Authentifizierung mit WebAuthn

Joomla kommt in der Version 4.2 mit einer verbesserten Multi-Faktor-Authentifizierung daher,
die es ermöglicht, die Logins von Benutzern noch weiter abzusichern. Anders als bei der
Zwei-Faktor-Authentifizierung (2FA) in früheren Versionen müssen die Benutzer nun nicht mehr
einen Sicherheitscode zusammen mit ihrem Benutzernamen und Passwort eingeben. Die Multi-Faktor
-Authentifizierung erfolgt in einem separaten Schritt nach der Anmeldung auf der Website bzw.
im Backend.

Wie funktioniert die Multi-Faktor-Authentifizierung?

Solange die Validierung der Multi-Faktor-Authentifizierung noch nicht abgeschlossen ist, können
die Benutzer nicht zu anderen Menüpunkten wechseln oder die Website nutzen. Dadurch wird die
Multi-Faktor-Authentifizierung gegen Phishing geschützt. Außerdem ermöglicht sie interaktive
Validierungsmethoden wie WebAuthn (einschließlich der Integration mit Windows Hello, Apple
TouchID / FaceID und Android Biometric Screen Lock) oder beispielsweise den Versand von
sechsstelligen Authentifizierungscodes per E-Mail. Beide dieser interaktiven, bequemen Methoden
sind jetzt als Plugins verfügbar, die in Joomla mitgeliefert werden.

Warum ist die Multi-Faktor-Authentifizierung wichtig?

Bisher wurde darauf vertraut, dass ein Benutzerpasswort und im besten Fall auch der Benutzername
Dritten nicht bekannt sind und somit ein nicht autorisierter Zugriff auf das System blockiert wird.
Seit Joomla Version 3.2 ist eine Zwei-Faktor-Authentifizierung mit Joomla Bordmitteln möglich. Zur
Verfügung standen bis dato dafür zwei Plugins: zum einen konnte der Google-Authenticator genutzt
werden und als zweite Option bot sich der YubiKey Hardwareschlüssel an. Schnell entstanden für das
CMS weitere 2FA-Plugins. Durch den zweiten Faktor wurde die Sicherheit erheblich verbessert.

Gibt es andere Möglichkeiten zur Authentifizierung?

Mit der Multi-Faktor-Authentifizierung geht Joomla einen Schritt weiter. Jeder Benutzer kann selbst
entscheiden, welchen Authentifizierungsmechanismus er nutzen will, um den Zugang zur Website oder
Backend zu sichern. Der User kann selbst entscheiden, ob zur Authentifizierung neben Benutzername
und Passwort nun WebAuthn, ein YubiKey, ein Verifizierungscode oder ein Code per E-Mail verwendet
werden soll. Vorausgesetzt, der Administrator der Seite hat die entsprechenden Plugins aktiviert.

Diese Art der Benutzung ist noch nicht freigegeben worden und funktioniert noch nicht.