Authentifizierung in Windows 8: Live ID, Password Manager, Smartcard

Eine Neuerung von Windows 8 besteht darin, dass man sich anstatt über ein lokales Konto mit seiner Live ID anmelden kann. Diese Form der Authentifizierung erfolgt zwar auch über Name und Passwort, hat aber gegenüber dem traditionellen Ansatz mehrere Vorteile:

• Windows Live verwendet eine Zwei-Faktor-Authentifizierung, so dass der Benutzer wieder Zugang zu seinem PC erlangen kann, wenn er das Passwort vergessen hat. Sie erfolgt über Sicherheitsfragen oder eine sekundäre Mail-Adresse. Beim Diebstahl der Identität kann der rechtmäßige Besitzer über diese Mechanismen wieder an seine ID gelangen.
• Der Cloud-Service von Microsoft verlangt starke Passwörter, während private Anwender hier die Anforderungen oft großzügig herunterschrauben.
• Einheitliche Login-Daten für alle PCs, auf denen man sich per Live ID anmeldet. Dazu gehört auch, dass man Passwörter zentral zurücksetzen kann und sich diese Änderung auf alle Windows-Rechner auswirkt, auf denen man sich anmeldet.
• Single-Sign-on mit allen Online-Services, die eine Authentifizierung über die Live ID erlauben. Das betrifft vor allem die Microsoft-eigenen Dienste wie Messenger oder Hotmail.

Synchronisierung persönlicher Einstellungen

Als weiteres Feature kommt hinzu, dass Microsoft die Synchronisierung von benutzerspezifischen Einstellungen und Daten an die Anmeldung mittels Live ID koppelt. Sie stehen dann auf allen PCs zur Verfügung, die man vorher als vertrauenswürdig verifiziert hat und auf denen man sich mit seiner Live ID anmeldet. Zu den Profilinformationen, die man über Windows Live mit anderen Rechnern abgleichen kann gehören:

• Persönliche Einstellungen
• Themes
• Features für die erleichterte Bedienung
• Sprachpräferenzen
• Metro-Anwendungen
• IE-Bookmarks und Passwörter

Die Option, sich per Live ID anzumelden, richtet sich primär an private Anwender, da sich Mitarbeiter in Unternehmen normalerweise über das Active Directory authentifizieren. Diese Ausrichtung ist auch daran erkennbar, dass die Synchronisierung von Einstellungen neben Windows-Präferenzen nur Einstellungen von Metro-Apps berücksichtigt. Vollständige User-Profile, die mit dem Anwender mitwandern, bleiben den Roaming Profiles innerhalb von Unternehmen vorbehalten.

Steuerung der Synchronisierung über GPO

Trotz dieser Orientierung auf den Consumer sind die mit der Live ID verbundenen Funktionen auch für Systemverwalter relevant. Mitglieder einer Domäne können nämlich ihr AD-Konto mit der Live ID verknüpfen und so die Synchronisierungsfunktionen nutzen. Mit Hilfe von Gruppenrichtlinien lässt sich jedoch festlegen, ob eine solche Verbindung von AD-Benutzer und Live ID möglich ist und welche Daten und Einstellungen im Einzelnen synchronisiert werden dürfen. Zudem werden Anmeldedaten von PCs, die einer Domäne angehören, nicht in die Cloud oder auf andere PCs übertragen.

Credential Manager für Websites

Die Verwendung der immer gleichen Passwörter für zahlreiche Online-Dienste und die daraus resultierenden Risiken möchte Microsoft in Windows 8 vermeiden, indem es die Zugangsdaten in einem lokalen Passwort-Manager ablegt. Die Ankündigung dieses Features im Windows-8-Blog erwähnt mit keinem Wort Cardspace, das unter Windows 7 dem gleichen Zweck dient, aber an der Akzeptanz der User scheiterte. Daher ist unklar, ob der Nachfolger die gleiche technische Basis nutzt wie Cardspace.

Der neue Credential Manager funktioniert ähnlich wie die Passwortverwaltung in verschiedenen Web-Browsern, die nach dem Ausfüllen von Anmeldeformularen die dort eingegebenen Daten speichern. Da die Browser beim erneuten Besuchen der betreffenden Websites die Namen und Passwörter selbständig eingeben, entfällt der Anreiz, schwache und sich wiederholende Passwörter zu wählen - schließlich muss man nicht in der Lage sein, sie im Gedächtnis zu behalten.

Passwort-Synchronisierung über Live ID

Der durch Passwort-Manager erreichte Komfort ist jedoch oft der größte Nachteil dieser Tools. Wechselt man nämlich auf einen anderen PC oder muss den Rechner neu installieren, dann kann diese Gedächtnisstütze wegfallen und der Zugang zu vielen Websites bleibt versperrt. Microsoft will solchen Situationen durch die Synchronisierung der gespeicherten Passwörter vorbeugen, wenn man sich über eine Live ID anmeldet.

Auch wenn das Passwort-Management eng mit dem Internet Explorer 10 verwoben ist, unterscheidet es sich von ähnlichen Funktionen in Firefox oder Google Chrome dadurch, dass es ein Systemdienst von Windows ist. Daher können auch andere Anwendungen darauf zugreifen, wobei allerdings Microsoft bisher nur von einem API für Metro-Apps spricht. Bleibt es darauf beschränkt, könnten die herkömmlichen Desktop-Browser diesen Passwort-Manager nicht in Anspruch nehmen.

Virtuelle Smardcards

Neben dem Bestreben, die meistgenutzte Form der Authentifizierung mittels Passwort sicherer zu machen, verfolgt Microsoft mit Windows 8 das Ziel, bessere und weniger anfällige Verfahren für mehr Benutzern zugänglich zu machen. Dazu zählen vor allem asymmetrische Techniken, die keine Passwörter übertragen, sondern Authentifizierungsanfragen mit dem privaten Schlüssel des Benutzers signieren.

Die verlässliche Sicherung von Private Keys wird im Allgemeinen durch die Verwendung entsprechender Hardware gewährleistet, beispielsweise Smartcards. Diese erfordern zudem die nötigen Reader an jedem PC, so dass der Aufwand für dieses Modell der Authentifizierung relativ hoch ist und von relativ wenigen Anwendern eingesetzt wird.

In Windows 8 soll ein Key Storage Provider (KSP) diese Barriere beseitigen, indem er mit Unterstützung des Trusted Platform Module die kryptografischen Schlüssel lokal speichert. Damit entfällt die Notwendigkeit für eine dedizierte Hardware, gleichzeitig soll eine solche virtuelle Smartcard mit vorhandenen Anwendungen für reale Smartcards kompatibel sein. Ein KSP kann zudem über APIs angesprochen werden, beispielsweise um Schlüssel zu verwalten oder dort abzulegen. Allerdings ist auch diese Schnittstelle nur für Metro-Apps vorgesehen.

Picture Passwords

Die Wahl starker Passwörter kollidiert nicht nur mit der Schwierigkeit, sich diese merken zu können. Bei Geräten mit Touch-Bedienung kann ihre Eingabe zudem mühselig sein, wenn sie eine gewisse Länge haben und verschiedene Sonderzeichen enthalten. Aus diesem Grund könnten hier viele Benutzer zu schwachen Passwörtern greifen. Daher bietet Microsoft mit Picture Passwords eine Alternative an, die der Touch-Bedienung entgegenkommt und Angreifern dennoch widersteht.

Bei diesem Verfahren handelt es sich entgegen des ersten Eindrucks, den seine Bezeichnung vermitteln könnte, um keine Gesichtserkennung oder eine andere biometrische Technik. Vielmehr wählt der Benutzer ein beliebiges Bild, bei dem er das "Passwort" festlegt, indem er mehrere Markierungen auf dem Image anbringt. Zur Auswahl stehen Kreise, Punkte und Pfeile. Mit Letzteren verbindet er Objekte auf dem Bild, mit den beiden anderen Gesten markiert er bestimmte Areale. Dabei ist sowohl die Reihenfolge als auch die Richtung der Bewegungen entscheidend.

Bei diesem Feature ist unklar, wie es in einen Unternehmenskontext passt. Zwar soll sich die Verwendung von Picture Passwords über Gruppenrichtlinien abschalten lassen, unklar ist aber, wie es in das AD-Passwort-Management passt, wenn man sie erlaubt.