Überblick
Konventionelle MFA kann bestätigen, dass ein Benutzer einen akzeptierten Faktor geliefert hat, bietet aber möglicherweise wenig Nachweis darüber, wie dieser Faktor registriert wurde, ob sich das Schlüsselmaterial zwischen Geräten bewegen kann oder ob das Credential kürzlich ersetzt wurde.
Trusted Authenticator Lineage (TAL) ist Gideons Begriff für die Zusammenführung der tatsächlich beobachtbaren Credential-Nachweise: Registrierungspfad, Attestierung soweit verfügbar, Authenticator- und Backup-Eigenschaften, serverseitige Lebenszyklusereignisse sowie zugehörige Gerätevertrauenssignale. Der Datensatz sollte verifizierte Belege von Schlussfolgerungen trennen. WebAuthn stellt keinen vollständigen Verlauf aller Synchronisierungs- oder Recovery-Ereignisse innerhalb eines Passkey-Providers bereit.
Signale für die Lineage
- Registrierungsquelle. Erfassen Sie, wer die Registrierung initiiert hat, welche authentifizierte Sitzung sie autorisierte, welchen Geräte- und Netzwerkkontext das System sah und ob ein vorhandenes phishingresistentes Credential oder eine Administratorfreigabe erforderlich war.
- Attestierung. Wenn sie angefordert, geliefert und validiert wird, kann Attestierung Hinweise auf Herkunft, Modell und Sicherheitseigenschaften eines Authenticators geben. Sie kann fehlen, anonymisiert oder eingeschränkt sein und beweist nicht den aktuellen Compliance-Zustand des Endpoints.
- Credential-Bindung und Backup-Status. Bestimmen Sie, ob die Richtlinie ein gerätegebundenes Credential verlangt, und erfassen Sie WebAuthn-Flags für Backup-Berechtigung und -Status. Diese Flags zeigen, ob ein Credential gesichert werden kann oder ist; sie listen nicht jedes Gerät mit synchronisierter Kopie auf.
- Authentifizierungsnachweise. Prüfen Sie jede frische Challenge und erfassen Sie relevanten Risikokontext. Signaturzähler können bei manchen Authenticators helfen, viele Plattform- und synchronisierte Credentials liefern jedoch keinen global zuverlässigen Zähler.
- Wiederherstellung, Ersatz und Widerruf. Erfassen Sie die von Relying Party oder IdP kontrollierten Ereignisse: Recovery-Autorisierung, neue Credential-Registrierung, Ersatz, administrativer Reset, Widerruf und Offboarding.
- Gerätestatus. Halten Sie aktuelle Patch-, Verschlüsselungs-, Management- und Endpoint-Security-Signale von der Credential-Lineage getrennt. Korrelieren Sie sie bei der Zugriffsentscheidung, ohne kontinuierliche Gerätegesundheit aus WebAuthn-Attestierung abzuleiten.
Was zu bewerten ist
- Welche Registrierungs-, Attestierungs-, Bindungs-, Backup-, Recovery-, Ersatz- und Widerrufssignale sind tatsächlich verfügbar?
- Welche Aussagen sind kryptografisch verifiziert, welche stammen aus Gerätemanagement und welche sind Verhaltensschlussfolgerungen?
- Kann die Richtlinie für privilegierte und regulierte Rollen stärkere Registrierungsautorisierung oder gerätegebundene Credentials verlangen?
- Wie reagiert das System auf ein neues Credential, geänderten Backup-Status, Recovery, ein unbekanntes Gerät oder fehlenden Status?
- Können Ermittler den Credential-Lebenszyklus der Relying Party rekonstruieren, ohne Sichtbarkeit in providerinterne Synchronisierung zu behaupten?
Warum es für Zero Trust wichtig ist
- Reduziert das Risiko unerlaubter Registrierung. Eine reine Passwortsitzung sollte nicht ausreichen, um einen hochvertrauenswürdigen Authenticator einzurichten. Richtlinien können stärkere vorhandene Nachweise, verwalteten Gerätekontext oder ausdrückliche Freigabe verlangen.
- Macht beobachtbare Änderungen steuerbar. Neue Registrierungen, Recovery, Ersatz, Änderungen des Backup-Status und Widerruf können Richtlinien, Prüfungen oder Untersuchungen auslösen, sofern die Plattform sie bereitstellt.
- Ergänzt phishingresistente Authentifizierung. Lineage ergänzt WebAuthn und FIDO2 durch Kontext dazu, wie ein akzeptiertes Credential in das Konto gelangte und sich dort änderte.
- Verbessert Audit-Nachweise. Security-Teams können einen belastbaren Datensatz zu Registrierungsautorisierung, Credential-Eigenschaften, Richtlinienentscheidungen, Ersatz und Widerruf führen, ohne die Sichtbarkeit der Protokolle zu übertreiben.
So nutzen Sie diese Ressource
Stimmen Sie Security, IT und Einkauf ab, dokumentieren Sie die vom IdP beobachtbaren Credential-Lebenszyklussignale und definieren Sie messbare Anforderungen für Registrierung, Recovery, Richtlinien und Audit.