WebAuthn ist der Standard des W3C, über den Browser eine Anmeldung mit Schlüsselpaar abwickeln. Er beschreibt die Schnittstelle zwischen Website und Browser: wie ein Schlüssel angelegt wird, wie eine Anmeldung abläuft und was der Server davon zu sehen bekommt.
- WebAuthn
Der Standard des W3C, über den Browser eine Anmeldung mit Schlüsselpaar abwickeln.
Beispiel: „WebAuthn ist in allen verbreiteten Browsern eingebaut und braucht keine Erweiterung.“Auch: Der volle Name lautet Web Authentication. Das Gespräch zwischen Browser und Sicherheitsschlüssel oder Telefon regelt ein zweites Protokoll namens CTAP.
Abgrenzung zum Passkey: Der ist das Ergebnis für den Nutzer. WebAuthn ist die Technik darunter, die auch für Sicherheitsschlüssel am USB-Anschluss gilt.
Wie eine Anmeldung über WebAuthn abläuft
In zwei Vorgängen. Beim Anlegen erzeugt das Gerät ein Schlüsselpaar für genau diese Domain und schickt den öffentlichen Teil samt einer Kennung an den Server. Beim Anmelden schickt der Server eine Zufallsaufgabe, das Gerät unterschreibt sie nach dem Entsperren, und der Server prüft die Unterschrift gegen den gespeicherten öffentlichen Schlüssel.
Die Bindung an die Domain übernimmt dabei der Browser, nicht die Website. Genau deshalb wirkt das Verfahren gegen Phishing: Auf einer fremden Adresse findet der Browser keinen passenden Schlüssel und bietet gar nichts an.
Wie WebAuthn zu FIDO2 steht
Als dessen eine Hälfte. FIDO2 ist der Rahmen der FIDO Alliance und besteht aus WebAuthn für die Seite des Browsers und CTAP für die Verbindung zum Gerät. Wer eine Anmeldung baut, hat es praktisch nur mit WebAuthn zu tun; CTAP läuft darunter und ist Sache von Betriebssystem und Browser.
Was beim Einbau von WebAuthn zu beachten ist
Vier Dinge, die mit der Schnittstelle selbst wenig zu tun haben. Mehrere Schlüssel je Konto zulassen, damit ein zweites Gerät möglich ist. Jedem Schlüssel einen Namen geben, damit ein verlorener entfernt werden kann. Den Rückfallweg absichern, weil er sonst die schwächste Tür bleibt. Und die Domain festlegen, für die Schlüssel gelten; wer später umzieht, nimmt sie nicht mit. Fertige Bibliotheken gibt es für jede verbreitete Sprache, und sie sind einer Eigenbaulösung vorzuziehen.