Die Bluetooth Special Interest Group (SIG) ist eine Standardisierungsorganisation, die die Entwicklung und Lizenzierung der Bluetooth-Technologie überwacht. Mit über 30.000 Mitgliedsunternehmen, darunter die größten Namen der Unterhaltungselektronik, hat sich die Organisation zum Ziel gesetzt, die breite Palette vernetzter Geräte zu vereinheitlichen, zu standardisieren und Innovationen voranzutreiben. Wir haben uns mit Jeremy Syme (Director of Systems Engineering) und Guru Nagaraju (Software Development Manager) zusammengesetzt, um zu besprechen, warum sie sich für Auth0 als Identity-Anbieter entschieden haben.

Bluetooth SIG benötigte eine moderne Identity-Lösung, um die Zusammenarbeit zu intensivieren, den sicheren Zugriff bereitzustellen und die organisatorische Compliance für über 150.000 Benutzende sicherzustellen. Die Organisation wünschte sich eine standardbasierte Authentifizierungslösung für alle aktuellen und zukünftigen Anforderungen und kam zu dem Schluss, dass OpenID Connect und OAuth 2 diese Anforderungen erfüllen.

Sicherheit und Authentifizierung gehören zusammen. Ein sicherer Zugriff war für die Bluetooth SIG wegen der Art ihrer Tätigkeit und der Anforderungen ihrer Mitgliedsunternehmen von großer Bedeutung. Auth0 stellt die Sicherheit auf vielfältige Weise in den Mittelpunkt: Die gesamte Kommunikation ist verschlüsselt, das Hashing und Salting der Passwörter erfolgt mit bcrypt und es gibt aktive Maßnahmen zur Reduzierung und Verhinderung von Angriffen, um die Service-Verfügbarkeit sicherzustellen.

Granularer Zugriff auf die verschiedenen Services der Bluetooth SIG war ebenfalls erforderlich. Die Benutzenden werden basierend auf ihrem Unternehmen Mitgliedschaftsstufen zugewiesen. Die Unternehmen sind in drei Mitgliedschaftsstufen unterteilt:

• Adopter: Die Basismitgliedschaftsstufe. Sie ermöglicht es Unternehmen, in ihren Produkten Bluetooth-Technologie zu lizenzieren und zu nutzen.
• Associate: Diese Mitgliedschaftsstufe ermöglicht es Unternehmen, an Bluetooth SIG-Arbeitsgruppen und am Spezifikationsentwicklungsprozess teilzunehmen.
• Promoter: Mitgliedschaftsstufe für Unternehmen, die die Bluetooth SIG beaufsichtigen und im Grunde als Vorstand der Organisation agieren.

Die unterschiedlichen Mitgliedschaftsstufen erforderten naturgemäß auch unterschiedliche Zugriffsebenen auf die Bluetooth SIG-Services. Adopter-Mitglieder benötigen beispielsweise nur Lesezugriff für die neueste genehmigte Spezifikation, während Associate-Mitglieder an der Erstellung von Arbeitsentwürfen mitwirken und privilegierten Zugriff auf unveröffentlichte Dokumente haben.

Die Bluetooth-Standards werden von verschiedenen Arbeitsgruppen innerhalb der Organisation definiert. Um Compliance zu gewährleisten und die rechtliche Haftung zu begrenzen, war ein hochgranulares Berechtigungssystem erforderlich. Diese Bedingung war nicht verhandelbar und alle vom Team empfohlenen Lösungen mussten mit dem bestehenden System, das diese Rollen durchsetzt, kompatibel sein.

Die Bluetooth SIG verfügte bereits über eine eigene Authentifizierungslösung, die den Anforderungen der Organisation jedoch nicht genügte. Das von Jeremy Syme geleitete Technikteam beschloss daher, eine moderne Authentifizierungslösung in ihr Ökosystem zu integrieren. Nach eingehender Prüfung verschiedener Optionen – Eigenentwicklung oder Kauf – entschied man sich schnell für den Kauf. Da dem Technikteam die Ressourcen und das Know-how für die Entwicklung und Wartung einer weiteren Eigenentwicklung fehlten, beauftragte man nach Abwägung verschiedener Möglichkeiten Auth0 als künftigen Anbieter für Identity-Management und Authentifizierung.

Bluetooth SIG begann mit einer einzigen, eigenentwickelten ASP.NET-Anwendung. Damals nutzte die Organisation die Windows Forms-basierte Authentifizierung, um ihren Benutzenden eine sichere Login-Experience zu bieten. Dies funktionierte, solange nur eine einzige Anwendung zu warten war, doch mit dem Wachstum der Organisation und der Einführung weiterer Services wurde deutlich, dass diese Lösung nicht mehr ausreichte.

Die wichtigste Funktion, die das Technikteam implementieren wollte, war Single Sign-On (SSO). Ohne SSO würden die verschiedenen Services – sowohl Eigenentwicklungen als auch SaaS – unterschiedliche Authentifizierungssysteme, Workflows und Benutzende verwenden. Der damit verbundene Verwaltungsaufwand wäre äußerst unpraktisch. Die Wartung einer eigenen Authentifizierungsinfrastruktur, das Schließen von Sicherheitslücken und die Behebung von Authentifizierungsproblemen würden Zeit und Ressourcen in Anspruch nehmen, die dann für die Entwicklung von Kernfunktionen der Bluetooth SIG fehlen.

Das Technikteam bewertete die bestehende Lösung, um zu bestimmen, ob sie damit ihre Ziele erreichen könnten. Es kam zu dem Schluss, dass die Aufgabe zu komplex wäre, um auch langfristig zufriedenstellende Ergebnisse zu erzielen. Die Organisation benötigte nicht nur ein Authentifizierungssystem, sondern eine Identity-Management-Plattform.

Sichere Authentifizierung allein reichte nicht aus. Die Techniker der Bluetooth SIG kamen zu dem Schluss, dass ein modernes Identity-Managementsystem erforderlich sei. Zunächst prüften sie, ob sie eine eigene Lösung entwickeln, die Lösung eines bestehenden Anbieters kaufen oder lizenzieren oder eine Open-Source-Lösung konfigurieren sollten. Man entschied sich schnell und einstimmig für den Kauf.

Nachdem die Entscheidung für den Kauf gefallen war, machte sich das Technikteam daran, verschiedene Optionen und Angebote zu bewerten. Zu den Kriterien zählten nicht nur die technologischen Fähigkeiten, sondern auch Lizenzierungs- und Support-Aspekte. Für eine mögliche Partnerschaft kamen zwei Anbieter in Frage: Auth0 und ein Konkurrent.

Das Team nahm Kontakt zu beiden auf. Teil der Evaluierung war die Erstellung eines Proof of Concept, das die Leistungsfähigkeit sowohl von Auth0 als auch des Konkurrenten demonstriert. Dabei war der Konkurrent im Nachteil. Er bot keine OAuth 2-Funktionen und verwendete ein Lizenzmodell, das für die Bluetooth SIG keinen Sinn ergab. Auth0 präsentierte das überzeugendere Playbook, weil es die technologischen, lizenzrechtlichen und Support-Anforderungen erfüllte.

Die Bluetooth SIG entschied sich für Auth0 als Identity-Plattform. Den Ausschlag gaben nicht nur ihre technologischen Leistungsfähigkeit, sondern auch die hochmodernen Sicherheitsfunktionen, die erstklassige Dokumentation, der exzellente Kunden-Support und das hervorragende, optimal zur Organisation passende Lizenzmodell.

Die Rendite für Bluetooth SIG wurde primär anhand der Opportunitätskosten bemessen. Für jedes Mitglied des Entwicklungsteams, das mit der Erstellung und Wartung der Identity-Lösung hätte beauftragt werden müssen, hätte ein Teammitglied von der Arbeit an einem Projekt abgezogen werden müssen, das für die Mission der Organisation von zentraler Bedeutung ist.

Technologie

Auf technologischer Ebene erfüllte Auth0 alle Anforderungen der Bluetooth SIG. Die Integrationsmöglichkeit selbst ist das eine, den Ausschlag für das Technikteam gab jedoch die einfache Implementierung. Die Organisation verfügte bereits über verschiedene Anwendungen (sowohl Eigenentwicklungen als auch SaaS-Lösungen) und die moderne Identity-Lösung von Auth0 wurde ohne Codeänderungen bei der bestehenden Technologie implementiert.

Mit Auth0 konnte das Team Single Sign-On (SSO) und eine moderne Authentifizierung in die bestehende Legacy-Implementierung integrieren. Dadurch konnte das Team seine bestehende Benutzerdatenbank nutzen und den Mitgliedern Passwortrücksetzungen oder Ausfallzeiten ersparen. Zudem konnte das Technikteam eine Roadmap für die Migration definieren, die ihren Vorstellungen und ihren Plänen für die Zukunft entsprach.

Sicherheit

Die Bluetooth SIG brauchte eine Authentifizierungslösung, der sie hinsichtlich Sicherheit und Zugriff voll vertrauen konnte. Im Bereich der Sicherheit erfüllte Auth0 die Anforderungen mit einer sicheren Cloud-basierten Infrastruktur, die Verschlüsselung, das Hashing von Passwörtern und die Abwehr von Angriffen unterstützt. Der Support für standardbasierte Authentifizierungsprotokolle wie OpenID Connect und OAuth 2 stellte sicher, dass die Bluetooth SIG keiner Herstellerbindung unterliegt.

Die Bluetooth SIG brauchte ein hochgranulares Berechtigungssystem für ihre Benutzenden. Da sich verschiedene Mitgliedschaftsstufen und Arbeitsgruppen innerhalb der Organisation auf unterschiedliche Teile der Bluetooth-Spezifikation konzentrieren, kam es darauf an, die Zugriffskontrolle richtig umzusetzen. Die Organisation hatte bereits ein Berechtigungssystem definiert und Auth0 konnte die bestehenden Rollen und Berechtigungen nahtlos nutzen.

Dokumentation

Die erstklassige Dokumentation spielte eine wichtige Rolle bei der Schulung des Bluetooth SIG-Entwicklungsteams. Authentifizierung und Identity-Management sind für sich schon komplexe Themen, wenn dann aber noch verschiedene Standards und Implementierungen hinzukommen, können ihr Verständnis und die Implementierung schnell zur Mammutaufgabe werden.

Auth0 stellte Schnellstart-Tutorials in Kombination mit praxisnahen Codebeispielen zur Verfügung, sodass das Bluetooth SIG-Team schnell verschiedene Funktionen und Konfigurationen entwickeln und damit experimentieren konnte. Konkrete Codebeispiele, die heruntergeladen und ausgeführt werden konnten, waren ein Schlüsselfaktor, um dem Team zu vermitteln, wie alle Teile zusammengefügt werden und die Implementierung in der Praxis für ihre Plattform funktionieren würde. Ausführliche Anleitungen und Blog-Beiträge lieferten zusätzliche Informationen zu Vorgehensweisen und Best Practices für optimale Sicherheit und Leistung.

Lizenzierung

Das Lizenzierungsmodell von Auth0 passte perfekt zur Bluetooth SIG. Anstatt wie in der SaaS-Branche üblich monatlich eine Gebühr pro Benutzendem zu erheben, basiert das Lizenzmodell von Auth0 auf der aktiven Nutzung. Das bedeutet, dass einem Unternehmen, das Auth0 verwendet, nur dann Kosten entstehen, wenn sich ihre Benutzenden tatsächlich anmelden.

Die Mehrheit der Bluetooth SIG-Mitglieder fällt in die Kategorie „Adopter“. Von den 150.000 Benutzenden meldet sich die Mehrheit in der Regel nur ein paar Mal im Jahr an, um die neueste Dokumentation und die von der Organisation veröffentlichten Standards abzurufen. Ein Lizenzmodell, das pro Benutzendem abgerechnet wird, war in diesem Zusammenhang nicht sinnvoll. Die Abrechnung auf Basis der aktiven Benutzenden war wesentlich zielführender.

Support

Bluetooth SIG und Auth0 arbeiteten zusammen, um die Funktionen einer Proof-of-Concept- und Showcase-Plattform zu entwickeln. Nachdem die Entscheidung für Auth0 gefallen war, reagierte das Customer Success-Team schnell auf Fragen und Probleme. Probleme wurden schnell und transparent gelöst.

Eine Sorge des Managementteams im Zusammenhang mit der Auslagerung der Authentifizierung und der Benutzerverwaltung an einen Drittanbieter waren unerwartete Ausfallzeiten. Die nachgewiesene Transparenz von Auth0 in Bezug auf Vorfälle und Ausfallzeiten sowie das Engagement in der Community trugen dazu bei, dass sich das Managementteam mit seiner Entscheidung wohlfühlte, einem Drittanbieter einen der wichtigsten Aspekte seiner Plattform anzuvertrauen.

Auth0 erfüllt die heutigen Identity-Anforderungen der Bluetooth SIG und ist auch für zukünftige Anforderungen gerüstet. Für die Zukunft plant die Organisation, erweiterte Sicherheitsfunktionen wie Multi-Faktor-Authentifizierung und den impliziten OAuth 2-Ablauf hinzuzufügen, um noch mehr Kontrolle zu erhalten. Auth0 unterstützt beide Funktionen standardmäßig und steht bei jedem Schritt mit Rat und Tat zur Seite.

Letztendlich plant die Bluetooth SIG, ihre Benutzerdaten aus der bestehenden Datenbank zu migrieren und auf eine vollständig standardbasierte Infrastruktur umzusteigen, die OAuth und OpenID Connect unterstützt. Auch hier kann Auth0 mit umfassenden Migrationstools und Support punkten und einen reibungslosen Übergang gewährleisten.

Die Erfüllung der technologischen Anforderungen für moderne Identity- und Authentifizierungsprozesse ist wichtig, aber es genügt nicht, nur über die nötigen Tools zu verfügen. Eine Dokumentation, die den Entwicklungsteams klar erklärt und zeigt, wie die Authentifizierung richtig implementiert wird, sowie der Suport und die Transparenz bei Problemen, ein faires Lizenzmodell und eine angenehme Entwickler-Experience führten die Bluetooth SIG und ihr Technikteam zu Auth0.