Authentifizierungsqualitäten
Die Authentifizierungsqualität beschreibt das Resultat aus der Gesamtheit der Eigenschaften eines Loginvorgangs. Sie setzt sich aus folgenden Dimensionen zusammen:
- Qualität der verwendeten Loginfaktoren
- Verlässlichkeit der Identitätsprüfung, d. h. der Kenntnis der effektiven Identität des Subjekts, an welches die Loginfaktoren initial übergeben wurden
- Stärke der Kopplung zwischen Dimension 1 und Dimension 2
Die resultierende Authentifizierungsqualität richtet sich stets nach dem schwächsten Glied. Die Dimension 3 (Kopplungsstärke) wird hier nicht weiter betrachtet, da eine adäquate Kopplungsstärke gemäss den IKT-Vorgaben der Bundesverwaltung vorausgesetzt wird.
Es gibt unterschiedliche Skalen zur Abbildung der resultierenden Authentifizierungsqualität. Häufig wird die vierstufige „Level of Assurance“ (LoA) verwendet, die jedoch unterschiedliche definitorische Grundlagen hat. Dazu gehören u. a. die IKT-Vorgabe I050 der Bundesverwaltung, die IKT-Vorgabe Si001 der Bundesverwaltung (letztere betrachtet allerdings nur Dimension 1 „Qualität der verwendeten Loginfaktoren“), eCH-0170 V2, ISO und weitere.
Ausgehend von der I050 können zu den LoA folgende Aussagen gemacht werden:
LoA 1
Loginfaktor: Ein Loginfaktor, darf schwach sein, klassischerweise Passwort.Identitätsprüfung: Keine
FED-LOGIN: unterstützt LoA 1 nicht; die entsprechende Wertigkeit nach der eIAM-QoA-Skala wäre QoA 20.
AGOV: unterstützt LoA 1 nicht; keine Abbildung in der AGOV-Skala AGOVaq.
LoA 2
Loginfaktor: Zwei Loginfaktoren, dürfen schwach sein, z. B. Passwort + SMS-mTAN.Identitätsprüfung: Keine, ggf. Bezug auf einen bestehenden Benutzerdatensatz.
FED-LOGIN: unterstützt LoA 2 nicht mehr; die entsprechende Wertigkeit nach der eIAM-QoA-Skala wäre QoA 30.
AGOV: entspricht AGOVaq 100 und – wenn zustellungsgeprüfter Bezug auf die Postdatenbank besteht – AGOVaq 200. Dabei arbeitet AGOV jedoch nie mit schwachen Loginfaktoren; auch bei LoA 2 sind die genutzten Loginfaktoren stark und LoA 3-würdig.
LoA 3
Loginfaktor: Stark im Sinne von hoch gemäss Si001 (kryptographisch gesichert, unauslesbar/nicht synchronisierbar, hardwaregebunden).Identitätsprüfung: Substantiell (z. B. Gesichtsabgleich mit amtlichem Lichtbildausweis, Ausweishinterlegung).
FED-LOGIN: unterstützt LoA 3; dies entspricht eIAMs QoA 50. FED-LOGINs LoA 3 kann bereits mit der FED-Login-Access-App oder mit einem FIDO-Schlüssel in Kombination mit einer Online-Identifikation erreicht werden (siehe bit.ly/smartcardless). WICHTIG: FED-LOGINs Kerberos erreicht LoA3 aka QoA 50 nicht (Dimension 1 und Dimension 2 ungenügend) und wird als QoA 40 abgebildet.
AGOV: Alle AGOVaq ab 300 entsprechen nach I050 LoA 3, also eIAMs QoA 50.
LoA 4
Loginfaktor: Unauslesbar HW-gebunden auf dedizierterm, zertifiziertem Kryptochip im Sinne von hoch+ gemäss Si001, z. B. Formfaktor Smartcard.Identitätsprüfung: Substantiell und dediziert zertifiziert.
FED-LOGIN: unterstützt LoA 4 jedoch ohne Einsatz eines Holders of Key; dies entspricht eIAMs QoA 60. Grundsatz: Applikationen an eIAM sollen nie QoA 60 erzwingen, sondern höchstens QoA 50 (UX).
AGOV: unterstützt LoA 4 nicht.