Multikomponenten-Authentifizierung

Das CMS TYPO3 entwickelt sich rasant weiter. Die neueste Version 11.1 führt die Funktionalität der Multi-Faktor-Authentifizierung (MFA) ein.

Was ist das, wie funktioniert es und warum sollten Sie es nutzen? Lesen Sie unseren Artikel aufmerksam.

Vielleicht wissen einige bereits, was MFA ist, weil sie es im täglichen Leben verwenden, z. B. um sich bei Anwendungen anzumelden. Normalerweise reicht es aus, bei der Anmeldung auf verschiedenen Websites einen Benutzernamen und ein Kennwort einzugeben, aber manchmal sind zusätzliche Bedingungen erforderlich (z. B. die Verwendung eines Sicherheits-Tokens] und eines Fingerabdrucks), in diesem Fall handelt es sich um eine Mehrkomponenten-Authentifizierung.

Die Mehrkomponenten-Authentifizierung besteht im Wesentlichen aus 3 Elementen:

• etwas, das Sie haben (z. B. Telefon, Token)
• etwas, das Sie wissen (z. B. Passwort, Pin)
• etwas, das Sie sind (z. B. Fingerabdruck, Gesichtsscan)

Warum sollte man eine Mehrkomponenten-Authentifizierung verwenden?

Nur wenige Menschen ändern ihre Passwörter regelmäßig und verwenden überall unterschiedliche Passwörter. Seien wir ehrlich, die meisten von uns verwenden Passwörter wieder oder haben welche, die leicht gehackt werden können. Natürlich gibt es Ausnahmen, z. B. Leute, die Passwortmanager verwenden, aber das ist immer noch ein kleiner Prozentsatz der Gesamtheit. Wenn jemandem sein Passwort gehackt wurde, ist er sich der damit verbundenen Risiken sicherlich sehr bewusst. Stellen Sie sich vor, Sie sind der Redakteur einer Unternehmenswebsite und verlieren eines Tages den Zugang zu Ihrem Konto, weil jemand es unrechtmäßig übernommen hat. Auf der Website erscheinen störende Inhalte, Fehlinformationen oder Schlimmeres. Klingt ziemlich düster, nicht wahr?

Deshalb ist es eine gute Idee, dafür zu sorgen, dass die riesige Menge an Inhalten, auf die Sie durch das Einloggen in das TYPO3-Backend zugreifen können, richtig geschützt ist, so dass nur Sie Zugriff darauf haben. Dies kann durch mehrschichtige Sicherheit erreicht werden, z.B. durch eine Mehrkomponenten-Authentifizierung mit Login, Passwort, Token und Fingerabdruck, denn selbst wenn jemand in den Besitz Ihres Logins und Passworts käme, müsste er auch Zugang zu Ihrem Token und Fingerabdruck haben, um sich einzuloggen.

Mehrkomponenten-Authentifizierung in TYPO3

Dank Oliver Bartsch und vielen anderen haben wir in TYPO3 v.11.1 die Möglichkeit, MFA out of the box zu nutzen. Bisher war es notwendig, zusätzliche Erweiterungen zu verwenden, aber jetzt ist der Kern für MFA auf sichere Weise vorbereitet. In diesem Blogbeitrag erfahren Sie, welche Möglichkeiten es gibt und wie einfach es ist, die Multi-Faktor-Authentifizierung für einen Benutzer zu konfigurieren.

Mit TYPO3 v.11.1 mitgelieferte Faktoren

Mit dieser Funktion erhalten wir zwei zusätzliche Authentifizierungsmethoden, nennen wir sie MFA-Provider. Zusätzlich zu diesen können Sie natürlich auch eigene Anbieter erstellen.

Die beiden vom Kern bereitgestellten MFA-Anbieter sind: zeitbasierte Einmalpasswörter (TOTP) und Wiederherstellungscodes.

Der Wiederherstellungscode-Anbieter kann nur als Fallback für die anderen MFA-Anbieter verwendet werden. Wenn Sie also keine zusätzlichen MFA-Anbieter installieren, müssen Sie immer den Anbieter für zeitbasierte Einmalkennwörter aktivieren. Dies ermöglicht Ihnen die Verwendung einer Authentifizierungsanwendung wie Google Authenticator, Microsoft Authenticator oder 1Password.

Es ist erwähnenswert, dass zusätzlich zu den vom Kern angebotenen Anbietern bereits mehrere andere existieren (z. B. "mfa_yubikey" von Torben Hansen, "mfa_hotp" Oliver Bartsch und "mfa_webauthn" von Benjamin Franzke). Damit haben Sie auf jeden Fall mehr Möglichkeiten für eine zusätzliche Authentifizierung, z.B. mit Fingerabdruck, Gesichtserkennung etc.

Aktivieren von MFA für Ihr TYPO3-Backend-Konto

Um die Multi-Faktor-Authentifizierung für Ihr TYPO3-Backend-Konto zu aktivieren, müssen Sie nur ein paar einfache Schritte befolgen:

1. Loggen Sie sich in Ihr TYPO3-Backend ein
2. Gehen Sie zu den Benutzereinstellungen
3. Unter Kontosicherheit finden Sie die Option zur Einrichtung der Multi-Faktor-Authentifizierung
4. Klicken Sie auf die grüne Schaltfläche "Multi-Faktor-Authentifizierung einrichten".
5. Wie bereits erwähnt, müssen Sie zunächst zeitbasierte Einmal-Passwörter einrichten, bevor Sie die Optionen für den Wiederherstellungscode festlegen können. Klicken Sie auf die Schaltfläche "Einrichten" für zeitbasierte Einmal-Passwörter
6. Nehmen Sie nun Ihr Mobiltelefon und wählen Sie eine Authentifizierungs-App aus - wenn Sie noch keine haben, wählen Sie eine aus dem App-Shop
7. Fügen Sie eine neue Seite hinzu und scannen Sie mit einem App-Scanner wie Google Authenticator den QR-Code
8. Ihr TYPO3-Backend wird nun in die Liste der gesicherten Anwendungen aufgenommen und der generierte Code sollte auf Ihrem Bildschirm eingegeben werden. Optional können Sie diesem Anbieter auch einen Namen geben, z.B. Google Authenticator
9. Stellen Sie sicher, dass Sie Ihre Einstellungen speichern, bevor der Code in Ihrer Authenticator-Anwendung generiert wird.
10. Das war's schon!

Anmeldung im TYPO3 Backend mit aktivierter MFA

Nachdem Sie Ihr zeitbasiertes Einmal-Passwort eingerichtet haben, ist es an der Zeit, sich ab- und wieder anzumelden, um zu überprüfen, ob es funktioniert.

1. Loggen Sie sich im TYPO3-Backend aus
2. Geben Sie Ihren Benutzernamen und Ihr Passwort ein
3. Öffnen Sie die Authenticator-Anwendung auf Ihrem Mobiltelefon
4. Geben Sie den Code ein, der im Login-Feld des TYPO3-Backends angezeigt wird
5. Klicken Sie auf verify
6. Sie sind nun eingeloggt

Hier sehen Sie noch einmal, wie einfach es ist, und wie sicher! Von nun an sind Sie sowohl durch ein Passwort als auch durch ein Sicherheits-Token geschützt.

Zusammenfassung

Dieser Blog-Beitrag wurde geschrieben, um TYPO3 CMS-Benutzer auf die neue Multi-Komponenten-Authentifizierungsfunktion aufmerksam zu machen, die in TYPO3 v.11.1. verfügbar ist, da sie die Sicherheit bei der Verwendung von TYPO3 deutlich erhöht. Dank dieser Funktion wird es für jemanden, der versucht, sich in Ihren Account zu hacken, viel schwieriger, und Sie können sich darauf verlassen, dass es ihm nicht gelingen wird.