News Mozilla Browser & E-Mail-Client: Firefox 122 bringt Passkey-Unterstützung

[mischaef]

Neben einigen neuen Funktionen und den üblichen Leistungsverbesserungen lernt Firefox 122 nun auch den Umgang mit Passkeys und will mittels KI auch gefälschte Rezensionen erkennen. Außerdem haben die Entwickler 15 Sicherheitslücken geschlossen. Ebenfalls erschienen sind Firefox ESR 115.7 und der E-Mail-Client Thunderbird 115.7.

Zur News: Mozilla Browser & E-Mail-Client: Firefox 122 bringt Passkey-Unterstützung

 

[Tenferenzu]

Darüber hinaus stellt Mozilla nun ein speziell gepflegtes Installationspaket (.deb) für Debian-basierte Linux-Systeme wie Debian selbst sowie dessen Derivate wie Ubuntu oder Linux Mint zur Verfügung.

Gab's nicht schon immer ein .deb oder ist das Wunschdenken meinerseits weil ich immer die Version von der Distro verwendet und nie nachgesehen habe? Bei z.B. Steam gibt's ja auch ein sich selbst updatendes .deb das ganz gut funktioniert.

 

[Termy]

Bin ja mal gespannt, wie gut das FakeSpot funktioniert

 

[konkretor]

Das jetzt Mozilla direkt ein DEB Repo pflegt find ich super.

Dazu gibt es hier noch einen Fork des Firefox aus Japan. Lässt sich gut anpassen und ist die ESR Version.
https://github.com/Floorp-Projects/Floorp

 

[riloka]

Da bin ich etwas skeptisch ob das funktioniert. Vermutlich reine Häufigkeitsverteilung die nicht funktioniert wenn das individuell geschrieben wird statt Textbausteine zu verwenden.

Ergänzung (24. Januar 2024)

Dazu gibt es hier noch einen Fork des Firefox aus Japan. Lässt sich gut anpassen und ist die ESR Version.
https://github.com/Floorp-Projects/Floorp

Wofür immer Forks? Das meiste lässt sich auch so machen.

 

[Hot Dog]

Klingt für mich eher danach, dass Mozilla hier auf einen Trend aufspringt, welcher eigentlich nicht wirklich notwendig ist. Also ich halte von Passkeys mal nicht all zu viel.
Zudem wäre ich sehr vorsichtig, alle meine Passwörter einem Browser zu Verfügung zu stellen, das kann auch ganz schnell ganz übel nach hinten losgehen.
Meine Empfehlung (nach wie vor): OpenSource Password-Safe (z.B. KeePass) mit einem ausreichend langen und heterogenen Master-Passwort (bei mir 30 Stellen). Nach Wunsch kann diese Datenbank dann noch zusätzlich mit z.B. einem VeraCrypt-Container abgeriegelt werden, in welchem sich dann die Datenbank-Datei zum Öffnen für KeePass aufhält.

 

[riloka]

Ob ich jetzt einen separaten PasswortTresor habe wie Keepass oder es mein Browser verwaltet ist insofern egal dass jeder der Code auf meinem Rechner ausführen kann alles abgreifen kann.
Immerhin habe ich dann sichergestellt dass die Passwörter sicher sind und unterschiedlich und man kein Credential Stuffing betreiben kann wenn mal irgendwo ein Server aufgemacht wird.

 

[gustlegga]

Wer sich fragt und wie ich auf dem FF ESR sitzt, wann das diese Version dann Passkey bekommt:
Das nächste ESR Hauptrelease kommt am 13. Mai (Nightly) bzw. die Final dann am 9. Juli mit Version 128.
Bei den Minorversionen gibts ja nur Sicherheitspatches.
https://whattrainisitnow.com/calendar/

 

[SlaterTh90]

Klingt für mich eher danach, dass Mozilla hier auf einen Trend aufspringt, welcher eigentlich nicht wirklich notwendig ist. Also ich halte von Passkeys mal nicht all zu viel.
Zudem wäre ich sehr vorsichtig, alle meine Passwörter einem Browser zu Verfügung zu stellen, das kann auch ganz schnell ganz übel nach hinten losgehen.

Passkeys basieren auf Public/Private Keys. Das ist eher mit SSH-Schlüsseln als mit Passwörtern vergleichbar. So wie Firefox das umgesetzt hat, kann der Browser auch überhaupt nichts klauen dabei. Die Schlüssel bleiben auf einem externen Authenticator oder vom Betriebssystem gesichert. Meiner Meinung nach ist das definitiv die Zukunft - nicht nur viel einfacher zu nutzen als Passwörter, sondern auch noch sicherer.

 

[Domi83]

Klingt interessant, werde ich mir die Tage mal anschauen. Kann man eigentlich irgendwo über about:config im Thunderbird das gruppieren von E-Mails abschalten?

Dank Outlook (von der Arbeit) komme ich mit diesem drei spalten System ganz gut damit klar, aber diese Gruppierung in Thunderbird mag ich nicht. Bei Outlook (gerade outlook.com) finde ich das doch ganz OK.

Gruß, Domi

 

[Hot Dog]

Passkeys basieren auf Public/Private Keys. Das ist eher mit SSH-Schlüsseln als mit Passwörtern vergleichbar. So wie Firefox das umgesetzt hat, kann der Browser auch überhaupt nichts klauen dabei. Die Schlüssel bleiben auf einem externen Authenticator oder vom Betriebssystem gesichert. Meiner Meinung nach ist das definitiv die Zukunft - nicht nur viel einfacher zu nutzen als Passwörter, sondern auch noch sicherer.

Sehe ich nicht so. Wenn dein privat passkey jemals abhanden kommen sollte, ist dies der Master-Schlüssel für Dritte, so ziemlich alle Services zu infiltrieren, mit welchen du über Passkeys abgesichert bist.
Klar, das Risiko wird wohl sehr klein sein, aber dennoch würde ich das niemals freiwillig eingehen wollen.
Selbes gilt natürlich auch für die ach so sicheren biometrischen Verschlüsselungen. Ist dein Fingerabdruck (oder Iris-Scan) einmal im Netz, wars das mit deiner Sicherheit und du kannst nicht eben mal so deine Fingerkuppen abschleifen o.ä.
Was in deinem Kopf abgespeichert ist, wird auf sehr, sehr, sehr lange Zeit immer sicherer sein, als etwas was physisch gebunden ist (zumindest bis Neural-Link Fahrt aufnimmt, aber das dauert noch Jahrzehnte und ist zudem rein freiwillig).

 

[Tenferenzu]

Kann man eigentlich irgendwo über about:config im Thunderbird das gruppieren von E-Mails abschalten?

Klick ev. mal hier:

Ich weiß nicht genau ob du das meinst aber ich musste nach dem Umstieg auf 115 erstmal suchen wie ich das ändern kann.
Das wären E-Mailbäume/Konversationen die dann auch als solche angezeigt/ausgeklappt werden können. Gerade in großen Emailketten mit vielen Teilnehmern finde ich das sooo viel besser/übersichtlicher als die Lösung von Outlook, die alles in einen chronologischen Faden gibt.

 

[Der-Orden-Xar]

Meiner Meinung nach ist das definitiv die Zukunft

Halte ich noch für Fragwürdig. Es gibt keine Möglichkeit cross-plattform zu syncen, auch nicht via manuellen Ex- und Import (letzteres theoretisch auch für ein offline Backup interessant).
Damit ist das einrichten auf jeden gerät aufs neue - zumindest pro Ökosystem - nicht unbedingt das nutzerfreundliche für die Allgemeinheit.

 

[WinnieW2]

Wer sich fragt und wie ich auf dem FF ESR sitzt, wann das diese Version dann Passkey bekommt:
Das nächste ESR Hauptrelease kommt am 13. Mai (Nightly) bzw. die Final dann am 9. Juli mit Version 128.

ESR-Versionen erhalten keine Feature-Updates, nur Sicherheitsupdates.
Ausserdem wird Version 115.15esr die letzte Version dieser Reihe sein, und die Unterstützung älterer Windows-Versionen als 10 damit im September diesen Jahres beendet.

Die Unterstützung für Passkeys ist bislang auch nur in die MacOS-Version von Firefox, in der Linux- und Windows-Version ist bislang nichts davon zu sehen.

 

[Marc_N]

Wenn dein privat passkey jemals abhanden kommen sollte, ist dies der Master-Schlüssel für Dritte, so ziemlich alle Services zu infiltrieren, mit welchen du über Passkeys abgesichert bist.

Nein, das stimmt so nicht ganz. Für jeden Dienst wird bei der Registrierung auf Nutzerseite ein eigenes Public-Private Schlüsselpaar erzeugt. Der öffentliche Schlüssel wird danach immer an den Dienst übertragen, der private Schlüssel (in verschlüsselter Form) aber nur unter bestimmten Umständen. Das kann z.B. bei Hardware-Tokens wie YubiKey der Fall sein, da diese meist mit wenig Speicherplatz ausgestattet sind.

Übernimmt aber das Betriebssystem (Windows, MacOS, Android, iOS) oder eine separate Software (Bitwarden, 1Password, KeePassXC (alpha) usw.) das Managen der Schlüssel, verbleiben diese auf den Geräten bzw. der Cloud der Anbieters. Je nach Methode können sie dann (wie normale Passwörter bislang auch) auf verschiedenen Geräten gesynct werden.

Selbes gilt natürlich auch für die ach so sicheren biometrischen Verschlüsselungen. Ist dein Fingerabdruck (oder Iris-Scan) einmal im Netz, wars das mit deiner Sicherheit und du kannst nicht eben mal so deine Fingerkuppen abschleifen o.ä.

Biometrische Merkmale (Fingerabdruck, Iris) dienen nur dazu die privaten Schlüssel auf einem Geräte zu sichern. Sie werde nicht an die Dienste, bei denen man sich registriert, übertragen. In der Regel kann man sie durch PIN und Passwörter ergänzen oder ersetzten.

Halte ich noch für Fragwürdig. Es gibt keine Möglichkeit cross-plattform zu syncen, auch nicht via manuellen Ex- und Import (letzteres theoretisch auch für ein offline Backup interessant).

Passkeys werden mittlerweile von vielen Passwort-Sync Anbietern (LastPass, Bitwarden, 1Password, usw) unterstützt. KeePassXC ist gerade dabei Passkeys zu implementieren.

 

[Domi83]

Ich weiß nicht genau ob du das meinst

Ja, genau den meine ich... aber das muss ich ja für jedes Verzeichnis einstellen. Ich hätte gerne einen "default" Parameter über about:config, wo ich sagen kann "hör auf damit"

In den älteren Versionen muss ich das einmal alles einstellen und dann für alle Ordner recursiv durchreichen. Ja, ist eine Möglichkeit, aber wenn Thunderbird und IMAP zicken, muss man den Ordner reparieren und wieder die Einstellungen anpassen.

Hier wäre es halt gut, wenn man das als default Wert hinterlegen kann. Aber das ist am Ende auch "jammern auf hohem Niveau", denn Thunderbird nutze ich seit über 10 Jahren (auch im alten Unternehmen) und möchte es nicht missen. Da gibt es echt schlechteres und sogar schlechteres, was man bezahlen soll.

 

[jimmy13]

@Domi83
Vielleicht ist ja hier was dabei. Bin aber nicht sicher, weil ich die Gruppierung eher behalten und mir jetzt nichts zerschießen will.
Themenbäume in TB

 

[Domi83]

Top, ich hatte den falschen Wert genommen, aber mit "mailnews.default_view_flags" lässt es sich anpassen.

Vielen Dank!

 

[Haldi]

Wenn dein privat passkey jemals abhanden kommen sollte, ist dies der Master-Schlüssel für Dritte, so ziemlich alle Services zu infiltrieren, mit welchen du über Passkeys abgesichert bist.

Hä?
Du machst mit jedem Service einen eigenen Separaten Passkey. Und zwar nur wenn du dort eingeloggt bist.
Sowas wie nen "Master passkey" gibt es nicht, bringt dir auch nix wenn du nicht sowieso bei einem Service bereits angemeldet bist.

 

[machiavelli1986]

Nein, das stimmt so nicht ganz. Für jeden Dienst wird bei der Registrierung auf Nutzerseite ein eigenes Public....

danke für die Präzisierungen hier.👍️
Ist ja grauenhaft was für Halbwissen und Mist hier zum Thema Passkey von sich gegeben wird.