werden/wurden.

Unterstützte Browser und Sicherheitsschlüssel

Prinzipiell unterstützen die meisten gängigen Browser WebAuthN. Manche Browser unterstützen dabei aber nur Hardware-Schlüssel, andere unterstützen ebenfalls TouchID/Fingerprint, etc.

Unterstützte Browser:

• Edge (ab Version 18)
• Firefox (ab Version 60)
• Chrome (ab Version 67)
• Safari für macOS (ab Version 12.1, muss aber manuell aktiviert werden)
• Opera (ab Version 54)
• Android Browser (ab Version 67)
• Chrome für Android (ab Version 75)
• FireFox für Android (ab Version 67)
• Brave für iOS (ab Version 1.11.3)

Quelle für die Browser-Unterstützung: https://caniuse.com/#search=webauthn

Als Sicherheitsschlüssel, welcher WebAuthN unterstützt, ist aktuell der YubiKey am weitesten verbreitet. Sicherlich gibt es noch einige andere Sicherheitsschlüssel, mit denen WebAuthN bereits funktioniert. Hier wird Eigenrecherche empfohlen, da die Liste sich ständig verändert.

Kompatibilität

Diese Erweiterung ist mit dem WoltLab Suite Core 3.1 und 5.2 voll kompatibel. Eine Kompatibilität für 3.0 wurde bisher nicht hergestellt und ist aktuell auch nicht geplant. Sollte das Interesse für die 3.0 doch groß genug sein, werde ich mir Gedanken darüber machen.

Copyleft

Für die Umsetzung wurden verschiedene Drittbibliotheken verwendet. Im Nachhinein sind diese aufgelistet.

• phpseclib
• PHP CBOR library
• PHP webauthn by David Earl