Seminar Nitrokey FIDO2, Passkeys und Multi-Faktor-Authentisierung

FIDO2 und Passkeys ermöglichen phishing-resistente Anmeldungen, benötigen jedoch eine saubere Registrierung, ein passendes PIN- und Touch-Konzept sowie einen getesteten Wiederzugang.

Das Tagesseminar konzentriert sich auf die praktische Einführung mit Nitrokey und trennt technische Gerätesicherheit von den Wiederherstellungsregeln des jeweiligen Dienstes.

Inhaltsübersicht

1. Einordnung und Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Methodik

Einordnung und Zielsetzung

FIDO2 und Passkeys ermöglichen phishing-resistente Anmeldungen, benötigen jedoch eine saubere Registrierung, ein passendes PIN- und Touch-Konzept sowie einen getesteten Wiederzugang. Das Tagesseminar konzentriert sich auf die praktische Einführung mit Nitrokey und trennt technische Gerätesicherheit von den Wiederherstellungsregeln des jeweiligen Dienstes.

Zielgruppe und Voraussetzungen

Zielgruppe: IAM, IT-Administration, Security Operations, Service Desk, DevSecOps und technische Anwenderbetreuung.

Voraussetzungen: Grundverständnis von Benutzerkonten, Multi-Faktor-Authentisierung und Browseranmeldung.

Lernziele

• FIDO2-, WebAuthn- und Passkey-Rollen unterscheiden.
• Nitrokey sicher initialisieren und registrieren.
• Auffindbare und nicht auffindbare Anmeldedaten einordnen.
• Zweitgerät und Wiederzugang testen.
• Verlust- und Sperrprozesse dokumentieren.

Seminarinhalte

1. Protokoll und Bedrohungsmodell

Die beteiligten Rollen werden vor der Konfiguration geklärt.

1. Schritt 1: Dienst, Browser, Betriebssystem und Authenticator als Komponenten zuordnen.
2. Schritt 2: Phishing, Passwortdiebstahl und Tokenverlust getrennt bewerten.
3. Schritt 3: Benutzerpräsenz, Benutzerverifikation und PIN in ihrer Wirkung unterscheiden.
4. Schritt 4: Anforderungen an produktive Registrierungen festlegen.

2. Gerätevorbereitung

Der Nitrokey wird vor der ersten Registrierung geprüft.

1. Schritt 1: Modell, Firmwarestand und unterstützte FIDO2-Funktionen erfassen.
2. Schritt 2: FIDO2-PIN nach Richtlinie setzen und Touch-Funktion testen.
3. Schritt 3: Vorhandene Anmeldedaten kontrollieren, ohne produktive Einträge unbeabsichtigt zu löschen.
4. Schritt 4: Gerät eindeutig inventarisieren und einer Rolle zuordnen.

3. Registrierung und Anmeldung

Mehrere Credential-Typen werden praktisch verglichen.

1. Schritt 1: Primären Nitrokey an einem Testdienst registrieren.
2. Schritt 2: Nicht auffindbare Anmeldung mit lokalem Schlüsselhandle nachvollziehen.
3. Schritt 3: Auffindbare Anmeldung beziehungsweise Passkey modellabhängig einrichten.
4. Schritt 4: Anmeldung mit PIN und Touch prüfen und unerwartete Browserdialoge bewerten.

4. Backup und Wiederzugang

Der Verlust des Primärgeräts wird vor Produktivsetzung getestet.

1. Schritt 1: Zweiten Nitrokey oder gleichwertigen starken Faktor registrieren.
2. Schritt 2: Recovery-Codes geschützt erzeugen und Aufbewahrung festlegen.
3. Schritt 3: Primärgerät aus dem Konto entfernen und Anmeldung mit Ersatzweg durchführen.
4. Schritt 4: Erneute Ausgabe und Registrierungsnachweis dokumentieren.

Praxisübungen

• Initialisierung und FIDO2-PIN.
• Registrierung zweier Nitrokeys bei einem Testdienst.
• Simulierter Verlustfall mit Entfernung und Wiederzugang.

Methodik

Das Tagesformat ist stark praxisorientiert. Jede Registrierung wird unmittelbar durch einen Anmelde- und Wiederzugangstest verifiziert.