Zum Hauptinhalt springen

Quicklinks

FIDO2-Key in Duo verwenden

Überblick

In webbasierten Anwendungen, die den Universal Prompt von Duo verwenden, kann statt der Duo Mobile App auch ein FIDO2-Key als zweiter Faktor eingesetzt werden. Am Ende der Seite finden Sie eine kurze Erklärung, um herauszufinden, was webbasierte Anwendungen oder der Universal Prompt sind.

Da nicht alle per Cisco Duo geschützten Anwendungen mit dem webbasierten Universal Prompt arbeiten, kann ein FIDO2-Key nur als zusätzlicher zweiter Faktor hinzugefügt werden, nachdem die Erstregistrierung über die Duo Mobile App erfolgreich durchgeführt wurde bzw. nachdem ein Duo Hardware-Token mit dem Account verknüpft wurde.

Wenn Sie einen FIDO2-Key trotzdem als alleinigen zweiten Faktor hinzufügen möchten, kontaktieren Sie bitte den Helpdesk. Nach erfolgreichem Hinzufügen eines FIDO2-Keys erhalten Sie im Universal Prompt von Duo die Möglichkeit einen Sicherheitsschlüssel / Passkey zur Bestätigung Ihrer Identität zu verwenden. 

Bitte haben Sie Verständnis, dass wir keinen detaillierten technischen Support zu den verschiedenen auf dem Markt erhältlichen Produkten anbieten können, die mit FIDO2 kompatibel sind. Ziehen Sie bei grundsätzlichen Fragen bitte die Dokumentationen des Herstellers zu Rate. In unserer Implementierung werden nur externe FIDO2-Keys (Roaming Authenticators) unterstützt, nicht jedoch sogenannte Platform Authenticators wie Touch ID usw.

Im Folgenden wird das Hinzufügen eines YubiKeys mit aktivierter FIDO2 Unterstützung in Cisco Duo gezeigt. Das verwendete Betriebssystem ist Windows 11 und der YubiKey wurde per USB verbunden. In anderen Betriebssystemen oder mit anderen FIDO2-Keys können sich die Schritte leicht unterscheiden.

Anleitung - Hinzufügen eines FIDO2-Schlüsels in CiscoDuo über die Geräteverwaltung

Diese Anleitung richtet sich an Personen, die den Sicherheitsschlüssel bereits erfolgreich eingerichtet haben und diesen nun in CiscoDuo verwenden möchten.

  1. Melden Sie sich in der Duo Geräteverwaltung an. Das ist nur möglich, wenn Sie die Erstregistrierung zuvor bereits erfolgreich durchgeführt haben.
    Haben Sie stattdessen einen Link von unserem Helpdesk per Mail erhalten? Dann starten Sie bitte direkt mit Punkt 3 dieser Anleitung.
  2. Klicken Sie in der Duo Geräteverwaltung auf Gerät hinzufügen [Bid 1].
  3. Wählen Sie als neues Gerät Sicherheitsschlüssel aus [Bild 2].
  4. Wählen Sie Fortfahren [Bild 3].
  5. Die Kommunikation mit Ihrem Sicherheitsschlüssel wird unter Windows 11 über die Windows Sicherheit abgewickelt. Wählen Sie hier aus, dass Ihr Hauptschlüssel auf Ihrem Sicherheitsschlüssel gespeichert werden soll und klicken Sie auf Weiter [Bild 4].
  6. Die Windows-Sicherheit fordert Sie nun auf den Sicherheitsschlüssel per USB zu verbinden [Bild 5].
  7. Geben Sie die FIDO2-PIN Ihres Sicherheitsschlüssels ein, wenn Sie dazu aufgefordert werden. Sollten Sie noch keine FIDO2-PIN eingerichtet haben, werden Sie ggf. zur Einrichtung aufgefordert [Bild 5].
  8. Der Sicherheitsschlüssel kann je nach Modell eine physische Bestätigung anfordern [Bild 5].
  9. Wenn die Einrichtung erfolgreich war, dann erhalten Sie eine Erfolgsmeldung [Bild 6].
  10. Möglicherweise erhalten Sie von Ihrem Browser noch eine gesonderte Abfrage, damit Firefox Informationen über Ihren Sicherheitsschlüssel weitergeben darf [Bild 6].

Die Authentifizierung mit dem Sicherheitsschlüssel durchführen

Um Ihre Identität mit dem Sicherheitsschlüssel zu bestätigen, ist es unter Umständen erforderlich, dass Sie diesen zunächst auswählen. Dies gilt insbesondere dann, wenn Sie bereits andere Geräte hinterlegt haben. Sollte Ihnen dieser nicht sofort vorgeschlagen werden, klicken Sie bei der Authentifizierung auf “Weitere Optionen” [Bild 1] und wählen anschließend die Option “Sicherheitsschlüssel” aus [Bild 2].

Unterstützte Anwendungen

Was bedeutet "webbasierte Anwendungen" oder "Universal Prompt"?

Eine webbasierte Anmeldung findet in Ihrem Internetbrowser statt. Ein Beispiel hierfür ist die Anmeldung bei KLIPS 2.0 oder an unserem VPN-Dienst, die über Shibboleth realisiert wird. Nach Anmeldung an der Shibboleth-Maske werden Sie zum sogenannten Universal Prompt von Cisco Duo geleitet. Bei weiteren Anwendungen, an denen der Login per Shibboleth durchgeführt wird, werden Sie auch zukünftig FIDO2-Keys als zweiten Faktor nutzen können.

Wo kann ich nicht meinen FIDO2-Key als zweiten Faktor nutzen?

Anmeldungen, die nicht im Webbrowser stattfinden, können Sie üblicherweise nicht mit Ihrem FIDO2-Key bestätigen, da dies technisch nicht vorgesehen ist. Beispiele hierfür sind SSH- oder RDP-Logins. Hierfür ist dann die Duo Mobile App oder ein Duo Hardware Token erforderlich. Über die Geräteverwaltung können Sie jederzeit ein Smartphone zu Ihrem Account hinzufügen.