Ein zusätzliches Sicherheitssystem, das sich zwischen den Windows-Login und den Microsoft-Cloud-Dienst schaltet.
Das Problem
Klassische Login-Ketten haben einen einzigen Schwachpunkt: Wer die Anmeldedaten kennt, ist drin, egal über welchen Weg. Fehlt ein zweiter, unabhängiger Kanal, hilft auch ein starkes Passwort nicht, wenn es einmal abgefangen wurde.
Die Lösung
Ein Auth-Sidecar, das die Anmeldung über einen zweiten, unabhängigen Kanal bestätigt (zum Beispiel das Handy). Der Login-Schlüssel wird dabei so aufgeteilt und verschlüsselt, dass keine der beiden Seiten die andere sieht, schlägt etwas fehl, bleibt die Tür sicher zu.
Distributed-Verification-Architektur: Auth-Sidecar zwischen Windows-Login und Microsoft Entra mit Out-of-band-2FA-Binding, kryptografisches Payload-Splitting (AES-256-GCM, Byte-Range) und Fail-Closed-Policy, sodass keine Trust-Source die andere sieht
Orchestrator: FastAPI (Python 3.12) mit mTLS-Terminierung über Caddy und Adapter-Pattern für mehrere 2FA-Backends (Mobile OTP, Sign-In-App)
