Einblicke
Anbinden, ohne Passwörter zu speichern
Die Passwörter liegen bereits in Active Directory. Wie ergänzen Sie moderne Anmeldung, ohne Passwort-Hashes zu kopieren oder einen neuen Konnektor-Endpunkt von außen erreichbar zu machen?
Mit dem beginnen, was bleiben muss
Die Mitarbeiterkonten liegen in Active Directory. Dort werden auch Passwortregeln, Ablaufzeiten und Kontosperren beim Austritt verwaltet. Dieses System läuft seit Jahren.
Sie möchten Passkeys ergänzen, MFA vereinheitlichen und mehr SaaS-Anwendungen per SSO anbinden. Das Ziel ist klar. Die erste Frage bleibt: Wo wird das Passwort geprüft?
Manche Architekturen synchronisieren Passwort-Hashes in die Cloud, andere lassen das interne Verzeichnis die Zugangsdaten prüfen. Entscheidend ist, wo diese Daten liegen, welche Seite die Verbindung aufbaut und wer den Verbindungsweg betreibt.
WordWarden überlässt die Prüfung weiterhin LDAP/AD und lässt Ihnen die Wahl des Verbindungswegs. Authrim Relay bietet eine ausgehende Verbindung für Organisationen, die keinen neuen öffentlich erreichbaren Endpunkt einrichten möchten.
Was WordWarden übernimmt
Authrim WordWarden ist ein Verzeichniskonnektor: ein kleiner Dienst in der Nähe Ihres LDAP/AD. Seine Aufgabe ist klar begrenzt: Nutzernamen und Passwort entgegennehmen, beim Verzeichnis prüfen lassen und das Ergebnis zurückgeben.
Anmeldeoberfläche, Sitzungen, Passkeys, E-Mail-Codes, Föderation, Audit-Verknüpfung und Identitätszuordnung bleiben bei Authrim. WordWarden übernimmt nur die Prüfung beim Verzeichnis.
Die Verbindungsrichtung bestimmt mit, wie Sie das Netzwerk konfigurieren und welche Komponenten Sie betreiben.
Wer verbindet sich mit wem?
WordWarden unterstützt drei Verbindungswege. Der Unterschied: Muss Ihr Netzwerk einen von außen erreichbaren Endpunkt bereitstellen?
Was passt zu Ihrer Umgebung?
Wenn Sie eine neue Anbindung ohne zusätzlichen eingehenden Zugang planen, prüfen Sie zuerst Relay. Eine vorhandene Plattform zur Veröffentlichung von Diensten oder ein bestehender Tunnel kann ebenfalls sinnvoll sein. Die folgenden Beispiele sind Einsatzszenarien, keine Berichte über Kundeninstallationen.
Authrim Relay: AD intern halten, ohne neuen eingehenden Zugang
Ein Unternehmen betreibt AD in der Zentrale und prüft jeden neuen öffentlichen Server gesondert. Oder eine Universität erlaubt keine eingehenden Verbindungen zu ihrem LDAP-Netz. WordWarden baut die Verbindung zu Authrim auf. Im internen Netzwerk muss dafür kein neuer Port für eingehende Verbindungen veröffentlicht werden.
Ein neuer öffentlicher Endpunkt oder ein separater Tunnelprozess ist nicht nötig. Ausgehender WebSocket-Verkehr muss erlaubt sein. Dienstzustand und Verbindung von WordWarden müssen weiter überwacht werden. Für ein Netzwerk, das jede externe Kommunikation untersagt, ist Relay nicht geeignet.
Cloudflare Tunnel: vorhandenen Tunnelbetrieb nutzen
Eine Organisation veröffentlicht interne Werkzeuge bereits über Cloudflare Tunnel. Ein Team kümmert sich um cloudflared-Updates und Routing. WordWarden kann diese Abläufe nutzen, ohne einen neuen eingehenden Port zu öffnen.
Sie konfigurieren Hostnamen und Route, über die Authrim den Konnektor erreicht, und betreiben den Tunnel. Der interne Host braucht keinen direkten eingehenden Zugang; die Anfragen kommen aber über eine Cloudflare-Route an.
Direct HTTPS: eine vorhandene API-Plattform nutzen
Ein Unternehmen, eine Universität oder eine Forschungseinrichtung betreibt vielleicht bereits eine DMZ und einen Reverse Proxy für externe Anbindungen. Ein für Authrim erreichbarer HTTPS-Endpunkt kann die vorhandenen Verfahren für Zertifikate, Zugriffsprotokolle und Monitoring nutzen.
Eine zusätzliche Tunnel- oder Relay-Verbindung entfällt. Dafür erlaubt die Organisation den eingehenden Verbindungsweg und übernimmt Schutz und Wartung des öffentlichen Endpunkts. Veröffentlicht wird die HTTPS-Schnittstelle des Konnektors, nicht der LDAP/AD-Port direkt im Internet.
In allen Varianten muss WordWarden LDAP/AD erreichen können. Dass eine Organisation eine Hochschule ist, legt die Methode nicht fest. Maßgeblich sind vorhandene Infrastruktur und Netzwerkrichtlinien.
Authrim Relay: die Verbindung beginnt im eigenen Netz
Im Relay-Modus verbindet sich WordWarden per WebSocket mit Authrim, aus Ihrem Netzwerk heraus. WebSocket hält eine Verbindung offen, über die beide Seiten Nachrichten senden können.
WordWarden hält diese Verbindung offen und wartet. Meldet sich jemand an, bittet Authrim über dieselbe Verbindung um Prüfung. WordWarden fragt das interne Verzeichnis und sendet das Ergebnis zurück.
Stellen Sie sich vor, Sie rufen aus der Organisation heraus an und bleiben in der Leitung. Auch die Gegenseite kann sprechen. Es ist nicht für jede Anfrage eine neue eingehende Verbindung nötig.
Praktisch heißt das: Auf der Verzeichnisseite muss keine öffentliche URL bereitgestellt werden. Hostname, Zertifikat und WAF für einen neuen öffentlichen Endpunkt entfallen. Die ausgehende Verbindung muss erlaubt sein; WordWarden und seine Verbindung müssen weiterhin betreut werden.
Technischer Hintergrund: WebSocket und eingehende Ports
Der Unterschied liegt darin, welche Seite die Verbindung startet. Bei Direct HTTPS stellt die Organisation einen Endpunkt bereit, den Authrim erreichen kann. Bei Relay öffnet WordWarden intern eine verschlüsselte WebSocket-Verbindung (wss) zu Authrims Relay.
Eine zustandsbehaftete Firewall oder NAT verfolgt üblicherweise intern gestartete Verbindungen und erlaubt deren Rückverkehr. So empfängt WordWarden Prüfanfragen, ohne einen eingehenden Port zu veröffentlichen oder Portweiterleitungen für neue externe Verbindungen einzurichten.
Das bedeutet nicht, dass keine Ports verwendet werden. Eine typische wss-Verbindung nutzt am Ziel TCP-Port 443. Firewall oder Proxy müssen ausgehenden Zugriff auf Relay und dauerhafte WebSocket-Verbindungen erlauben. Bei unterbrochener Verbindung können über diesen Weg keine Anfragen ankommen. Deshalb bleibt Monitoring nötig.
Weniger Endpunkte für neue externe Verbindungen bedeuten nicht, dass keine Prüfanfragen mehr eintreffen. Sie kommen über die bestehende Verbindung. Die Gegenstelle muss authentifiziert, die Anfrage weiterhin validiert werden.
Referenz: The WebSocket Protocol (RFC 6455)
Auch eine ausgehende Verbindung braucht Authentifizierung. Relay verbindet die Authentifizierung des Konnektors mit Prüfungen des konfigurierten Ziels.
Technischer Hintergrund: Authentifizierung mit HMAC
WordWarden beantwortet eine kurzlebige Challenge mit einem HMAC und signiert dabei eine Zeichenfolge aus Challenge-ID und Nonce. Außerdem prüft es, ob Mandanten- und Konnektor-ID in der Ziel-URL mit seiner Konfiguration übereinstimmen.
HMAC ist bei allen drei Verbindungswegen erforderlich. Relay reduziert die Angriffsfläche für eingehende Verbindungen, ersetzt aber weder die Konnektorauthentifizierung noch die Verwaltung geheimer Schlüssel.
Welche Daten die Grenze passieren
Hier kommt es auf eine präzise Formulierung an. Die Aussage, das Passwort verlasse Ihr Netzwerk nie, wäre falsch.
Die Person gibt ihr Passwort auf einer Anmeldeseite ein. Es läuft deshalb durch Authrim. Die korrekte Aussage lautet: „Authrim und WordWarden speichern das Passwort nicht.“
Auch die Antwort ist begrenzt
Bei erfolgreicher Prüfung erhält Authrim das Ergebnis und die angefragten Attribute, beschränkt auf die lokale Freigabeliste des Konnektors. Nicht die anfragende Seite entscheidet, welche Daten sie abrufen darf. Die Verzeichnisseite entscheidet, was sie herausgibt.
Das ist entscheidend: Eine Änderung allein auf der Authrim-Seite kann den Umfang der herausgegebenen Daten nicht erweitern.
Das Passwort als Übergang
Diese Anbindung soll vor allem einen Übergang ermöglichen.
LDAP/AD bleibt für Passwörter zuständig. Die Menschen melden sich weiter mit ihrem vorhandenen Konto an. Passkeys werden schrittweise ergänzt. E-Mail-Codes bleiben ein Weg zur Wiederherstellung des Zugangs. Die Anmeldung funktioniert weiter, während sich die Methode dahinter verändert.
Die Dokumentation ist auch hier eindeutig: Keine LDAP/AD-Passwort-Hashes nach Authrim exportieren. Sonst wird aus der Übergangslösung eine Kopie der Zugangsdaten.
Die öffentliche Beta wird vorbereitet. Als erste Version ist v0.1.0-beta.1 vorgesehen.
Für Pilotprojekte gedacht: Organisationen müssen einen kleinen Dienst nahe LDAP/AD betreiben können und die Zuständigkeiten für Verzeichnis, Netzwerk, TLS und Verwaltung geheimer Schlüssel und Zugangsdaten kennen. Dies ist kein verwalteter Verzeichnisdienst.
Erfordert Authrim ab 0.3.2 mit aktivierter Directory Authentication und Relay. In der aktuellen Beta muss der Prozess nach Konfigurationsänderungen neu gestartet werden.
„Zugangsdaten nach außen oder Verbindungen nach innen“
sind nicht die einzigen Möglichkeiten.
Prüfen Sie beim Verzeichnis und starten Sie die Verbindung von innen. Damit wird moderne Anmeldung möglich, ohne Passwort-Hashes zu kopieren oder einen eingehenden Endpunkt im internen Netz zu veröffentlichen.
Am Ende steht der Wechsel zu Passkeys. Die Verzeichnisanbindung schafft die Grundlage, damit dieser Übergang gelingt, ohne die Anmeldung zu unterbrechen.