Wat is WebAuthn?

In maart 2019 maakte het World Wide Web Consortium (W3C) bekend dat WebAuthn de officiële webstandaard voor passwordless login werd. Met ondersteuning van een breed scala aan applicaties (Microsoft Edge, Chrome, Firefox, Mobile) is de komende jaren een wijdverspreide ingebruikname van WebAuthn te verwachten.

In dit artikel gaan we de tekortkomingen van de huidige authenticatiemethoden en de voordelen van WebAuthn verkennen en bekijken we de meest pertinente flows voor WebAuthn.

Tekortkomingen van huidige authenticatiemethoden

Voordat we gaan bekijken waarom WebAuthn werd gemaakt en we de diverse functionaliteiten onder de loep nemen, gaan we eerst na hoe de authenticatie van gebruikers begon en wat de tekortkomingen van de huidige methoden zijn.

Wachtwoorden

We zijn allemaal bekend met het gebruik van gebruikersnamen en wachtwoorden als authenticatiemethode. Hoewel dat framework alomtegenwoordig is en eenvoudig te begrijpen voor de gewone consument, heeft 1 op de 5 Amerikanen te maken gehad met account takeovers (ATO's) door middel van inloggegevens. Ervan uitgaande dat de gemiddelde eindgebruiker meer dan 130 online accounts heeft, moeten organisaties hun framework van gebruikersauthenticatie geschikt maken voor het grote effect op hun organisatie.

Tweefactor authenticatie

De volgende stap in de authenticatie van inloggegevens is 2FA, ofwel tweefactor authenticatie. Maar voor klantenaccounts zijn er voor populaire, weinig zekerheid verschaffende tweede factoren zoals sms goed gedocumenteerde bewijzen dat de methode kwetsbaar is voor phishingaanvallen. Als alternatief voor deze zwakte van 2FA is WebAuthn niet alleen een potentiële oplossing tegen geavanceerde phishingaanvallen, maar is het ook een verbetering voor de customer experience.

Wat is WebAuthn?

Maak kennis met de nieuwe wereldwijde standaard voor webauthenticatie. WebAuthn is een op browsers gebaseerde API waarmee webapplicaties de gebruikersauthenticatie kunnen vereenvoudigen en beveiligen door gebruik te maken van geregistreerde devices (telefoons, laptops, etc.) als factoren. De API gebruikt cryptografie met publieke sleutels om gebruikers te beschermen tegen geavanceerde phishingaanvallen.

Voordelen van WebAuthn

De voordelen van WebAuthn kunnen worden onderverdeeld in 3 categorieën die betrekking hebben op meerdere belanghebbenden, te weten klanten, product owners, securityteams en supportteams.

Laten we elk van deze categorieën eens nader bekijken.

Betere klantenbinding

Klanten - Frictieloze login
Omdat WebAuthn gebruikmaakt van authenticatie gebaseerd op devices, zijn er helemaal geen wachtwoorden meer nodig. Voor klanten betekent dit dat ze bij het inloggen niet hun gebruikersnaam en wachtwoord hoeven te onthouden of dat ze een eenmalig wachtwoord kunnen aanvragen voor een step-up tweede factor. Eindgebruikers hoeven alleen nog maar hun voor authenticatie geregistreerde device te gebruiken

Product owners - Time-to-authentication, time-to-market
Zoals eerder vermeld, zijn er met WebAuthn geen wachtwoorden meer nodig. Product owners vinden het gebruik van hun applicatie belangrijk en het weghalen van barrières voor klanten is meestal hun belangrijkste zorg. WebAuthn draagt bij aan een frictieloze inlogprocedure voor deze gebruikers.

Omdat er met WebAuthn niet meer hoeft te worden nagedacht over complexe wachtwoordinstellingen, kunnen product owners hun time-to-market versnellen doordat er geen complexe architectuur meer nodig is om wachtwoorden te beheren en op te slaan.

Betere beveiligingsstatus

Klanten - Vertrouwen behouden
Nu het aantal datalekken toeneemt, is het heel belangrijk het vertrouwen van de consument te behouden. Klanten geven u hun data en ze willen ervan op aan kunnen dat hun data veilig zijn wanneer ze die delen. Met WebAuthn hebt u een veel veiligere authenticatiemethode die alle aan wachtwoorden gekoppelde risico's elimineert.

Securityteams - Elimineren de inherente zwakte van wachtwoorden
WebAuthn is niet afhankelijk van authenticatie die is gebaseerd op informatie zoals gebruikersnamen en wachtwoorden. Dit betekent dat u afhankelijk bent van geregistreerde devices van de eindgebruiker. Het risico op spoofing van authenticatie is kleiner omdat geregistreerde fysieke devices moeilijker te stelen zijn dan wachtwoorden, en daar is uw securityteam alleen maar blij mee.

Minder belasting voor organisaties bij ondersteuning van applicaties

Support - Verkort de supportcycli voor meerdere factoren
Een unieke functionaliteit van WebAuthn gebruikt de standaard als primaire methode om in te loggen. WebAuthn maakt supportcycli eenvoudiger omdat de enige vereiste factor WebAuthn is.

Hoe werkt WebAuthn?

U weet nu dat het sterkste punt van WebAuthn eliminatie van het gebruik van wachtwoorden is. Maar hoe doet deze open standaard dat precies? WebAuthn heeft 3 hoofdonderdelen: de authenticator, de browser en de webserver.

Gebruikers verifiëren zonder wachtwoord is een proces dat uit 6 stappen bestaat

Stap 1: de gebruiker opent de browser om in te loggen

Stap 2: de webserver maakt een unieke vraag die naar de authenticator wordt gestuurd

Stap 3: de authenticator ontvangt de vraag met de domeinnaam van de vraag

Stap 4: de authenticator ontvangt een biometrische bevestiging van de gebruiker

Stap 5: de authenticator genereert een cryptografische handtekening die naar de webserver wordt teruggestuurd

Stap 6: de webserver verifieert de handtekening aan de hand van de unieke vraag om de gebruiker in te loggen

Meer technische informatie kunt u vinden op WebAuthn from W3C.

Op weg naar passwordless

Samenvattend kan worden gesteld dat de wereld van authenticatie op weg is naar passwordless. Account takeovers en beperkte user experience worden steeds meer problemen uit het verleden naarmate authenticatie via WebAuthn verder wordt verbeterd.

Okta richt zich op het ontwikkelen van veilige, passwordless oplossingen om onze klanten te helpen bij het oplossen van uitdagingen op het gebied van authenticatie. Wij ondersteunen authenticatiestandaards als WebAuthn die de weg helpen vrijmaken voor een bredere acceptatie van passwordless strategieën. Maar wij erkennen ook dat voor veel organisaties de moeilijkste aspecten daarvan het beveiligen van de herstelfases voor inschrijving en het gebruik van veilige alternatieve authenticatiemethoden voor niet-ondersteunde devices zijn.

Download onze kosteloze whitepaper als u meer wilt weten over de manier waarop Okta integreert met applicaties.