Bei der Mehr-Faktor-Authentifizierung (MFA) wird die Identität von Nutzern durch mehrere unabhängige Merkmale (Faktoren) überprüft. Bare.ID unterstützt die folgenden MFA-Methoden:
- Pushbenachrichtigung in App "Sicherer Login für Webdienste" (protect4use)
- Security-Token (WebAuthn)
- Einmalpasswort (OTP) per Authenticator-App
- Einmalpasswort (OTP) per E-Mail
- Einmalpasswort (OTP) per SMS
Um eine MFA-Methode für Bare.ID-Nutzer einer Instanz nutzen zu können, muss diese von einem Administrator für die entsprechende Bare.ID-Instanz über die Benutzeroberfläche unter https://app.dev.bare.id/ aktiviert und konfiguriert werden.
Nutzer können dann die erforderliche Einrichtung der Anmeldemethode für ihr Nutzerkonto über die Keycloak-Kontoverwaltung für Nutzer der entsprechenden Instanz durchführen und sich anschließend mithilfe der entsprechenden MFA-Methode anmelden.
- Klicke auf eine der oben aufgeführten MFA-Methoden, um zu den detaillierten Anleitungen für Administratoren und Nutzer zu gelangen.
Informationen zum Einrichten von MFA-Methoden finden sich auch in den Kapiteln Authentifizierung und MFA einrichten des Bare.ID-Handbuchs.
Pushbenachrichtigung in App "Sicherer Login für Webdienste" (protect4use)
Als ein zusätzlicher Sicherheitsfaktor bei der Anmeldung an eine Bare.ID-Instanz kann die Mobil- und Windows-App "Sicherer Login für Webdienste" der secunet Security Networks AG verwendet werden. Sie ermöglicht es, Anmeldungen nach Pushnachricht oder QR-Code-Scan freizugeben.
Als Administrator aktivieren
- Melde dich hierfür mit einem Administrator-Konto bei Bare.ID an und wähle auf der Willkommensseite die Instanz aus, für die Einstellungen zur Authentifizierung vorgenommen werden sollen.
- Klicke in der Navigation links auf "Sicherheit".
- Wähle den Reiter "AUTHENTIFIZIERUNG".
- Wähle im Abschnitt "Authentifizierung" eine erste Methode zur Nutzeridentifizierung aus.
- Aktiviere den Schalter "Einen weiteren Sicherheitsfaktor zum Anmelden nutzen", bei der Anmeldung auch den zweiten Faktor abzufragen.
- Setze im Abschnitt "Multifaktor Authentifizierung" den Schalter "Pushbenachrichtigung in App "Sicherer Login für Webdienste"" aktiv, um die Freigabe durch die App "Sicherer Login für Webdienste" als weiteren Authentifizierungs-Faktor bei der Anmeldung an der Bare.ID-Instanz zu ermöglichen.
- Aktiviere den Schalter "Einrichten einer Zwei-Faktor-Authentifizierung erzwingen", um Nutzer bei der nächsten Anmeldung zum Einrichten der MFA-Methode aufzufordern.
- Klicke auf den "SPEICHERN"-Button, um die Einstellungen zu speichern.
Als Nutzer einrichten
- Rufe den Link zur Keycloak-Kontoverwaltung für Nutzer der entsprechenden Bare.ID-Instanz auf.
- Klicke auf den "Anmelden"-Button in der Ecke oben rechts.
- Melde dich mit dem Benutzernamen oder der E-Mail-Adresse und dem Passwort des Nutzerkontos an.
- Klicke im Abschnitt "Nutzerkonto Sicherheit" auf "Anmeldung".
- Klicke auf "Zugangsschlüssel "Sicherer Login für Webdienste" einrichten".
- Folge den Anweisungen auf der Seite "Zugangsschlüssel registrieren".
Als Nutzer anmelden
- Identifiziere dich für die entsprechende Bare.ID-Instanz mit der konfigurierten Methode, z.B. durch Eingabe von Benutzername und Passwort in der Anmelde-Maske.
- Folge den Anweisungen auf der Seite "Protect4use Authentifizierung".
Security-Token (WebAuthN)
Eine der Möglichkeiten, die Anmeldung für Nutzer an Bare.ID mit einem weiteren Faktor zur Authentifizierung sichererer zu machen, ist die Nutzung der Authentifizierung mit Security-Token (WebAuthN). Hierbei wird bei der Anmeldung an Bare.ID ein Zugangsschlüssel, z.B. per Fingerabdruck oder USB-Token, zur Freigabe verwendet.
Als Administrator aktivieren
- Melde dich hierfür mit einem Administrator-Konto bei Bare.ID an und wähle auf der Willkommensseite die Instanz aus, für die Einstellungen zur Authentifizierung vorgenommen werden sollen.
- Klicke in der Navigation links auf "Sicherheit".
- Wähle den Reiter "AUTHENTIFIZIERUNG".
- Wähle im Abschnitt "Authentifizierung" eine erste Methode zur Nutzeridentifizierung aus.
- Setze den Schalter "Security-Token (WebAuthN)" aktiv.
- Wähle für "Security-Token Anbindung" bei Bedarf eine Einschränkung der Art des zugelassenen Tokens auf "nur entfernbare Tokens" oder "nur eingebaute Tokens".
- Wähle für "Benutzerverifizierung" bei Bedarf, ob eine Benutzerverifizierung, z.B. mittels PIN-Code unterdrückt, verlangt oder erzwungen werden soll.
- Lege für "Security-Token Timeout" die Zeit in Sekunden fest, bis das Timeout des Authentifizierungsvorgangs eintritt.
- Aktiviere den Schalter "Einrichten einer Zwei-Faktor-Authentifizierung erzwingen", um Nutzer bei der nächsten Anmeldung zum Einrichten der MFA-Methode aufzufordern.
- Klicke auf den "SPEICHERN"-Button, um die Einstellungen zu speichern.
Als Nutzer einrichten
- Rufe den Link zur Keycloak-Kontoverwaltung für Nutzer der entsprechenden Bare.ID-Instanz auf.
- Klicke auf den "Anmelden"-Button in der Ecke oben rechts.
- Melde dich mit dem Benutzernamen oder der E-Mail-Adresse und dem Passwort des Nutzerkontos an.
- Klicke im Abschnitt "Nutzerkonto Sicherheit" auf "Anmeldung".
- Klicke auf "Security-Token einrichten".
- Klicke auf der Seite "Security-Token registrieren"-Seite auf den "REGISTRIEREN"-Button.
- Wähle im Browser-PopUp-Fenster die gewünschte Hardware aus und folge den Anweisungen zur Einrichtung.
Als Nutzer anmelden
- Identifiziere dich für die entsprechende Bare.ID-Instanz mit der konfigurierten Methode, z.B. durch Eingabe von Benutzername und Passwort in der Anmelde-Maske.
- Folge den Anweisungen im Browser-PopUp-Fenster
Einmalpasswort / One-Time Password (OTP)
Ein sogenanntes One-Time Password (OTP) oder Einmalpasswort kann (z.B. neben einem Passwort) als zusätzlicher Faktor zur Authentifizierung dienen. Dabei wird eine Zahlenreihe oder Zeichenkette automatisch generiert und ist für die einmalige Verwendung zur Anmeldung gültig. Bare.ID unterstützt, je nach gebuchtem Tarif, verschiedene Methoden zur Erstellung von Einmalpasswörtern:
Einmalpasswort (OTP) per Authenticator-App
Bei der Verwendung von "Einmalpasswort (OTP) per Authenticator-App" wird ein Einmalpasswort durch eine Smartphone-App generiert, welches nur eine zeitlich begrenzte Gültigkeit besitzt. Ist die Zeit abgelaufen, wird ein neues Passwort erzeugt. Bei der Anmeldung über Bare.ID muss der Nutzer das aktuell gültige Einmalpasswort aus der App eingeben.
Als Administrator aktivieren
- Melde dich hierfür mit einem Administrator-Konto bei Bare.ID an und wähle auf der Willkommensseite die Instanz aus, für die Einstellungen zur Authentifizierung vorgenommen werden sollen.
- Klicke in der Navigation links auf "Sicherheit".
- Wähle den Reiter "AUTHENTIFIZIERUNG".
- Wähle im Abschnitt "Authentifizierung" eine erste Methode zur Nutzeridentifizierung aus.
- Setze den Schalter "Zeitlich begrenztes Einmal-Passwort" aktiv.
- Lege für "Look-Ahead-Fenster" die Anzahl der vergangenen Passwort-Intervalle fest, die noch akzeptiert werden. Bei "0" ist nur das aktuell in der App angezeigte Einmal-Passwort gültig.
- Aktiviere den Schalter "Einrichten einer Zwei-Faktor-Authentifizierung erzwingen", um Nutzer bei der nächsten Anmeldung zum Einrichten der MFA-Methode aufzufordern.
- Klicke auf den "SPEICHERN"-Button, um die Einstellungen zu speichern.
Als Nutzer einrichten
- Rufe den Link zur Keycloak-Kontoverwaltung für Nutzer der entsprechenden Bare.ID-Instanz auf.
- Klicke auf den "Anmelden"-Button in der Ecke oben rechts.
- Melde dich mit dem Benutzernamen oder der E-Mail-Adresse und dem Passwort des Nutzerkontos an.
- Klicke im Abschnitt "Nutzerkonto Sicherheit" auf "Anmeldung".
- Klicke auf "Einmalpasswort per App einrichten".
- Folge den Anweisungen auf der Seite "Mehrfachauthentifizierung konfigurieren".
Als Nutzer anmelden
- Identifiziere dich für die entsprechende Bare.ID-Instanz mit der konfigurierten Methode, z.B. durch Eingabe von Benutzername und Passwort in der Anmelde-Maske.
- Gib auf der Seite "Anmelden" das Einmalpasswort (OTP) aus der Authenticator-App an.
- Klicke auf den "ANMELDEN"-Button.
Einmalpasswort (OTP) per E-Mail
Bei der Verwendung von "Einmalpasswort (OTP) per E-Mail" wird durch jeden Anmeldeversuch durch den Nutzer ein E-Mail-Versand an die E-Mail-Adresse des Nutzerkontos angestoßen. Die E-Mail beinhaltet das Einmalpasswort in der vom Administrator konfigurierten Form und ist für die konfigurierte Dauer gültig.
Als Administrator aktivieren
- Melde dich hierfür mit einem Administrator-Konto bei Bare.ID an und wähle auf der Willkommensseite die Instanz aus, für die Einstellungen zur Authentifizierung vorgenommen werden sollen.
- Klicke in der Navigation links auf "Sicherheit".
- Wähle den Reiter "AUTHENTIFIZIERUNG".
- Wähle im Abschnitt "Authentifizierung" eine erste Methode zur Nutzeridentifizierung aus.
- Setze den Schalter "E-Mail Einmal-Passwort" aktiv.
- Setze den Schalter "Buchstaben und Zahlen für das Einmal-Passwort verwenden" aktiv, um neben Zahlen auch Buchstaben bei der Generierung des Einmalpassworts zuzulassen.
- Lege für "Länge in Zeichen" die Anzahl der Zeichen fest, die das generierte Einmalpasswort beinhaltet.
- Lege für "Gültigkeit (Minuten)" die Zeit in Minuten fest, die das versandte Einmalpasswort gültig ist.
- Aktiviere den Schalter "Einrichten einer Zwei-Faktor-Authentifizierung erzwingen", um Nutzer bei der nächsten Anmeldung zum Einrichten der MFA-Methode aufzufordern.
- Klicke auf den "SPEICHERN"-Button, um die Einstellungen zu speichern.
Als Nutzer einrichten
- Rufe den Link zur Keycloak-Kontoverwaltung für Nutzer der entsprechenden Bare.ID-Instanz auf.
- Klicke auf den "Anmelden"-Button in der Ecke oben rechts.
- Melde dich mit dem Benutzernamen oder der E-Mail-Adresse und dem Passwort des Nutzerkontos an.
- Klicke im Abschnitt "Nutzerkonto Sicherheit" auf "Anmeldung".
- Klicke auf "Einmalpasswort per E-Mail einrichten".
- An die im Nutzerkonto hinterlegte E-Mail-Adresse wurde eine E-Mail mit einem Einmalpasswort zur Aktivierung versandt. Gib das Einmalpasswort in das entsprechende Feld auf der Seite "E-Mail Einmalpasswort zum Anmelden verwenden." ein.
Als Nutzer anmelden
- Identifiziere dich für die entsprechende Bare.ID-Instanz mit der konfigurierten Methode, z.B. durch Eingabe von Benutzername und Passwort in der Anmelde-Maske.
- Gib auf der Seite "E-Mail Einmalpasswort zum Anmelden verwenden." das Einmalpasswort (OTP) aus der versandten E-Mail an.
- Klicke auf den "ABSENDEN"-Button.
Einmalpasswort (OTP) per SMS
Bei der Verwendung von "Einmalpasswort (OTP) per SMS" wird durch jeden Anmeldeversuch durch den Nutzer ein SMS-Versand an die hinterlegte Mobilfunknummer des Nutzers angestoßen. Die SMS beinhaltet das Einmalpasswort in der vom Administrator konfigurierten Form und ist für die konfigurierte Dauer gültig.
Als Administrator aktivieren
- Melde dich hierfür mit einem Administrator-Konto bei Bare.ID an und wähle auf der Willkommensseite die Instanz aus, für die Einstellungen zur Authentifizierung vorgenommen werden sollen.
- Klicke in der Navigation links auf "Sicherheit".
- Wähle den Reiter "AUTHENTIFIZIERUNG".
- Wähle im Abschnitt "Authentifizierung" eine erste Methode zur Nutzeridentifizierung aus.
- Setze den Schalter "SMS Einmal-Passwort" aktiv.
- Setze den Schalter "Buchstaben und Zahlen für das Einmal-Passwort verwenden" aktiv, um neben Zahlen auch Buchstaben bei der Generierung des Einmalpassworts zuzulassen.
- Lege für "Länge in Zeichen" die Anzahl der Zeichen fest, die das generierte Einmalpasswort beinhaltet.
- Lege für "Absender" einen Absendernamen für die versandten SMS fest.
- Lege für "Nachricht" die Textnachricht fest, die per SMS versandt wird. Die Nachtricht muss den Platzhalter "%%" für das Einmalpasswort beinhalten.
- Lege für "Gültigkeit (Minuten)" die Zeit in Minuten fest, die das versandte Einmalpasswort gültig ist.
- Aktiviere den Schalter "Einrichten einer Zwei-Faktor-Authentifizierung erzwingen", um Nutzer bei der nächsten Anmeldung zum Einrichten der MFA-Methode aufzufordern.
- Klicke auf den "SPEICHERN"-Button, um die Einstellungen zu speichern.
Als Nutzer einrichten
- Rufe den Link zur Keycloak-Kontoverwaltung für Nutzer der entsprechenden Bare.ID-Instanz auf.
- Klicke auf den "Anmelden"-Button in der Ecke oben rechts.
- Melde dich mit dem Benutzernamen oder der E-Mail-Adresse und dem Passwort des Nutzerkontos an.
- Klicke im Abschnitt "Nutzerkonto Sicherheit" auf "Anmeldung".
- Klicke auf "Einmalpasswort per SMS einrichten".
- Gib auf der Seite "SMS Einmalpasswort aktivieren" die Mobilfunknummer an, auf die die Einmalpasswörter versandt werden sollen.
- Klicke auf den "ABSENDEN"-Button.
- Gib auf der nächsten Seite das Einmalpasswort ein, welches an die zuvor angegebene Mobilfunknummer versandt wurde.
- Klicke auf den "ABSENDEN"-Button.
Als Nutzer anmelden
- Identifiziere dich für die entsprechende Bare.ID-Instanz mit der konfigurierten Methode, z.B. durch Eingabe von Benutzername und Passwort in der Anmelde-Maske.
- Gib auf der Seite "SMS Einmalpasswort zum Anmelden verwenden." das Einmalpasswort (OTP) aus der versandten SMS an.
- Klicke auf den "ABSENDEN"-Button.
