MeldID: vom einzigen Konto zum System für digitales Zugriffsmanagement

Als ich mich zum ersten Mal mit MeldID beschäftigte, sah ich es hauptsächlich als Infrastruktur für eine einheitliche digitale Identifikation. Der Nutzer erstellt ein einzelnes Konto, füllt ein verwaltetes Profil aus und kann es dann in verschiedenen Anwendungen verwenden — für den Login und die Übertragung autorisierter Daten, ohne Formulare immer wieder ausfüllen zu müssen.

Ich erwartete, dass die Weiterentwicklung sich in Richtung Profile und verbundene Dienste bewegen würde. Doch das Projekt begann schnell, sich von einer kaum bemerkbaren Serverinfrastruktur zu einem alltäglichen Werkzeug für Zugriffsmanagement zu entwickeln.

Der nächste Schritt waren Anwendungen für iPhone und Android. Besonders interessant ist hier nicht die bloße Existenz eines mobilen Clients, sondern welche Aufgaben damit zusammengeführt werden konnten.

Gewöhnlicher TOTP — mit einer anderen Zielsetzung

In der Anwendung befindet sich ein Generator für Einmalcodes TOTP — jene sich ständig ändernden Zahlen, die bei Zwei-Faktor-Authentifizierung verwendet werden.

Der Standard selbst wird nicht als eigene Erfindung ausgegeben. Der Nutzer fügt eine Account hinzu und erhält einen Code, den er in einem Drittanbieterdienst oder auf einer Webseite verwenden kann.

Die meisten Authenticator-Apps beantworten die Frage: „Wie zeigt man eine sechsstellige Zahl?“ Hier geht es um eine viel umfassendere Aufgabe: wie man den Lebenszyklus eines TOTP-Geheimnisses sicher verwaltet — vom Hinzufügen und Speichern bis hin zur Wiederherstellung auf einem anderen Gerät und dem Löschen des Eintrags.

Offline-Modus funktioniert vollständig

Auf den ersten Blick scheint der Hauptvorteil nur die lokale Codegenerierung zu sein. Doch in MeldID umfasst der Offline-Modus mehr.

Bereits gespeicherte Einträge funktionieren weiterhin ohne Internet. Codes werden direkt auf dem Telefon generiert, sodass vorübergehende Netzabwesenheit die Zwei-Faktor-Prüfung nicht beeinträchtigt.

Ein neuer TOTP-Eintrag kann ebenfalls offline hinzugefügt werden. Er wird lokal gespeichert und sofort für die Codegenerierung verwendet. Wenn die Internetverbindung wieder besteht, wird die Speicherung automatisch in den geschützten Speicher hochgeladen und mit anderen Geräten synchronisiert.

Das Bearbeiten und Löschen bereits synchronisierter Einträge erfordert eine Verbindung zum Server. So wird vermieden, dass unterschiedliche Versionen eines Speicherorts auf verschiedenen Telefonen entstehen.

Das Ergebnis ist ein Gleichgewicht: die wichtigsten Aktionen sind offline möglich, Änderungen, die auf allen Geräten gleich angewendet werden sollen, erfolgen nach Rückkehr ins Netz.

Neues Telefon — kein neuer Satz Codes

Das größte Problem eines jeden Authentifikators tritt nach Verlust, Defekt oder Austausch des Telefons auf. Normalerweise muss man Reserve-Codes suchen, Einträge manuell übertragen oder die App für jeden Dienst neu verbinden.

Hier ist die Speicherung nicht an ein konkretes Gerät, sondern an das MeldID-Konto gebunden. Nach Login auf einem neuen Telefon und der Initialisierung des geschützten Speichers werden die Einträge automatisch wiederhergestellt.

Es spielt keine Rolle, ob das alte Gerät auf Android war und das neue auf iPhone, oder umgekehrt. Es können zweite, dritte und weitere Telefone verbunden werden, ohne für jede Plattform einen separaten Übertragungsvorgang durchzuführen.

Stellen wir uns vor, das Smartphone fällt während einer Reise unerwartet aus. Statt den Zugang zu einzelnen Diensten wiederherzustellen, loggt sich der Nutzer in MeldID auf dem neuen Gerät ein und schließt die Einrichtung des Speichers ab. Danach kehren seine TOTP-Einträge in die Anwendung zurück.

Auf einem Telefon lassen sich auch mehrere MeldID-Konten verwenden. Ihre Speicher bleiben getrennt: die Einträge eines Kontos vermischen sich nicht mit denen eines anderen und erscheinen nicht auf dem Gerät ohne entsprechende Autorisierung.

Was auf dem Server gespeichert wird

Die automatische Wiederherstellung setzt voraus, dass die Daten irgendwo gespeichert werden. Doch TOTP-Geheimnisse werden nicht im Klartext in der Datenbank abgelegt.

Der Inhalt eines Eintrags wird in einem verschlüsselten Container abgelegt. Die aktuelle Architektur verwendet authentifizierte Verschlüsselung AES-256-GCM, und der Schlüssel des sicheren Speichers ist vom Datenbanksystem getrennt.

Ein Datenleck einer einzigen Datenbank verwandelt sich also nicht in eine fertige Liste von Geheimnissen für die Codegenerierung. Der Angreifer erhält verschlüsselte Blöcke, aber keine offenen TOTP-Daten.

Hier ist es wichtig, keine absoluten Versprechen zu machen. Genauer gesagt: offene TOTP-Geheimnisse werden in der Datenbank nicht gespeichert, und eine Kopie der Datenbank reicht nicht für deren Verwendung aus.

Bestätigung der Anmeldung via MeldID

Eine weitere wichtige Funktion der App ist Login Approval, also eine separate Bestätigung der Anmeldung.

Wenn eine Webseite oder App MeldID unterstützt, kann der Nutzer mit einer Aktion den Login über sein Konto starten. Wenn der Schutz aktiviert ist, reicht die reine erfolgreiche Authentifizierung nicht aus: die Anmeldung gilt erst als abgeschlossen, nachdem sie auf einem vertrauenswürdigen mobilen Gerät bestätigt wurde.

Der Antrag kann genehmigt werden, wenn der Login tatsächlich vom Nutzer selbst initiiert wurde, oder abgelehnt, wenn die Operation unerwartet erscheint.

Im Gegensatz zu gewöhnlichen Push-Benachrichtigungen ist Login Approval direkt in die Architektur von MeldID integriert und kann von allen Diensten genutzt werden, die an dieses Identitätssystem angebunden sind.

Der Push dient hier nur als Benachrichtigung über eine neue Operation. Er enthält kein Passwort, TOTP-Code, Token oder andere Daten, die für die Autorisierung geeignet sind.

TOTP und Login Approval ergänzen sich

TOTP bleibt ein universeller Standard und funktioniert auch in Diensten, die nichts von MeldID wissen. Nach dem Laden des Eintrags werden die Codes lokal generiert.

Login Approval ist dort nötig, wo die Anmeldung selbst über MeldID durchgeführt wird. Es ergänzt den Login um eine bewusste Aktion des Nutzers und ermöglicht, die Möglichkeit einer Sitzung zu verzögern oder zu stoppen.

Deshalb kann die App sowohl als gewöhnlicher Authentifikator für eine Drittanbieter-Seite fungieren als auch als Mittel zur Bestätigung des Zugangs in verbundenen Systemen.

Was sich bei MeldID selbst verändert hat

Beim ersten Kennenlernen des Projekts schien die Hauptidee die Verwaltung eines einzigen Kontos und eines tragbaren Profils zu sein. Jetzt wird zunehmend deutlich, dass MeldID sich schrittweise zum persönlichen Zentrum für digitales Zugriffsmanagement entwickelt.

Hier können Nutzer:

• TOTP-Codes offline erzeugen;

• neue Einträge offline hinzufügen;

• automatisch auf einem neuen Gerät wiederherstellen;

• mehrere Telefone verwenden;

• mehrere Konten auf einem Gerät verwalten;

• neue Logins bestätigen oder ablehnen.

Der Wert der Anwendung liegt also nicht darin, dass sie einen weiteren sechsstelligen Code anzeigt. Ihre Aufgabe ist breiter gefasst: den Zugriff beim Gerätewechsel zu sichern, Daten ohne Netzwerk zu bewahren und dem Nutzer die letzte bewusste Entscheidung vor einer neuen Sitzung zu ermöglichen.

Die Sicherheitsarchitektur basiert hier nicht auf einem einzelnen Mechanismus, sondern auf einer Kombination aus Lösungen: TOTP-Geheimnisse werden nicht im Klartext gespeichert, der Zugang ist nicht dauerhaft an ein einzelnes Gerät gebunden, verschiedene Konten bleiben isoliert, und der Zugriff auf unterstützte Dienste erfolgt nur nach Bestätigung durch ein vertrauenswürdiges Gerät.