Offline-FIDO-MFA: Phishingresistente Anmeldung ohne Internet

Ein Administrator muss sich während eines Internetausfalls anmelden. Ein Mitarbeiter auf Reisen öffnet seinen Laptop, hat aber kein WLAN. Ein Arbeitsplatzrechner wird in einem internen Netzwerk mit eingeschränkter Verbindung nach außen betrieben. In jedem dieser Fälle muss die Organisation weiterhin überprüfen, wer sich anmeldet.

Mit Offline-FIDO-MFA können Benutzer die Multi-Faktor-Authentifizierung mit einem registrierten FIDO2-Sicherheitsschlüssel oder einem anderen unterstützten FIDO-Authentifikator ohne Internetverbindung durchführen. Der Computer überprüft die kryptografische Antwort des Authentifikators lokal und muss deshalb bei dieser Anmeldung keine Verbindung zum MFA-Clouddienst herstellen.

Organisationen, die online eine phishingresistente Authentifizierung einsetzen, können diesen Schutz damit auch dann aufrechterhalten, wenn keine Verbindung zur Cloud besteht.

Rublon MFA unterstützt Offline-FIDO-MFA über den Offline Mode im Konnektor Rublon MFA für Windows-Anmeldungen und RDP.

Was ist Offline-FIDO-MFA?

Offline-FIDO-MFA ist eine Multi-Faktor-Authentifizierung, bei der eine lokale Komponente die FIDO-Authentifizierungsantwort überprüft, ohne eine aktive Verbindung zum MFA-Clouddienst zu benötigen.

Ein typisches Beispiel ist eine Windows-Anmeldung, bei der der Benutzer zunächst sein Kennwort eingibt und anschließend einen registrierten FIDO-Sicherheitsschlüssel verwendet. Das Kennwort bildet den einen Faktor, der Sicherheitsschlüssel den anderen. Je nach Authentifikator und Authentifizierungsanforderung kann zusätzlich eine PIN-Eingabe oder eine biometrische Überprüfung erforderlich sein.

Die FIDO-Authentifizierung verwendet Public-Key-Kryptografie: Der Sicherheitsschlüssel speichert einen privaten Schlüssel, während das System den zugehörigen öffentlichen Schlüssel für die Überprüfung verwendet. Bei der Anmeldung signiert der Sicherheitsschlüssel eine Antwort auf die Anfrage des Systems digital. Das System überprüft diese Signatur, um zu bestätigen, dass für diese Anmeldung der registrierte Sicherheitsschlüssel verwendet wird.

Der FIDO2-Sicherheitsschlüssel benötigt keine eigene Internetverbindung. Die Anwendung oder das Betriebssystem muss jedoch ausdrücklich eine Offline-Überprüfung unterstützen. Das Anschließen eines FIDO2-Schlüssels an einen Computer ohne Netzwerkverbindung aktiviert nicht automatisch die Offline-MFA.

Was unterscheidet die Online- von der Offline-FIDO-Authentifizierung?

Der wesentliche Unterschied besteht darin, wo die Authentifizierungsantwort überprüft wird und welche Dienste erreichbar sein müssen.

Aspekt	Online-FIDO-Authentifizierung	Offline-FIDO-Authentifizierung
Überprüfung	Ein erreichbarer Authentifizierungsdienst überprüft die Antwort	Eine lokale Komponente führt die Überprüfung durch
Netzwerkabhängigkeit	Der Client muss den entsprechenden Dienst erreichen können	Der MFA-Schritt kann ohne Verbindung zum Clouddienst abgeschlossen werden
Vorbereitung	Der Authentifikator muss registriert sein. Die Netzwerk- und Firewalleinstellungen müssen Verbindungen zum MFA-Clouddienst über die erforderlichen Ports zulassen	Der Authentifikator muss registriert sein. Der Computer muss bereits für Offline-MFA konfiguriert sein und über die erforderlichen Überprüfungsdaten verfügen
Kontoänderungen	Der erreichbare Dienst kann auf seine aktuellen Kontoinformationen zugreifen	Das Endgerät ist auf die lokal verfügbaren Informationen angewiesen
Unterstützte Ressourcen	Anmeldungen bei Anwendungen und Systemen, die mit dem MFA-Clouddienst integriert sind	Anmeldungen bei Anwendungen und Systemen, die eine lokale FIDO-Überprüfung unterstützen

Wie funktioniert Offline-FIDO-MFA?

Die genaue Einrichtung hängt vom MFA-Produkt ab. Bei einem FIDO-Sicherheitsschlüssel sieht der Ablauf in der Regel so aus:

1. Registrieren Sie den Sicherheitsschlüssel. Registrieren Sie ihn im MFA-System für das Benutzerkonto.
2. Richten Sie die Offline-Authentifizierung auf diesem Computer ein. Befolgen Sie die Einrichtungsanleitung Ihres MFA-Produkts. Bevor Sie den Sicherheitsschlüssel ohne Verbindung zum Clouddienst verwenden können, muss die Software die Daten für seine lokale Überprüfung speichern.
3. Beginnen Sie mit der Anmeldung. Führen Sie den erforderlichen ersten Schritt aus, beispielsweise die Eingabe Ihres Kennworts.
4. Verwenden Sie den Sicherheitsschlüssel. Der Computer sendet eine neue Authentifizierungsanfrage, die als Challenge bezeichnet wird. Nachdem der Benutzer den Sicherheitsschlüssel wie gefordert berührt, seine PIN eingegeben oder die biometrische Überprüfung abgeschlossen hat, signiert der Sicherheitsschlüssel eine Antwort.
5. Warten Sie auf die Überprüfung. Der Computer überprüft automatisch, ob die Antwort von Ihrem registrierten Sicherheitsschlüssel stammt und zum aktuellen Anmeldeversuch gehört. Wenn alle erforderlichen Prüfungen erfolgreich sind, werden Sie angemeldet.

Dieser Ablauf schützt vor Wiederholungsangriffen: Ein Angreifer kann sich nicht anmelden, indem er eine bei einer früheren Anmeldung abgefangene Antwort erneut verwendet. Bei jedem Versuch wird eine neue Challenge verwendet, und der Computer überprüft, ob die signierte Antwort dazu passt. Dieser Schutz ist Bestandteil des WebAuthn-Authentifizierungsmodells.

Der private Schlüssel, mit dem die Antworten signiert werden, verbleibt auf dem Sicherheitsschlüssel. Der Computer speichert Überprüfungsdaten, darunter den zugehörigen öffentlichen Schlüssel. Allein mit gestohlenen Überprüfungsdaten kann ein Angreifer weder gültige signierte Antworten erzeugen noch sich als der Sicherheitsschlüssel ausgeben.

Aktiviert die Registrierung eines FIDO-Schlüssels Offline-MFA auf jedem Computer?

Nein. Die Registrierung verknüpft den Sicherheitsschlüssel mit dem Benutzerkonto. Jeder Computer muss zusätzlich die Offline-FIDO-Authentifizierung unterstützen und über die Daten verfügen, die zur lokalen Überprüfung dieses Sicherheitsschlüssels erforderlich sind.

Ein Mitarbeiter verwendet beispielsweise bereits einen FIDO-Schlüssel an seinem Bürocomputer. Bevor er denselben Schlüssel offline an einem neuen Laptop verwenden kann, muss dieser Laptop die Authentifizierungsdaten erhalten, die zur Überprüfung ohne Clouddienst benötigt werden.

Bereiten Sie jeden Computer vor, auf den der Benutzer offline zugreifen muss. Wenn er einen Ersatzschlüssel hat, stellen Sie sicher, dass auch dessen Authentifizierungsdaten auf diesen Computern verfügbar sind. Testen Sie beide Schlüssel vor einem Ausfall.

Warum FIDO für phishingresistente Offline-MFA verwenden?

Bei Einmalcodes, beispielsweise TOTP gemäß RFC 6238, kann ein Angreifer einen eingegebenen Code abfangen und an den legitimen Dienst weiterleiten. Die FIDO-Authentifizierung verwendet dagegen kryptografische Anmeldeinformationen, die an die vertrauende Partei gebunden sind, also an den Dienst, der die Authentifizierung anfordert. Dadurch bietet sie eine Phishingresistenz, die den meisten anderen Methoden der Multi-Faktor-Authentifizierung fehlt.

Die NIST-Leitlinien zur Phishingresistenz unterscheiden zwischen kryptografischer Authentifizierung und Verfahren, bei denen die Ausgabe eines Authentifikators manuell eingegeben werden muss. Letztere binden den Code nicht an die vorgesehene Authentifizierungssitzung.

Die Offline-FIDO-Überprüfung ermöglicht diesen kryptografischen Ansatz auch bei unterstützten Anmeldungen ohne Netzwerkverbindung. Das Endgerät muss weiterhin den korrekten Authentifizierungskontext durchsetzen und die Komponente schützen, die über den Zugriff entscheidet.

Wie unterscheiden sich Offline-FIDO und Offline-TOTP?

Zeitbasierte Einmalkennwörter können ohne Internetzugriff erzeugt werden. Für ihre Offline-Überprüfung muss das geschützte System auch eine lokale Überprüfung unterstützen und über das erforderliche gemeinsame Geheimnis verfügen.

FIDO verfolgt einen anderen Ansatz: Die Überprüfungskomponente verwendet Informationen zum öffentlichen Schlüssel. Sie benötigt kein gemeinsames Geheimnis, mit dem sich gültige Authentifizierungscodes erzeugen lassen.

Eigenschaft	Offline-TOTP	Offline-FIDO
Benutzerinteraktion	Eingabe eines wechselnden Codes	Verwendung eines registrierten Authentifikators, je nach Anforderung mit Berührung, PIN-Eingabe oder biometrischer Überprüfung
Überprüfungsdaten	Ein gemeinsames Geheimnis	Der öffentliche Schlüssel der Anmeldeinformation und die Registrierungsdaten, einschließlich ihrer ID und des zugehörigen Benutzerkontos
Phishingresistenz	Manuell eingegebene Codes sind nicht phishingresistent	Bietet eine phishingresistente Authentifizierung, indem die Authentifizierung kryptografisch an den vorgesehenen Dienst gebunden wird
Smartphone erforderlich	Bei appbasiertem TOTP üblich, es gibt jedoch auch Hardware-TOTP-Token	Ein Hardware-Sicherheitsschlüssel kann ohne Smartphone verwendet werden
Wiederherstellungsplanung	Eine separate Wiederherstellungsmethode ist erforderlich	Ein Ersatz-Authentifikator oder eine andere genehmigte Wiederherstellungsmethode ist erforderlich

Erfüllt Offline-FIDO-MFA automatisch die Anforderungen von NIST AAL3?

Nein. Die Unterstützung von FIDO allein bestimmt noch kein Authentication Assurance Level.

Zu den Anforderungen von NIST SP 800-63B-4 für AAL3 gehören Phishingresistenz, ein nicht exportierbarer privater Schlüssel, zugelassene kryptografische Verfahren sowie Anforderungen an Authentifikatoren, Überprüfungskomponenten und den Authentifizierungsprozess. Diese Unterscheidung ist bei der Wahl zwischen einem Hardware-Sicherheitsschlüssel und einem synchronisierten Passkey wichtig. Passkeys, die zwischen Geräten synchronisiert werden können, erfüllen die Anforderung eines nicht exportierbaren privaten Schlüssels nicht und können deshalb nicht für AAL3 verwendet werden. Davon zu unterscheiden ist die Synchronisierung von Überprüfungsdaten zum öffentlichen Schlüssel auf einen Computer für Offline-MFA.

Ein geeigneter Hardware-Authentifikator kann ein Konzept mit hohem Sicherheitsniveau unterstützen. Bewertet werden muss jedoch die gesamte Implementierung. Eine Offline-FIDO-Funktion allein ist kein Nachweis für die Erfüllung der AAL3-Anforderungen.

Wann ist Offline-FIDO-MFA sinnvoll?

Offline-FIDO-MFA ist überall dort sinnvoll, wo eine unterstützte Anmeldung auch dann geschützt bleiben muss, wenn der Authentifizierungsdienst in der Cloud nicht erreichbar ist. Dieser Bedarf besteht nicht nur in industriellen oder militärischen Umgebungen.

Internetausfälle und Geschäftskontinuität

In einem Büro kann der Internetzugang ausfallen, während die Arbeitsplatzrechner und das interne Netzwerk weiterhin funktionieren.

Vorbereitete Endgeräte können unterstützte Anmeldungen weiterhin lokal überprüfen. Ein Administrator kann mit einem registrierten FIDO-Authentifikator auf ein geschütztes System zugreifen, ohne auf die Wiederherstellung der Cloudverbindung warten zu müssen.

Mitarbeiter auf Reisen und unzuverlässige Verbindungen

Ein Laptop im Zug, im Flugzeug oder beim Kunden hat möglicherweise stundenlang keine zuverlässige Verbindung.

Ist die Offline-FIDO-Authentifizierung vorbereitet, kann der Mitarbeiter einen Sicherheitsschlüssel verwenden, ohne eine Pushbenachrichtigung zu empfangen oder eine Smartphone-App zu öffnen. Die Organisation kann damit bei der unterstützten Anmeldung einen kryptografischen zweiten MFA-Faktor beibehalten, statt sich ausschließlich auf zwischengespeicherte primäre Anmeldeinformationen zu verlassen.

Arbeitsplätze, an denen Smartphones verboten sind

Manche Einrichtungen schränken die Nutzung von Mobiltelefonen aus betrieblichen Gründen oder aufgrund von Datenschutz- oder Sicherheitsanforderungen ein.

Ein persönlich zugewiesener FIDO-Sicherheitsschlüssel bietet eine praktische Möglichkeit, MFA ohne Smartphone zu nutzen. Benutzer führen den Authentifikator mit sich und bestätigen die Anmeldung je nach Anforderung durch Berührung, PIN-Eingabe oder biometrische Überprüfung.

Auch Hardware-TOTP-Token können ohne Mobiltelefon verwendet werden. Sie bieten jedoch nicht dasselbe phishingresistente Authentifizierungsmodell.

Gemeinsam genutzte Arbeitsplatzrechner

An einem gemeinsam genutzten Arbeitsplatzrechner kann jede Person ein eigenes Konto und einen persönlich zugewiesenen Sicherheitsschlüssel verwenden.

Dabei ist die Vorbereitung entscheidend: Die erforderlichen Authentifizierungsdaten aller Benutzer, die Offline-Zugriff benötigen, müssen auf diesem Rechner verfügbar sein. Wenn ein Sicherheitsschlüssel an einem Arbeitsplatz funktioniert, bedeutet das nicht, dass er an jedem anderen Arbeitsplatz auch offline funktioniert.

Individuelle Authentifikatoren ermöglichen zudem eine bessere Zuordnung von Aktivitäten zu einzelnen Personen als ein Schlüssel und ein Konto, die sich das gesamte Team teilt.

Eingeschränkte Netzwerke und Endgeräte ohne Netzwerkverbindung

Offlinefähige Authentifizierung kann Endgeräte schützen, deren Verbindung nach außen eingeschränkt ist oder nur während kontrollierter Wartungsarbeiten zur Verfügung steht.

Allerdings gelten für Offline-Anmeldungen und den Betrieb in dauerhaft isolierten Air-Gap-Umgebungen unterschiedliche Anforderungen. Ein System, das sich niemals mit externen Diensten verbindet, benötigt ein Modell für Registrierung, Bereitstellung, Widerruf, Wiederherstellung und Wartung, das ohne Verbindungen zu externen Diensten funktioniert.

Wie Rublon MFA die Offline-FIDO-Authentifizierung unterstützt

Die FIDO-Authentifizierungsmethode von Rublon MFA unterstützt Sicherheitsschlüssel und Passkeys in kompatiblen Integrationen. Die hier beschriebene Implementierung für die Offline-FIDO-Authentifizierung ist Rublon MFA für Windows-Anmeldungen und RDP.

Der Konnektor ergänzt unterstützte Windows-Anmeldungen um einen MFA-Schritt. Wenn der Computer die Rublon API nicht erreichen kann, überprüft der Offline Mode einen unterstützten, registrierten FIDO-Authentifikator anhand der Daten, die zuvor auf diesem Computer synchronisiert wurden.

Dadurch wird phishingresistente MFA auf unterstützte Offline-Zugriffe auf Windows erweitert. Gleichzeitig bleibt auch die übrige MFA-Umgebung der Organisation auf derselben Plattform für die Zwei-Faktor-Authentifizierung.

Rublon MFA kostenlos testen →

Lokale Windows-Anmeldungen und UAC-Abfragen

Bei lokalen Windows-Anmeldungen unterstützt Rublon MFA die Offline-Authentifizierung mit FIDO2- und FIDO U2F-Sicherheitsschlüsseln. Dazu gehören auch unterstützte Schlüssel mit PIN-Schutz oder integrierter Fingerabdrucküberprüfung.

Dieselbe Funktion steht für Abfragen der Benutzerkontensteuerung (UAC) zur Verfügung, die durch Rublon MFA geschützt sind. Ein Administrator kann den zusätzlichen Authentifizierungsschritt für eine geschützte Anforderung zur Rechteerweiterung somit auch durchführen, wenn der Computer offline ist.

Die primäre Authentifizierung muss weiterhin erfolgreich sein. Offline-MFA ersetzt weder die Überprüfung des Windows-Kontos noch erteilt sie Berechtigungen, über die das Konto nicht verfügt.

Offline-FIDO-Authentifizierung für RDP-Verbindungen

Bei einer RDP-Anmeldung führt Rublon MFA die FIDO-Authentifizierung über die WebAuthn-Umleitung durch. Das Authentifizierungsfenster wird auf dem Clientcomputer außerhalb der Remotesitzung angezeigt.

Zu den unterstützten Optionen gehören Sicherheitsschlüssel und kompatible FIDO2-Passkeys, die auf dem Client verfügbar sind. Der Authentifikator muss für das Rublon MFA-Konto des Benutzers registriert sein. Seine Authentifizierungsdaten müssen bereits auf dem entfernten Windows-Computer synchronisiert worden sein.

Die RDP-Umgebung muss die WebAuthn-Umleitung unterstützen und zulassen. Weitere Informationen zu diesem Ablauf bietet die Microsoft-Dokumentation dazu, wie WebAuthn-Anfragen zwischen einer Remotesitzung und dem lokalen Gerät umgeleitet werden.

Windows-Endgeräte auf Offline-FIDO-MFA vorbereiten

Bereiten Sie genau die Computer und Konten vor, die Offline-Zugriff benötigen, und testen Sie diese:

1. Installieren Sie eine unterstützte Konnektorversion. Befolgen Sie die Dokumentation zu Rublon MFA für Windows-Anmeldungen und RDP, einschließlich der aktuellen Anforderungen an Betriebssysteme und Authentifikatoren.
2. Aktivieren Sie den Offline Mode. Stellen Sie sicher, dass der Konnektor für den Schutz des benötigten Anmeldeszenarios konfiguriert ist.
3. Registrieren Sie den FIDO-Authentifikator des Benutzers. Benutzer können ihre Authentifikatoren selbst registrieren oder vom Administrator registrierte FIDO-Authentifikatoren verwenden.
4. Synchronisieren Sie die Authentifizierungsdaten auf jedem Zielcomputer. Nach der Registrierung können die Daten bei einer erfolgreichen Online-Anmeldung mit einer beliebigen Rublon MFA-Methode synchronisiert werden. Der Benutzer muss sich nicht zuerst mit genau diesem FIDO-Schlüssel online authentifizieren.
5. Testen Sie die Anmeldung ohne Verbindung zur Rublon API. Überprüfen Sie den vorgesehenen Ablauf für die lokale Anmeldung, UAC oder RDP und stellen Sie sicher, dass MFA tatsächlich erforderlich ist.
6. Bereiten Sie die Wiederherstellung vor. Synchronisieren und testen Sie einen Ersatz-Authentifikator oder legen Sie ein anderes genehmigtes Wiederherstellungsverfahren fest.

Offline-Schutz für Windows mit anderen MFA-Integrationen kombinieren

Eine Organisation benötigt möglicherweise Offline-FIDO für Windows-Administratoren, mobile Authentifizierung für andere Mitarbeiter und weitere Authentifizierungsmethoden für zusätzliche Anwendungen.

Rublon MFA unterstützt einen solchen umfassenderen Einsatz mit seinen MFA-Integrationen und Zugriffsrichtlinien. Administratoren können unterstützte Methoden für verschiedene Anwendungen und Gruppen auswählen, statt die gesamte Umgebung auf ein einziges Offline-Szenario auszurichten.

Welche Offline-Funktionen verfügbar sind, hängt weiterhin von der jeweiligen Integration ab. Die Unterstützung von Offline-FIDO unter Windows bedeutet nicht, dass jede angebundene Anwendung eine Offline-Authentifizierung unterstützt.

Was sollten Administratoren vor der Einführung von Offline-FIDO-MFA testen?

Eine erfolgreiche Demonstration mit einem Sicherheitsschlüssel und einem Laptop ist ein guter Ausgangspunkt. Beim produktiven Einsatz muss jedoch auch vorhersehbar sein, wie sich das System verhält, wenn Anmeldeinformationen, Verbindungen oder Hardware nicht verfügbar sind.

Test	Was zu überprüfen ist
Benutzer mit vorbereitetem Offline-Zugriff und registriertem Sicherheitsschlüssel	Offline-MFA ist auf dem vorgesehenen Endgerät erfolgreich
Benutzer ohne synchronisierte Authentifizierungsdaten	Das konfigurierte Verhalten zum Verweigern des Zugriffs oder Umgehen der MFA entspricht den Anforderungen der Organisation
Nicht registrierter oder falscher Sicherheitsschlüssel	Die Authentifizierung wird abgelehnt
Ersatzschlüssel	Er funktioniert offline, nachdem seine Daten synchronisiert wurden
Gemeinsam genutzter Arbeitsplatzrechner	Jeder berechtigte Benutzer kann sich mit seinen eigenen Anmeldeinformationen authentifizieren
UAC-Rechteerweiterung	Das erforderliche Konto und das vorgesehene Szenario zur Rechteerweiterung sind geschützt
RDP	Das Authentifizierungsfenster wird auf dem Client angezeigt, und die Authentifizierung funktioniert mit den zulässigen Umleitungseinstellungen
Falsche PIN oder gesperrter Sicherheitsschlüssel	Benutzer erhalten verständliche Anweisungen und haben eine Möglichkeit, den Zugriff wiederherzustellen
Endgerät mit wiederhergestellter Verbindung	Relevante Änderungen an Konten und Authentifikatoren werden vor der nächsten geplanten Offline-Phase berücksichtigt

Verzögerungen beim Widerruf einplanen

Ein Endgerät ohne Netzwerkverbindung kann Informationen zu einer Kontosperrung, einem gelöschten Authentifikator oder einer neuen Richtlinie nicht sofort aus der Cloud abrufen.

Planen Sie, wie Geräte aktualisierte Authentifizierungsinformationen erhalten und was geschieht, wenn ein Benutzer die Organisation verlässt oder einen Sicherheitsschlüssel verliert. Gehen Sie nicht davon aus, dass das zentrale Entfernen eines Authentifikators sofort alle Kopien seiner Überprüfungsdaten auf Geräten ohne Netzwerkverbindung ungültig macht.

Bewerten Sie bei längeren Offline-Zeiträumen die dokumentierten Einschränkungen des Produkts. Prüfen Sie außerdem, ob die Organisation das Endgerät aktualisieren oder den physischen Zugriff darauf kontrollieren kann.

Wiederherstellung an den Sicherheitsanforderungen ausrichten

Mit einem registrierten FIDO-Ersatz-Authentifikator lässt sich derselbe Authentifizierungsansatz beibehalten, wenn der primäre Sicherheitsschlüssel nicht verfügbar ist.

Andere Wiederherstellungsmethoden bieten möglicherweise ein anderes Sicherheitsniveau. Wenn ein System immer phishingresistente MFA verwenden muss, prüfen Sie die zulässigen Ausweichverfahren und das Verhalten bei Fehlern ebenso sorgfältig wie die reguläre Anmeldung.

Endgerät und Authentifizierungsweg schützen

Offline-MFA ist auf die Integrität des lokalen Systems angewiesen, das die Überprüfung durchführt. Halten Sie den Konnektor und das Betriebssystem aktuell, schützen Sie lokale Authentifizierungsdaten, beschränken Sie administrative Änderungen und verwenden Sie geeignete Maßnahmen zur Datenträgerverschlüsselung und zum Schutz des Startvorgangs.

Ermitteln Sie außerdem, welche Zugriffswege der Konnektor abdeckt. Der Schutz der interaktiven Windows-Anmeldung bedeutet nicht automatisch, dass auch jeder Dienst, jedes Verwaltungsprotokoll und jede Anwendung auf diesem Computer geschützt ist.

Diese Maßnahmen tragen dazu bei, dass starke Authentifizierung in der gesamten Umgebung wirksam ist.

Häufig gestellte Fragen zu Offline-FIDO-MFA

Jetzt mit phishingresistenter Offline-MFA starten

Wählen Sie ein Windows-Endgerät und ein Konto aus, die während eines Ausfalls zugänglich bleiben müssen. Bereiten Sie einen FIDO-Authentifikator vor, synchronisieren Sie die erforderlichen Daten und testen Sie den gesamten Anmeldeablauf ohne Cloudverbindung. Testen Sie anschließend den Ersatzschlüssel, das Verhalten bei Fehlern und den Wiederherstellungsprozess.

Mit Rublon MFA können Organisationen unterstützte Windows-Zugriffe um Offline-FIDO-Schutz erweitern und zugleich dieselbe MFA-Plattform für ihre übrige Umgebung verwenden.