News Mozilla Browser & E-Mail-Client: Firefox 122 bringt Passkey-Unterstützung

[gustlegga]

ESR-Versionen erhalten keine Feature-Updates, nur Sicherheitsupdates.

und was hab ich geschrieben .....?

Bei den Minorversionen gibts ja nur Sicherheitspatches.
https://whattrainisitnow.com/calendar/

Deswegen muss man ja auch warten bis eine neue Hauptversion aka Major-Release kommt....

 

[Pankrat]

Find ich super. Implementiere gerade Passkeys für die Webseite meines Arbeitgebers und das ist schon ziemlich nutzerfreundlich, ging aber bisher leider nur mit Safari und Chrome (unter MacOS). Gerade eben getestet: Registrierung von Passkeys, Authentifizierung und Autofill UI funktionert alles - sobald man das Username oder Passwortfeld anvisiert, ist aber etwas verborgener als unter Safari. Dafür geht ein sekundenschneller sicherer Login auch ohne Plugins oder Konfiguration browserübergreifend zwischen Safari, Chrome und jetzt auch Firefox.

 

[WinnieW2]

und was hab ich geschrieben .....?

Also wenn mein Textverständnis mich nicht verlassen hat, dann bedeutet deine Aussage dass die nächste ESR-Version von Firefox Passkeys unterstützen wird.
Falls du damit die Version 122.0esr meinst, da wird wohl ebenfalls nur die Version für macOS eine Unterstützung für Passkeys haben.
Oder meintest du das?

 

[gustlegga]

Also wenn mein Textverständnis mich nicht verlassen hat, dann bedeutet deine Aussage dass die nächste ESR-Version von Firefox Passkeys unterstützen wird.

Ja die nächste ESR wird das dann haben. Das ist dann allerdings basierend auf Firefox 128, da beim ESR ja nur alle 1,5 Jahre eine neue Hauptversion kommt. Der normale FF aber ein Rolling-Release ist der alle paar Wochen in der Versionsnummer angehoben wird und laufend irgendwas neues eingebaut bekommt.
Ich hab den ESR selber jetzt seit vielen Jahren in Gebrauch, anfangs noch weil die Addon-Entwickler oft mit dem "normalen" FF nicht nachkamen und Addons dann wieder mal nach einem Browserupdate nicht gingen (jaja, ich weiß, da gabs auch Möglichkeiten) und mittlerweile muss ich auch nicht immer jedes neue (eventuell buggy) Feature sofort haben. Mit nem halben Jahrhundert auf dem Tacho sieht man da einiges entspannter.

Klick doch einfach mal auf den Link den ich vorher auch schon gepostet hab. Das ist der Update-Kalender.
https://whattrainisitnow.com/calendar/

EDIT: Eigentlich sinds beim ESR 12 Monate Zyklus und weitere 3 Monate Übergangszeit wo die alte und neue Version zusammen Sicherheitspatches bekommen. Also insgesamt 15 Monate und nicht wie ich fälschlich schrieb 1,5 Jahre.

 

[WinnieW2]

Ich nutze seit 2010 die reguläre Version von Firefox und hatte noch nie irgendein Problem mit dem Programm; ich wüsste nicht weshalb ich die ESR-Version davon nutzen sollte.

 

[gustlegga]

@WinnieW2
Wenn du es nicht weist, dann brauchst du ihn auch nicht.
(Das ist so ähnlich wie Root Rechte am Android Smartphone ^^)
Es muss aber nicht jeder Usecase dem deinen entsprechen.
Ich nutze den FF schon als das Ding noch Netscape Navigator hies.

 

[Hyourinmaru]

Sehr schön, sehr schön. ^^ Habe bereits in der Nightly etwas damit rumspielen können; schön, dass Passkeys jetzt auch den Weg in den normalen Firefox gefunden haben, nachdem Chrome das schoin länger kann. ^^
Natürlich müssen auch die Dienste die Erstellung und Nutzung von Passkeys entsprechend unterstützen, Google-Konto bspw. geht problemlos, der Bitwarden Web Vault hingegen legt zwar korrekt einen Passkey mit der Windows Hello PIN in Verbindung mit dem TPM an, allerdings will der diesen dann beim Login in den Vault partout nicht verwenden.
Das Sahnehäupchen wäre mMn noch, wenn Firefox andere FF-Instanzen mit einem angemeldeten Mozilla-Account (Android-Handy/-Tablet) erkennen könnte und so bspw. am Desktop den Sicherheitsspeicher des Android-Handys triggern und auf diesem gespeicherte Passkeys nutzbar wären.

Wenn die Devs jetzt noch wieder PWAs nativ für Desktop und Mobile implementieren, nachdem sie SSB ersatzlos gestrichen haben, das Hauptkennwort für den Firefox-internen Passwort Vault optional im Sicherheitsspeicher (TPM/Secure Enclave) des jeweiligen Geräts in Verbindung mit der API des OS (DPAPI/Gnome Keyring/KWallet/Keychain) hinterlegt werden kann und auf Tablet-Geräten optional auch eine normale Tab-Leiste statt des Buttons für das Tab-Raster angezeigt werden kann, bin ich vollends zufrieden mit dem Wechsel von Chrome hin zu Firefox und Firefox kann dann gerne wieder auf Marktanteile-Jagd von Chrome gehen. Da hat man die letzte Dekade über ja einiges verloren.

Seit Version 120 kann Firefox ja immerhin schonmal den 3rd Party Stammzertifikaten, die im OS hinterlegt sind, vertrauen. Gerne so weitermachen. ^^

 

[notnitro]

danke für die Präzisierungen hier.👍️
Ist ja grauenhaft was für Halbwissen und Mist hier zum Thema Passkey von sich gegeben wird.

Gruselig oder?

Hier eine Infografik dazu bzw. kurze Übersicht

Aber bitte beachtet auch hier die Info kommt von einem Anbieter/Vertreiber. Also keine wissenschaftliche Quelle!

https://www.yubico.com/resource/passkey-infographic/

 

[elefant]

Mal 1-2 Screenshots wie man PassKey nun einbindet wären cool gewesen.
Windows Single-Sign-On / Windows Hello finde ich

 

[Fritzler]

Wann gibts endlich ein Geschwindigkeitsupdate für Thunderbird?
Seit der Umstellung auf die "neue Technologie" ist es grottenlahm, fast unbenutzbar.
Klickste auf ne Mail und es dauert 1-2 sek bis diese gerendert/angezeigt wird.
Da is ja inzwischen Schrottlook schneller, im Browser!

 

[AGB-Leser]

Das jetzt Mozilla direkt ein DEB Repo pflegt find ich super.

Dazu gibt es hier noch einen Fork des Firefox aus Japan. Lässt sich gut anpassen und ist die ESR Version.
https://github.com/Floorp-Projects/Floorp

Was hat der für Vorteile?

Ergänzung (25. Januar 2024)

Aber mit den Schlüsseln konnte Firefox vorher auch schon umgehen, deswegen verstehe ich das nicht, warum das eine Neuigkeit sein soll. Oder kann man jetzt mit Firefox die Dinger verwalten? Vorher brauchte man immer Chrome. Der Artikel schweigt sich da ja leider komplett aus

 

[kim88]

Aber mit den Schlüsseln konnte Firefox vorher auch schon umgehen, deswegen verstehe ich das nicht, warum das eine Neuigkeit sein soll.

Weil die Neuigkeit inkorrekt ist. Und es so auch nicht im Changelog steht. Firefox kann mit Version 122 unter MacOS. Quasi auf die "Apple iCloud Passkeys" zugreifen (bzw solche erstellen). Passkeys mit klassischen Keys (wie Yubikey) kann Firefox schon länger - unter allen Betriebsystemen.

So steht es im Changelog:

Firefox now supports creating and using passkeys stored in the iCloud Keychain on macOS.

https://www.mozilla.org/en-US/firefox/122.0/releasenotes/

 

[Hot Dog]

Der öffentliche Schlüssel wird danach immer an den Dienst übertragen, der private Schlüssel (in verschlüsselter Form) aber nur unter bestimmten Umständen.

Ja, das is schon klar. Aber dennoch ist dein privater Schlüssel nicht 100% sicher.

Biometrische Merkmale (Fingerabdruck, Iris) dienen nur dazu die privaten Schlüssel auf einem Geräte zu sichern. Sie werde nicht an die Dienste, bei denen man sich registriert, übertragen.

Auch hier gilt: Du hast keinerlei Kontrolle darüber, wo und wann diese Daten gespeichert werden. Wenn die im Hintergrund an den Betreiber (oder unbefugte Dritte) abfließen, bekommst du das idR noch nicht einmal mit. Und nochmal: Sollte das auch nur ein einziges mal passieren, wars das mit deiner Sicherheit.

Du machst mit jedem Service einen eigenen Separaten Passkey.

Aber dein privater Schlüssel bleibt doch immer der selbe oder nicht (zwecks Wiedererkennung)? Oder hat man dann am Ende 30 verschiedene private Schlüssel rumfahren, für jeden Dienst/Service einen?

 

[Haldi]

Oder hat man dann am Ende 30 verschiedene private Schlüssel rumfahren, für jeden Dienst/Service einen?

Exakt.

 

[Hot Dog]

Exakt.

ok verstehe, danke. Aber ab dann bleibt jeder private Schlüssel für den jeweiligen Dienst konstant gleich, richtig? Also ich kann mir nicht vorstellen, dass bei jedem Login ein komplett neuer, privater Schlüssel erstellt wird, natürlich könnte ich mich aber auch irren.
Und sofern das der Fall sein sollte gilt:
Das macht einen Identitätsdiebstahl zwar ein kleines bisschen schwieriger, aber im Grunde ändert es nichts an den Grundbedenken. Wenn ich einmal Zugriff auf die privaten (sich nicht mehr verändernden) Schlüssel bekomme, kann ich die theoretisch zweckentfremden. Aber wie gesagt, gilt nur dann, wenn der obere Absatz zutrifft.

 

[aid0nex]

Ich bin nicht nur seit vielen Jahren stolzer Firefox und Thunderbird Nutzer, sondern seit Mitte letzten Jahres auch monatlicher Spender (Dauerlastschrift) von Mozilla! Ich hoffe damit meinen Beitrag für den Erhalt eines freien Internet leisten zu können. Es ist und bleibt das beste Open Source Projekt!

Ergänzung (25. Januar 2024)

Passkeys basieren auf Public/Private Keys. [...] Meiner Meinung nach ist das definitiv die Zukunft - nicht nur viel einfacher zu nutzen als Passwörter, sondern auch noch sicherer.

In vielen Bereichen ist das sogar schon absoluter Standard. Bei uns im Unternehmen ist auf dem Mitarbeiterausweis, der eine Smartcard mit NFC, Magnetstreifen und Goldchip ist, ein Private Key gespeichert. Mit dem kann man sich dann überall authentifizieren und einloggen, ganz egal ob auf dem Linux Server, dem Mitarbeiterportal oder um das Büro zu betreten.

 

[Hot Dog]

Bei uns im Unternehmen ist auf dem Mitarbeiterausweis, der eine Smartcard mit NFC, Magnetstreifen und Goldchip ist, ein Private Key gespeichert. Mit dem kann man sich dann überall authentifizieren und einloggen, ganz egal ob auf dem Linux Server, dem Mitarbeiterportal oder um das Büro zu betreten.

Das heißt ich müsste mir im Grunde nur einen solchen Ausweis einer eurer Mitarbeiter krallen und ich käme quasi überall rein?

Theoretisch wird der Diebstahl schwerer, da das Passwort nicht mehr übertragen wird.

Gut, da is was dran. Aber solange es Jahrzehnte braucht um ein ausreichend langes Passwort zu knacken, spielt das auch keine all zu große Rolle mehr. Und an ein Passwort kommt man mit absoluter Sicherheit schwerer ran, als an einen privaten Schlüssel (es sei denn man ist verrückt genug, das Passwort auf Papier zu verewigen).

Es ist extrem aufwendig (lies: in machbarer Zeit unmöglich) den privaten Schlüssel zu rekonstruieren.

Ja, das is auch klar. Aber Ich beziehe mich auf das Entwenden des/der privaten Schlüssels, nicht auf das Rekonstruieren.

 

[Der-Orden-Xar]

Das macht einen Identitätsdiebstahl zwar ein kleines bisschen schwieriger, aber im Grunde ändert es nichts an den Grundbedenken. Wenn ich einmal Zugriff auf die privaten (sich nicht mehr verändernden) Schlüssel bekomme, kann ich die theoretisch zweckentfremden.

Theoretisch wird der Diebstahl schwerer, da das Passwort nicht mehr übertragen wird.
Der Server sendet eine Challange, das OS (oder wer auch immer deinen privaten Key verwaltet) löst die Challange, das heißt anders ausgedrückt signiert mit dem privaten Schlüssel und diese Signatur wird zurückgesendet. Mittels öffentlichen Schlüssel (den der Server kennt) kann die Echtheit der Signatur überprüft werden.
Das prüfen solcher digitalen Signaturen ist nichts neues.

Den öffentlichen Schlüssel könntest du auch hier ins Forum schreiben, selbst wenn computerbase passkey zur Anmeldung unterstützen würde. Es ist extrem aufwendig (lies: in machbarer Zeit unmöglich) den privaten Schlüssel zu rekonstruieren.

 

[AGB-Leser]

Weil die Neuigkeit inkorrekt ist. Und es so auch nicht im Changelog steht. Firefox kann mit Version 122 unter MacOS. Quasi auf die "Apple iCloud Passkeys" zugreifen (bzw solche erstellen). Passkeys mit klassischen Keys (wie Yubikey) kann Firefox schon länger - unter allen Betriebsystemen.

So steht es im Changelog:



https://www.mozilla.org/en-US/firefox/122.0/releasenotes/

Das klingt ja schon anders. Danke dir

 

[aid0nex]

Das heißt ich müsste mir im Grunde nur einen solchen Ausweis eines eurer Mitarbeiter krallen und ich käme quasi überall rein?

Nope, du brauchst immer noch die PIN der Karte.