Authentifizierung
Ein Dienst muss feststellen, ob ein Aufrufer die behauptete Identität kontrolliert.
- BehauptungBehauptung: Ein Subjekt behauptet eine Identität.
- NachweisNachweis: Ein Faktor oder Credential belegt die Kontrolle.
- SitzungSitzung: Ergebnis wird sicher an Folgeaufrufe gebunden.
Einordnung
Warum das wichtig ist
Identität an Vertrauensgrenzen nachvollziehbar feststellen.
Identität an Vertrauensgrenzen nachvollziehbar feststellen.
Authentifizierung: Entscheidung prüfen
Das Shop-Beispiel nutzt die bestehende gemeinsame Datenbank und sieben Module. Jede ergänzte Dienst- oder Betriebsform ist eine hypothetische Erweiterung. Ein Kunde meldet sich beim Shop mit einem Passkey an. Der Identitätsdienst prüft den kryptografischen Nachweis und stellt ein kurzlebiges Sitzungs-Token aus, das der Shop bei Folgeanfragen validiert. Der Bestellservice kennt damit den authentifizierten Nutzer, entscheidet aber weiterhin anhand seiner Auftragsregeln, welche Bestellung angezeigt werden darf. Das Team begrenzt Tokenlaufzeit, schützt Sitzungscookies und protokolliert fehlgeschlagene Anmeldeversuche ohne Geheimnisse zu speichern.
So liest du das Bild
- Behauptung Behauptung
- Nachweis Nachweis
- Sitzung Sitzung
| Begriff | Bedeutung | Prüffrage |
|---|---|---|
| Behauptung | Ein Subjekt behauptet eine Identität. | Wie weist der Kunde seine Identität nach? |
| Nachweis | Ein Faktor oder Credential belegt die Kontrolle. | Welche Vertrauensprüfung erfolgt vor Nutzung eines Tokens? |
| Sitzung | Ergebnis wird sicher an Folgeaufrufe gebunden. | Welche Frage beantwortet Anmeldung allein nicht? |
Nutzen & Grenzen
Hilft, wenn
- Identität an Vertrauensgrenzen nachvollziehbar feststellen.
- Identitätsnachweis, Tokenvertrauen und Sitzungsdauer getrennt festlegen.
Grenzen
- Eine gültige Anmeldung beantwortet keine Berechtigungsfrage.
- Identitätsnachweise benötigen sichere Ausgabe, Prüfung, Ablauf und Widerruf über den gesamten Vertrauenspfad.
In der Praxis
- Dokumentiere, welche Passkey-Behauptung der Identitätsdienst prüft und an welche Shop-Komponenten ein kurzlebiges Sitzungstoken ausgestellt wird.
- Teste ungültige, abgelaufene und widerrufene Token sowie eine erneute Anmeldung; prüfe, ob jede Shopanfrage Identität und Tokenaussteller zuverlässig validiert.
- Kontrolliere Cookie-Schutz, Tokenlaufzeit und Fehlerprotokolle und bestätige, dass weder Passkey-Geheimnisse noch vollständige Sitzungstoken in Logs erscheinen.
Ausführliche Erklärung lesen
Authentifizierung prüft, ob ein Nutzer, Dienst oder Gerät die behauptete Identität kontrolliert. Dafür werden Credentials wie Passkeys, Zertifikate oder kurzlebige Tokens geprüft und ein Ergebnis für weitere Interaktionen gebildet.
Die Authentifizierung beantwortet eine Identitätsfrage. Sie erteilt keine fachliche Berechtigung; diese folgt einer separaten Autorisierungsentscheidung und einem klaren Vertrauensmodell für Tokens und Sitzungen.
Das Shop-Beispiel nutzt die bestehende gemeinsame Datenbank und sieben Module. Jede ergänzte Dienst- oder Betriebsform ist eine hypothetische Erweiterung. Ein Kunde meldet sich beim Shop mit einem Passkey an. Der Identitätsdienst prüft den kryptografischen Nachweis und stellt ein kurzlebiges Sitzungs-Token aus, das der Shop bei Folgeanfragen validiert. Der Bestellservice kennt damit den authentifizierten Nutzer, entscheidet aber weiterhin anhand seiner Auftragsregeln, welche Bestellung angezeigt werden darf. Das Team begrenzt Tokenlaufzeit, schützt Sitzungscookies und protokolliert fehlgeschlagene Anmeldeversuche ohne Geheimnisse zu speichern. auth und authorization helfen, diese Entscheidung mit benachbarten Fragen zu vergleichen.
Selbst prüfen
Teste dich in drei Stufen
AblesenIm Bild nachsehen
Wie weist der Kunde seine Identität nach?
Lösung mit Begründung ansehen
Mit einem Passkey; daraus entsteht eine kurzlebige Shop-Sitzung.
AnwendenAuf eine neue Lage übertragen
Welche Vertrauensprüfung erfolgt vor Nutzung eines Tokens?
Lösung mit Begründung ansehen
Aussteller, Signatur, Zielgruppe, Ablauf und Widerrufsstatus validieren.
BewertenEine Alternative abwägen
Welche Frage beantwortet Anmeldung allein nicht?
Lösung mit Begründung ansehen
Ob der Kunde oder Support eine bestimmte Ressource ändern darf.
Vertiefen
Diese Bausteine führen die Gedanken dieser Seite weiter.
Quellen
- Authentication Cheat Sheet (öffnet in neuem Tab)OWASP-Empfehlungen für Identitätsprüfung und Anmeldeschutz.
- OpenID Connect Core 1.0 (öffnet in neuem Tab)Standardspezifikation zur Authentifizierung auf OAuth 2.0.
- OAuth 2.0 Security Best Current Practice (öffnet in neuem Tab)Aktuelle IETF-Sicherheitsempfehlungen für OAuth-Systeme.