HOWTO: Passkey als Authentifizierung in AuthPoint nutzen

In diesem Blog-Artikel wird beschrieben, wie Sie die Anmeldung an der WatchGuard FireCloud mittels Passkey absichern können. Das Prinzip ist für alle AuthPoint-Ressourcen das Gleiche, für die Passkey unterstützt wird.

Passkeys werden digital auf einem Gerät, beispielsweise einem Mobiltelefon, Laptop oder Fido2-Key, gespeichert und ersetzen das Passwort bei der Anmeldung. Der Passkey liegt verschlüsselt auf den Geräten und kann so nicht kompromittiert werden.

In diesem Howto wird vorausgesetzt, das AuthPoint schon konfiguriert ist und die Anmeldung an der FireCloud mit anderen Authentifizierungsmethoden funktioniert.

1. Voraussetzungen

• AuthPoint mit Benutzer-Lizenzen (Passkey ist in der „normalen“ Lizenz enthalten)
• Passkey kann aktuell mit diesen AuthPoint-Ressourcen verwendet werden:
  • SAML
  • FireCloud
  • OIDC
  • Microsoft External MFA
• Connection-Manager in der Version v1.3.9.898 für Windows bzw. v1.2.23.41 für MacOS

2. Passkey-Authentifizierung aktivieren

Um Passkey zu aktivieren, wird eine Zero-Trust-Regel benötigt. In unserem Beispiel verwenden wir die bereits vorhandene Regel mit dem Namen FireCloud  im Bereich Konfigurieren -> Zero-Trust:

Im Konfigurationsabschnitt Aktion wird nur zusätzlich der Haken bei Passkey gesetzt. Damit ist die Konfiguration in AuthPoint bereits erledigt.

Wichtig: Wenn wie in diesem Beispiel MFA und Passkey aktiviert sind, dann kann der Benutzer bei der Anmeldung selbst wählen, welche Methode er zur Anmeldung nutzen möchte. Es geht nicht beides (MFA + Passkey) sondern immer nur entweder oder.

3. Passkey-Schlüsselpaar erzeugen

Nachdem Passkey aktiviert wurde, muss ein Schlüsselpaar erstellt werden. Das erfolgt  mit den folgenden Schritten:

• Anmelden an der FireCloud mit Benutzernamen bzw. E-Mail-Adresse.
• Im zweiten Fenster „einen neuen Passkey registrieren“.
• Es wird ein Verifizierungscode an die im Benutzer hinterlegte Mailadresse geschickt. Dieser muss zur Bestätigung eingetragen werden.

Der Hauptschlüssel wird in AuthPoint erzeugt anschließend kann jetzt gewählt werden, wo dieser gespeichert wird.

Bevor der Hauptschlüssel im gewählten Speicherort abgelegt wird muss noch eine PIN vergeben werden, welche den Zugriff auf den Passkey zusätzlich absichert. Die Konfiguration ist nun abgeschlossen und die erste Anmeldung mit Passkey kann getestet werden.

4. Anmeldung mit Passkey

Die Anmeldung erfolgt im ersten Schritt wie immer mit dem Benutzernamen bzw. der E-Mail-Adresse. Anschließend kann der Punkt Passkey gewählt werden und es folgt die Abfrage wo der Schlüssel gespeichert ist. Je nach dem was für eine Hardware verwendet wird kommt anschließend die PIN-Abfrage und bei dem in diesem Beispiel verwendeten Fido2-Key muss noch die Taste am Dongle gedrückt werden, um zu bestätigen, dass man tatsächlich physischen Zugriff auf den Dongle hat.

5. Fazit

Mit Passkeys kann man die Anmeldung an unterschiedlichen Ressourcen absichern, ohne das sich die Benutzer lange Passwörter merken müssen. Es gibt verschiedene Geräte, die Passkeys speichern. Für die erfolgreiche Anmeldung muss der Benutzer also im Besitz der Hardware sein und zusätzlich zum entsperren des Passkeys entweder eine PIN eingeben oder per Biometrie beispielsweise einen Fingerabdruck oder eine Gesichtserkennung bestehen.

Nützliche Links

• HOWTO: EntraID-Benutzer in AuthPoint synchronisieren
• HOWTO: EntraID-Benutzer mit AuthPoint als zweitem Faktor