Authentifizierungsqualitäten

Die Authentifizierungsqualität beschreibt das Resultat aus der Gesamtheit der Eigenschaften eines Loginvorgangs. Sie setzt sich aus folgenden Dimensionen zusammen:

Qualität der verwendeten Loginfaktoren
Verlässlichkeit der Identitätsprüfung, d. h. der Kenntnis der effektiven Identität des Subjekts, an welches die Loginfaktoren initial übergeben wurden
Stärke der Kopplung zwischen Dimension 1 und Dimension 2

Die resultierende Authentifizierungsqualität richtet sich stets nach dem schwächsten Glied. Die Dimension 3 (Kopplungsstärke) wird hier nicht weiter betrachtet, da eine adäquate Kopplungsstärke gemäss den IKT-Vorgaben der Bundesverwaltung vorausgesetzt wird.

Für die Einordnung der Authentifizierungsqualität bestehen unterschiedliche Vorgaben und Modelle. Die IKT-Vorgabe I050 der Bundesverwaltung definiert vier Level of Assurance (LoA). eCH-0170 V2.0.1 verwendet ein eigenes Modell mit vier Vertrauensstufen und den Teilmodellen Authentifizierung (VSA), Registrierung (VSR), Steuerung (VSS) und Föderierung (VSF). Die Si001 verwendet in Anhang B eine separate vierstufige Klassifikation für Authentifikations- und Identitätsnachweismittel. Die Si001 darf deshalb nicht auf die technische Qualität des Loginfaktors reduziert werden: Bei der Stufe «hoch» gelten technische Anforderungen an die Authentifikationsinformation; ist das Mittel persönlich, muss zusätzlich die Registrierung der Person oder die Übergabe des Nachweismittels auf Basis eines amtlichen Identitätsausweises erfolgen.

Ausgehend von der I050 können zu den LoA folgende Aussagen gemacht werden:

LoA 1

Loginfaktor: Ein Loginfaktor, darf schwach sein, klassischerweise Passwort.
Identitätsprüfung: Keine
FED-LOGIN: unterstützt LoA 1 nicht; die entsprechende Wertigkeit nach der eIAM-QoA-Skala wäre QoA 20.
AGOV: unterstützt LoA 1 nicht; keine Abbildung in der AGOV-Skala AGOVaq.

LoA 2

Loginfaktor: Zwei Loginfaktoren, dürfen schwach sein, z. B. Passwort + SMS-mTAN.
Identitätsprüfung: Keine, ggf. Bezug auf einen bestehenden Benutzerdatensatz.
FED-LOGIN: unterstützt LoA 2 nicht mehr; die entsprechende Wertigkeit nach der eIAM-QoA-Skala wäre QoA 30.
AGOV: entspricht AGOVaq 100 und – wenn zustellungsgeprüfter Bezug auf die Postdatenbank besteht – AGOVaq 200. AGOV verwendet auch auf diesen Stufen technisch starke Loginfaktoren, deren technische Eigenschaften die technischen Anforderungen von Si001 Anhang B, Stufe «hoch», erfüllen. Bei AGOVaq 100/200 ist jedoch noch keine auf einem amtlichen Identitätsausweis beruhende Personenbindung im Sinne von Si001 Anhang B hergestellt. Die technische Stärke des Loginfaktors allein ist deshalb weder die vollständige Si001-Stufe «hoch» eines persönlichen Mittels noch I050 LoA 3.

LoA 3

Loginfaktor: Technisch stark. Die von AGOV zugelassenen Loginfaktoren erfüllen die technischen Anforderungen, welche Si001 Anhang B auf der Stufe «hoch» an die Authentifikationsinformation stellt.
Personenbindung / Identitätsprüfung: Bei AGOV wird ab AGOVaq 300 die für ein persönliches Authentifikations- und Identitätsnachweismittel in Si001 Anhang B zusätzlich verlangte Personenbindung hergestellt. Die Person wird anhand eines amtlichen Identitätsausweises geprüft und das Prüfergebnis dem authentisierten AGOV-Konto zugeordnet. AGOV / I050: Alle AGOVaq ab 300 entsprechen nach der eIAM-Zuordnung I050 LoA 3 und damit eIAM QoA50.
FED-LOGIN: unterstützt LoA 3; dies entspricht eIAMs QoA 50. FED-LOGINs LoA 3 kann bereits mit der FED-Login-Access-App oder mit einem FIDO-Schlüssel in Kombination mit einer Online-Identifikation erreicht werden (siehe bit.ly/smartcardless). WICHTIG: FED-LOGINs Kerberos erreicht LoA3 aka QoA 50 nicht (Dimension 1 und Dimension 2 ungenügend) und wird als QoA 40 abgebildet.
AGOV: Alle AGOVaq ab 300 entsprechen nach I050 LoA 3, also eIAMs QoA 50.

LoA 4

Si001 «hoch+»: Die Stufe «hoch+» gemäss Si001 Anhang B ist keine Eigenschaft des Loginfaktors allein. Das Authentifikations- und Identitätsnachweismittel muss sämtliche Anforderungen der Stufe «hoch» erfüllen; zusätzlich müssen das Hardware-Modul und der dahinterliegende Registrationsprozess für den Einsatz in der Bundesverwaltung anerkannt sein.
Identitätsprüfung: Substantiell und dediziert zertifiziert.
FED-LOGIN: unterstützt LoA 4 jedoch ohne Einsatz eines Holders of Key; dies entspricht eIAMs QoA 60. Grundsatz: Applikationen an eIAM sollen nie QoA 60 erzwingen, sondern höchstens QoA 50 (UX).
AGOV: unterstützt LoA 4 nicht.