![\"Schluss](\"https:\/\/www.europesays.com\/de\/wp-content\/uploads\/2025\/08\/0125882101v2.jpeg\" "\\"Schluss")
<\/a> Schluss mit unsicheren Windows-Logins: Mit dem privacyIDEA Credential Provider l\u00e4sst sich die Anmeldung an Windows-Clients und -Servern einfach mit Zwei-Faktor-Authentifizierung (z. B. FIDO2, TOTP) absichern \u2013 auch offline. <\/p>\n(Bild: \u00a9 THAWEERAT – stock.adobe.com) <\/p>\n
In den vorherigen Teilen unseres privacyIDEA-Workshops haben wir ein privacyIDEA-System installiert und einen TOTP-Token ausgerollt<\/a>, sowie die Richtlinien in privacyIDEA<\/a> angesehen. Wir haben exemplarisch mit FreeRADIUS ein VPN-System angebunden<\/a> und ein Keycloak f\u00fcr Single Sign-On an Webseiten<\/a>.<\/p>\n In diesem Teil wollen wir nun mit Hilfe des privacyIDEA Credential Providers den Login an Windows-Desktops und Windows-Servern absichern. Dies funktioniert beim lokalen Login und auch via RDP. Hierbei wird der Benutzer zus\u00e4tzlich zu seinen Windows-Credentials nach seinem zweiten Faktor, der zentral in der eigenen privacyIDEA-Installation verwaltet wird, gefragt. Dabei werden alle zweiten Faktoren, die privacyIDEA bietet, unterst\u00fctzt \u2013 angefangen von TOTP<\/a>, auch immer noch SMS oder Email, PUSH-Authentifizierung aber auch FIDO2<\/a>–Token<\/a> wie der Yubikey. Wir verwenden in diesem Beitrag den TOTP-Token und den FIDO2-Token, den wir bereits im 4. Teil ausgerollt haben<\/a>.<\/p>\n \t Der privacyIDEA Credential Provider ist \u00f6ffentlich via Github verf\u00fcgbar. Dabei ist zu beachten, dass der Credential Provider in der frei verf\u00fcgbaren Form nur mit bis zu 50 Benutzern in privacyIDEA funktioniert. Wenn Sie Support haben m\u00f6chten oder mehr als 50 Benutzer in Ihrem privacyIDEA System haben, k\u00f6nnen Sie eine Subscription<\/a> bei der NetKnights erwerben.<\/p>\n Installation des privacyIDEA Credential Provider<\/p>\n Wir installieren den Credential Provider exemplarisch auf einem Windows 10-Client, der Mitglied der Dom\u00e4ne<\/a> ist. Der Credential Provider wird als MSI-Paket bereitgestellt und kann somit \u00fcber jegliche Software-Verteilung auf allen Rechnern installiert werden.<\/p>\n msiexec \/i https:\/\/github.com\/privacyidea\/privacyidea-credential-provider\/releases\/download\/v3.6.0\/privacyIDEACredentialProviderSetup-v3.6.0.msi<\/p>\n Bei der Installation, die auf Wunsch auch \u201esilent\u201c durchgef\u00fchrt werden kann, werden einige Dinge erfragt wie die URL des privacyIDEA-Servers und das Verhalten w\u00e4hrend der Authentifizierung<\/a>.<\/p>\n Wir w\u00e4hlen aus, dass der zweite Faktor in einem zweiten Schritt angegeben wird und vorher das Windows-Passwort<\/a> an privacyIDEA gesendet wird. Damit lassen sich Challenge-Response-Anmeldeverfahren (bspw. WebAuthn<\/a>\/FIDO2) abbilden. Au\u00dferdem geben wir an, dass wir uns bevorzugt mit WebAuthn anmelden wollen. Unser Test-Benutzer hat zwei Token, einen TOTP-Token und einen FIDO2-Token und kann sich prinzipiell mit beiden Token am Windows anmelden.<\/p>\n Bemerkenswert ist die Einstellung \u201eenable_filter\u201c. Das Microsoft Credential Provider Konzept erlaubt es dem Benutzer, zwischen allen verf\u00fcgbaren Anmeldeszenarien zu w\u00e4hlen. D.h. der Benutzer kann prinzipiell ausw\u00e4hlen, ob er sich klassisch mit Benutzername<\/a>\/Passwort anmelden m\u00f6chte oder ob er sich gegen den privacyIDEA Credential Provider authentisiert.<\/p>\n \u201eenable_filter\u201c, das wir sp\u00e4ter \u00fcber die Registry aktivieren, deaktiviert alle anderen verf\u00fcgbaren Credential Provider und forciert somit die Zwei-Faktor-Authentifizierung<\/a>. Es ist aber ratsam, dies erst zu aktivieren, nachdem wir das Login gegen privacyIDEA erfolgreich getestet haben.<\/p>\n An Windows mit zwei Faktoren anmelden<\/p>\n Nach der Installation und Konfiguration des privacyIDEA Credential Providers k\u00f6nnen wir uns im ersten Schritt mit dem Benutzernamen und dem Windowspasswort anmelden.<\/p>\n Windows-Anmeldung<\/p>\n Danach erhalten wir die Aufforderung \u201eConnect your security key!\u201c. Wenn wir nun den Yubikey einstecken, werden wir aufgefordert \u201eTouch your Security Key\u201c und sind danach im Windows eingeloggt.<\/p>\n Ist der Yubikey nicht zur Hand, dann k\u00f6nnen wir auf den Button \u201eCancel\u201c dr\u00fccken. Da unser Benutzer noch andere Token hat, bspw. einen TOTP-Token, k\u00f6nnen wir uns hier wahlweise auch mit TOTP anmelden.<\/p>\n privacyIDEA Credential Provider scharf schalten<\/p>\n (Bild: NetKnights) <\/p>\n<\/p>\n War die Anmeldung erfolgreich, k\u00f6nnen wir mit \u201eenable_filter\u201c den Credential Provider nun exklusiv aktivieren.<\/p>\n Die gesamte Konfiguration des privacyIDEA Credential Providers findet sich in der Registry. Somit k\u00f6nnen alle Konfigurationen, auch die w\u00e4hrend der Installation, noch sp\u00e4ter ver\u00e4ndert werden. Ebenso kann die Konfiguration dom\u00e4nenweit \u00fcber administrative Templates an alle Clients oder Server verteilt werden. In der Registry setzen wir \u201eenable_filter\u201c auf \u201e1\u201c und haben somit den einfachen Login mit Benutzername\/Passwort deaktiviert.<\/p>\n (Bild: NetKnights) <\/p>\n<\/p>\n In unserer vernetzten, mobilen Welt werden Windows-Clients als Notebooks aber auch oft aus der Dom\u00e4ne entfernt. Manche Tokentypen erfordern es, dass der privacyIDEA-Server f\u00fcr die Anmeldung erreichbar ist. Mit dem FIDO2-Token ist aber auch eine sehr einfache offline-Authentifizierung m\u00f6glich.<\/p>\n Stand: 20.11.2020<\/p>\n Es ist f\u00fcr uns eine Selbstverst\u00e4ndlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer\u00a0Datenschutzerkl\u00e4rung<\/a>.<\/p>\n Einwilligung in die Verwendung von Daten zu Werbezwecken<\/strong> <\/p>\n Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Stra\u00dfe 21, 86157 Augsburg, einschlie\u00dflich aller mit ihr im Sinne der \u00a7\u00a7 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse f\u00fcr die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugeh\u00f6rigen Unternehmen k\u00f6nnen\u00a0hier<\/a>\u00a0abgerufen werden.<\/p>\n Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachb\u00fccher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine pers\u00f6nliche Telefonnummer erhoben wurde, darf diese f\u00fcr die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.<\/p>\n Falls ich im Internet auf Portalen der Vogel Communications Group einschlie\u00dflich deren mit ihr im Sinne der \u00a7\u00a7 15 ff. AktG verbundenen Unternehmen gesch\u00fctzte Inhalte abrufe, muss ich mich mit weiteren Daten f\u00fcr den Zugang zu diesen Inhalten registrieren. Im Gegenzug f\u00fcr diesen geb\u00fchrenlosen Zugang zu redaktionellen Inhalten d\u00fcrfen meine Daten im Sinne dieser Einwilligung f\u00fcr die hier genannten Zwecke verwendet werden.<\/p>\n Recht auf Widerruf<\/strong><\/p>\n Mir ist bewusst, dass ich diese Einwilligung jederzeit f\u00fcr die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtm\u00e4\u00dfigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht ber\u00fchrt. Um meinen Widerruf zu erkl\u00e4ren, kann ich als eine M\u00f6glichkeit das unter\u00a0https:\/\/contact.vogel.de<\/a>\u00a0abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten m\u00f6chte, kann ich dar\u00fcber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Aus\u00fcbung sowie zu den Folgen meines Widerrufs finde ich in der\u00a0Datenschutzerkl\u00e4rung<\/a>.<\/p>\n Hierzu muss der Administrator im privacyIDEA Server den Token markieren, dass er offline verwendet werden darf.<\/p>\n Diese Einstellung kann in den Tokendetails vorgenommen werden. Entweder gezielt manuell oder auch mit einem Event-Handler direkt beim Ausrollen des Tokens. Meldet sich der Benutzer nun mit diesem FIDO2-Token erstmalig online an seinem Windows-Notebook an, so \u00fcbertr\u00e4gt der privacyIDEA-Server alle notwendigen Informationen an den Client. Diese werden lokal am Client abgelegt.<\/p>\n Danach kann sich der Benutzer mit dem Notebook aus dem Netzwerk entfernen und weiterhin mit seinem FIDO2-Token sicher am Windows anmelden.<\/p>\n Wie Sie sehen, wird es immer einfacher, weitere Anwendungsf\u00e4lle an privacyIDEA anzubinden. Sobald Sie Ihr privacyIDEA-System bei sich im Netzwerk installiert haben und die zweiten Faktoren an die Benutzer ausgerollt haben, lassen sich weitere Dienste und Applikationen schnell anbinden. Die Liste der verf\u00fcgbaren Plugins ist lang. Weitere Szenarien k\u00f6nnten die Anmeldung an Linux-Servern mittel OTP-Token sein, Outlook WebAccess mit einem zweiten Faktor via ADFS absichern, die Verwendung von Nutzern aus EntraID und die Verwaltung von SSH-Keys oder x509-Zertifikate auf Yubikeys.<\/p>\n Die Security-Insider-Redaktion freut sich \u00fcber Feedback<\/a>, welche Themen Sie sich f\u00fcr weitere Folgen dieses Workshops w\u00fcnschen!<\/p>\n Ansonsten finden Sie weitere Infos auf dem Youtube-Kanal von privacyIDEA<\/a> oder im Community-Forum<\/a>.<\/p>\n![\"Mit](\"https:\/\/www.europesays.com\/de\/wp-content\/uploads\/2025\/08\/0122151633v2.jpeg\" "\\"Mit")
<\/a> privacyIDEA Credential Provider installieren<\/p>\n![\"Sichern](\"https:\/\/www.europesays.com\/de\/wp-content\/uploads\/2025\/08\/0122607783v2.jpeg\" "\\"Sichern")
<\/a> <\/p>\n![\"In](\"https:\/\/www.europesays.com\/de\/wp-content\/uploads\/2025\/08\/0125877503v1.jpeg\" "\\"In")
<\/a> In der Registry setzen wir \u201eenable_filter\u201c auf \u201e1\u201c und haben somit den einfachen Login mit Benutzername\/Passwort deaktiviert. <\/p>\n![\"Policies](\"https:\/\/www.europesays.com\/de\/wp-content\/uploads\/2025\/08\/0123711458v5.jpeg\" "\\"Policies")
<\/a> Es geht ein Notebook auf Reisen<\/p>\n![\"Mit](\"https:\/\/www.europesays.com\/de\/wp-content\/uploads\/2025\/08\/0125877606v1.jpeg\" "\\"Mit")
<\/a> Mit dem FIDO2-Token ist eine sehr einfache offline-Authentifizierung m\u00f6glich. Dazu muss der Administrator im privacyIDEA Server den Token zur Offline-Verwendung markieren. <\/p>\n![\"Mit](\"https:\/\/www.europesays.com\/de\/wp-content\/uploads\/2025\/08\/0124352982v2.jpeg\" "\\"Mit")
<\/a> Ausblick<\/p>\n