Tokenbasierte Authentifizierung

Bei der tokenbasierten Authentifizierung wird ein Nutzer verifiziert und erhält ein Token, das ihm für eine begrenzte Zeit den Zugang zu bestimmten Ressourcen ermöglicht.

Nach der Validierung der Anmeldeinformationen wird ein Token ausgegeben, geltend für einen begrenzten Zeitraum (die sogenannte Benutzersitzung), das dem Nutzer mit einer dem Token entsprechenden Berechtigung den Zugriff auf eine spezifische Kombination von Websites, Anwendungen oder andere Ressourcen gewährt.

So muss er seine Anmeldedaten nicht jedes Mal neu eingeben, wenn er den Zugriff auf bestimmte, durch das Token geschützte Ressourcen beantragen möchte, sondern nur ein einziges Mal pro Sitzung. Für den Zeitraum der Sitzung kann das Token für die wiederholte Authentifizierung verwendet werden. Mit dem Ende der Sitzung laufen die Token ab, daher bietet die tokenbasierte Authentifizierung ein höheres Maß an Sicherheit für Benutzerkonten.

Im Vergleich zur standardmäßigen passwortbasierten Authentifizierung haben Administratoren mehr Kontrolle über die Authentifizierungs-Tokens. Die Dauer der Token-Sitzungen und die genauen Einzelheiten der Token-Transaktionen werden von den Administratoren festgelegt. Administratoren können Token so einrichten, dass sie bei der Abmeldung eines Benutzers zurückgesetzt werden, oder bestimmte Zeitlimits für die Aktivität eines Tokens in einer Sitzung festlegen.

Hinweis: Es gibt unterschiedliche Arten von Authentifizierungs-Token, die Sie Ihren Geschäftsanforderungen entsprechend verwenden können. Die Wahl zwischen einem OAuth-Token, SAML-Token oder JSON-Web-Token (JWT) hängt von der jeweiligen Situation und dem Anwendungsfall ab.

Wie funktioniert die tokenbasierte Authentifizierung?

Der Ablauf der tokenbasierten Authentifizierung ist in der Regel wie folgt:
 

1. Ein Nutzer bittet um Zugriff auf einen geschützten Server, eine Website, eine Anwendung oder eine Ressource und wird aufgefordert, sich zu authentifizieren.
   
   
2. Der Server überprüft die Anmeldeinformationen des Benutzers, um festzustellen, ob seine persönlichen Angaben der Wahrheit entsprechen.
   
   
3. Nach der Überprüfung stellt der Server dem Benutzer ein Sicherheits-Token aus, das ihm Zugriff auf Ressourcen gewährt, für die er autorisiert ist.
   
   
4. Das Token wird im Browser des Benutzers für die Dauer der Sitzung gespeichert und bei jedem seiner Zugriffsversuche auf einen anderen Teil des Servers erneut abgefragt. Der Zugang des Benutzers zu bestimmten Ressourcen wird durch die im Token enthaltene Berechtigung bestimmt.
   
   
5. Die Token-Sitzung läuft aus, wenn die Sitzung endet, der Benutzer sich abmeldet oder die Verbindung zum Server unterbrochen wird.