News Passkeys: Google läutet die Zukunft ohne Passwörter ein

[RAMSoße]

in einem Artikel auf Golem.de habe ich folgendes gelesen und stimme dem zu 100% zu:

Ist dein Passwort geklaut worden? -> machst du ein Neues
Ist dein biometrischer Abdruck geklaut worden? ...hackst du dir den Finger ab?

darüber sollte man mal nachdenken....

 

[forstman94]

Vorsicht, dieser Artikel enthält Pressepropaganda und Gläserner-Nutzer-Bringt-Mehr-"Sicherheit"(-aber-uns-mehr-Daten)-Narrative.

 

[Donnerkind]

Nach meinem Verständnis des Ansatzes: gar nicht. Jedes "Gerät" ist ein unabhängiger Schlüssel.

Das hätte den Vorteil, dass man bei Verlustigwerden eines Gerätes nur dieses eine sperren könnte, indem man über ein anderes Gerät zu den Seiten geht und dann den Zugang des weggen Geräts löscht. So habe ich aktuell meine ssh-Keys für passwortlosen Zugang zwischen meinen Rechnern eingerichtet - ein Key pro Gerät und Benutzer (bei mir als einzigem Nutzer ein überschaubarer Aufwand).

Da ich so ein Spezi bin, der gern Kontrolle über seine Daten hat (und auch wissen will, was wo im Hintergrund passiert), mag ich meinen KeepassXC-Container, den ich per Filesync zwischen meinen Geräten aktuell halte. Das reicht mir. Mit sensiblen Passwörtern hantiere ich prinzipiell nicht auf Android, weil mir das zu unsicher ist (veraltete Version, verborgene Dienste, unbekannte Schwachstellen usw.).

 

[0xffffffff]

Ich warte noch immer darauf, dass es endlich eine Regulierung von Identity-Providern gibt. Sich mit seinem Google-, Microsoft-, Apple- etc... Konto anzumelden ist schön und gut.

Solange diese Anbieter aber einfach nach eigenem gusto Benutzerkonten gemäß irgendwelcher AGB Sperren, Bannen oder Löschen können würde ich einen teufel tun sowas zu nutzen.

 

[Haldi]

ComputerBase plant die Nutzung von Passkeys, wartet allerdings auf ein entsprechendes Update der Foren-Software, die das Login-System beinhaltet.

Also in 3-5 Jahren vielleicht mal....


Ich nutze momentan KeepassXC mit einer Datenbank auf meinem NAS. die wird vom PC abgerufen und auf dem Handy und Tablet Synchronisiert.
Sofern also nicht alle 3 Geräte Zeitgleich defekt gehen kein Problem.


Ob ich nun den Passwortanager KeepassXC nutze oder eine Externes Tool welches Passkeys managed. Was für ein Unterschied macht das?
Freue mich darauf.
Hoffentlich auch bald von unabhängigen Tools und nicht nur Google oder Apple.

 

[Azeron]

Ja @andy_m4 ich wollte eigentlich nur verdeutlichen wie UNWAHRSCHEINLICH es nunmal ist dass man plötzlich den einen Finger verliert im Gegensatz zu den anderen Szenarien die ja am laufenden Band auftreten aber danke für deinen Kommentar.

 

[Azdak]

PW im Kopf -> sicherer

PW im Kopf, ja, so mache ich das auch.

Nein, nein, nein, nein.
Warum? PW im Kopf bedeutet mit an Sicherheit grenzender Wahrscheinlichkeit, dass die Passwörter weder lang, noch zufällig sind. Wer bitte merkt sich 20-, 30- oder 40-stellige Zeichensuppe? Eher niemand. Und ist das Passwort nicht lang und zufällig, ist es einfach kein gutes PW sondern Selbsttäuschung.
Wenn sich doch einer die Mühe macht, dann hat er überall das gleiche PW und damit ist es auch wieder für den Hintern.
Als einzige Ausnahme lasse ich gelten, wenn dieses eine PW dann das PW für den Passwortmanager ist.

Passwörter sind die Pest und gehören abgeschaft. Daher ein sehr gut von mir für die Initiative. Ob ich ein hoch vernetztes System wie ein Smartphone dafür nutzen will, weiß ich noch nicht so recht. Aber immer noch besser als Passwörter!

 

[superpeppi]

so schlecht wie der fingerabdrucscanner in meinem pixel 7 fukntioniert, wäre das aktuell nichts für mich.

Bei meinem P7 Pro, verrichtet der seinen Dienst einwandfrei...

 

[Benzky]

Nur her damit, so schnell wie möglich. Ich krieg die Krise mit meinem 8 Millionen Accounts im Netz.

 

[Precide]

Herrlich, ausgerechnet Google kümmert sich um biometrische Verfahren, obwohl deren Pixel Serie einen absoluten miesen Fingerabdrucksensor (auch noch optisch!) hat und dazu ein ebenso unsicheres optisches Face Unlock.

 

[Falc410]

in einem Artikel auf Golem.de habe ich folgendes gelesen und stimme dem zu 100% zu:

Ist dein Passwort geklaut worden? -> machst du ein Neues
Ist dein biometrischer Abdruck geklaut worden? ...hackst du dir den Finger ab?

darüber sollte man mal nachdenken....

Und was hat das mit dem Thema hier zu tun? Gar nichts.

 

[flaphoschi]

Passkeys sind endanwenderfreundliche Version von privaten SSH-Keys.

Wer den Passkey verliert oder den keinen Zugriff darauf, hat hoffentlich Login und Passwort.

Angemerkt soll sein:
Google und Konsorten stehen gerne bereit die Passkeys in Ihrer Cloud zu speichern. Und genau das sollte man tunlichst nicht tun, Schlüssel gehören lokal gesichert auf eine Stick.

Das ändere dein Passwort-Tag ist blödsinn. Private, persönliche Passwörter sind geheim und nur zu ändern, wenn man eine Grund hat. Das BSI hat vor Jahren eingesehen und rät ab!
https://www.heise.de/news/Passwoert...om-praeventiven-Passwort-Wechsel-4652481.html

Dass wir nicht mehr im alten Römerlager sind und nicht alle ein allgemeines Kennwort (jaja, die Übersetzung von Microsoft…) haben. Wenn man sinnlose Passwortwechsel erzwingt, bekommt man schlechte Passwörter. Die IT steckt leider voller historischer Irrtümer und Märchen (beste Beispiele: Linux eigenet sich nicht zum Spielen, Computer werden schneller also müssen Passwörter länger werden, nur als Admin kann man vernünftig arbeiten, Swap 2x so groß wie RAM, mehr Takt gleich schneller…).

Biometrie:
Biometrie ist ein Zugangsverfahren, aber eben auch mit Vor- und Nachteilen. Bei Verletzung im Gesicht oder Finger ist schnell Schluss. Dafür muss man nichts wissen und kein physisches Medium mitführen.
Passwörter kann man etwa mit Gewalt erlangen. Für Biometrie ist nichtmal Gewalt erforderlich. Und im schlimmsten Fall ist der Körperteil dann der Schlüssel.

http://news.bbc.co.uk/2/hi/asia-pacific/4396831.stm

Diebe schneiden die Finger ab. Und auf die Idee sind sie 2005 schon gekommen. Kinder pressen den Finger der Eltern mit Gewalt auf das Handy oder halten euch das Ding in euer Gesicht. Je nach Kritikalität sollte man also schlau wählen und hinterfragen ob Biometrie sinnvoll ist.

So eine Autoschlüssel ist ganz praktisch und jeder versteht was man damit tun kann. Weitergeben, Sachen notdürftig schrauben, braucht kein Internet oder Batterie (Strom Wegfahrsperre kommt aus dem Auto).

 

[Yuuri]

Here's Why [Insert Thing Here] Is Not a Password Killer

Schon gruselig, wie aggressiv man versucht Passkeys zu pushen. Schön weiter in die Abhängigkeit des (Cloud) Providers rein...

An den ganzen Kommentaren über mir sieht man, dass sie das Konzept nicht verstanden haben. Weder gebt ihr biometric Preis noch Weiss ein Dienst wo ihr euch anmeldet und euren Fingerabdruck müsst ihr auch nicht wechseln. Bevor man kompletten Unsinn postet, sollte man sich erst einmal grundlegend mit der Technik auseinandersetzen.

Liegt wohl auch einfach daran, dass einem "Passkey" aufgedrückt, aber niemals erklärt wird. Nicht mal abstrakt.

Also keine wirklich neue Technik.

Nein, via SSH praktisch schon seit Jahrzehnten in Verwendung. Allerdings würde wohl niemand bei Verstand ausschließlich auf einen SSH Key setzen. Das ist einfach nur dumm. Genauso sehe ich Passkeys auch - als weiterer/alternativer Faktor ok, aber sobald man Passwörter ersetzt, lass ich das ganz fix aus, insofern es keine sinnvolle Implementierung in den üblichen Passwortmanagern gibt und ich auch nicht die volle Kontrolle darüber besitze.

Gibts eigentlich schon eine halbwegs seriöse (CCC o.ä.) Betrachtung von dieser "ultimativen" Authentifizierung (aus allen Blickwinkeln, nicht nur der Technik, sondern auch Kontrolle, Umgang und Komfort)? Denn ich bezweifel ein wenig, dass das Konzept "Passwortmanager" (richtig umgesetzt), an Praktikabilität verliert.

Ich habe mir mal sagen lassen, dass PW (ggf. mit TOTP) immer noch eine Option sein wird, egal wo. Somit habe ich solche Schlüssel immer nur als Nachteil gesehen, denn man erschafft sich so nur ein weiteres mögliches Einfalltor für einen Angreifer. Stimmt das denn?

Ich hoffe. Denn das Konzept aktuell hat für mich eher nur Nachteile (außer ggf. der "erhöhten Sicherheit"), insofern man nen Passwortmanager für alles verwendet.

Nur her damit, so schnell wie möglich. Ich krieg die Krise mit meinem 8 Millionen Accounts im Netz.

Die hast du dann auch weiter... Accounts werden deshalb nicht abgelöst.

 

[0xffffffff]

Wer bitte merkt sich 20-, 30- oder 40-stellige Zeichensuppe? Eher niemand. Und ist das Passwort nicht lang und zufällig, ist es einfach kein gutes PW sondern Selbsttäuschung.

Darf ich vorstellen: Sätze oder zusammenhangslöse Wörter als Passphrase
Beispiel: "Computer Computer an der Wand, wer ist der beste Forennutzer im ganzen Land?"

Und je schwachsinniger, umso leichter zu merken. Dank mir später!

 

[guggi4]

An den ganzen Kommentaren über mir sieht man, dass sie das Konzept nicht verstanden haben. Weder gebt ihr biometric preis noch weiß ein Dienst wo ihr euch anmeldet und euren Fingerabdruck müsst ihr auch nicht wechseln. Bevor man kompletten Unsinn postet, sollte man sich erst einmal grundlegend mit der Technik auseinandersetzen.

Stimme ich grundsätzlich zu, allerdings hätte ich mir auch von CB erwartet, dass man die Technik kurz erklärt. Damit hätte man sich einige solche Kommentare ersparen können (zumindest von jenen, die den Artikel auch vollständig lesen und verstehen, bevor sie posten 😛)

 

[Knuddelbearli]

Wenn weiterhin ein Passwort basierter Login erlaubt ist dann ist das ein mögliches einfallstor für den Angreifer. Daher am besten konsequent nur noch passkeys in Zukunft

Au ja und sich Google und Co ausliefern, die dann genau wissen, wann du dich wo einloggst, großartig ...
Bei so einer Datenmacht würde ich nicht mal der Mozilla Foundation trauen...

 

[GrumpyCat]

Ist dein Passwort geklaut worden? -> machst du ein Neues
Ist dein biometrischer Abdruck geklaut worden? ...hackst du dir den Finger ab?

Bei dem Verfahren gibt man nur per Fingerabdruck dem Handy die Erlaubnis, den eigenen auf dem Gerät in einem "sicheren" Speicherbereich aufbewahrten Private Key zum Anmelden beim jeweiligen Dienst zu benutzen. Das ist also nur Konvention. Technisch könnte man statt Fingerabdruck auch Gesichtserkennung oder Passwort benutzen oder den Schritt einfach ganz weglassen.

Aber ja, Biometrie ist meistens Komfort, nicht wirklich Sicherheit.

 

[C.J.]

Das große Problem, das ich sehe, ist, dass sie Passkeys halt nur auf dem Gerät liegen. Is das Gerät weg, kaputt oder nicht zugänglich und ich konnte die nicht irgendwie woanders speichern komm ich da nicht mehr rein, wenn ich nicht doch noch Passwörter habe.

Das ist auch das allererste, an das ich bei dem Thema denken muss. Es herrscht das allgemeine Axiom, dass das eigene Smartphone immer verfügbar und funktionsfähig ist und die Basis aller Authentifizierung ist. Da muss einem das Handy nur einmal runterfallen und was kaputt gehen und schon steht man da. Wenn man seinen gesamten Geldzugang über das Handy abgesichert hat, kann man sich nichtmal ein neues kaufen, weil man nicht an sein Geld kommt. Diese Betrachtung kommt mir bei allen Maßnahmen immer zu kurz: Ausgesperrt zu sein kann schlimmer wiegen als gehackt zu sein.

PW im Kopf bedeutet mit an Sicherheit grenzender Wahrscheinlichkeit, dass die Passwörter weder lang, noch zufällig sind. Wer bitte merkt sich 20-, 30- oder 40-stellige Zeichensuppe? Eher niemand.
[...]
Passwörter sind die Pest und gehören abgeschaft. Daher ein sehr gut von mir für die Initiative. Ob ich ein hoch vernetztes System wie ein Smartphone dafür nutzen will, weiß ich noch nicht so recht. Aber immer noch besser als Passwörter!

Kann ich nicht nachvollziehen. Dass viele Leute kein gutes System für ihre Paswörter haben und aus Komfort lieber Passkeys o.ä. nutzen wollen ist OK, aber warum muss man den Leuten, die gut mit Passwörtern auskommen, selbige wegnehmen? Ein Passwort muss mitnichten zufällig (in irgendeinem informationstheoretische Sinne) sein. Es reicht schon, wenn es lang genug ist, um nicht gebruteforced werden zu können und wenn es nicht aus Wörtern besteht, die man aus einem Wörterbuch ziehen kann ("Wörter" zählen dann sozusagen als einzelne Zeichen eines größeren Alphabets). Ein für Menschen gut merkbares Passwort ist nicht automatisch auch leicht für einen Computer zu knacken.

Liegt wohl auch einfach daran, dass einem "Passkey" aufgedrückt, aber niemals erklärt wird. Nicht mal abstrakt.

Das stört mich auch. Wenn das Thema irgendwo auftaucht, dann liest man größtenteils Marketingsprech und dass alles besser, toller und sicherer wird, ohne mal technisch zu werden und die Limitierungen der Methode zu benennen - denn diese gibt es immer. Dass jemand hier im Thread das als SSH-artige Authentifizierung beschrieben hat, bei dem das Freigeben des privaten Schlüssels auf viele Weisen geschehen kann (z.B. über Biometrie), war für mich das erste Mal. Damit kann ich die Technik direkt besser einordnen. Grundsätzlich würde ich niemals eine Sicherheitstechnik benutzen, die ich nicht selber verstehe!

 

[jauns91]

Was ist wenn das Handy kaputt geht? Wie sieht da die Recovery aus? Allein mein letzter Handywechsel und die damit verbundenen Banking Apps haben mich Wochen und viele Graue Haare gekostet.

 

[Azdak]

Darf ich vorstellen: Sätze oder zusammenhangslöse Wörter als Passphrase
... Dank mir später!

Gerne doch: Danke!
Und wir widersprechen uns ja auch nicht - bei den zusammenhanglosen, aka zufälligen - Wörtern. Dein Beispielsatz ist halt weit weg von zusammenhanglos und kann damit mit Markov-Ketten durchaus "in endlicher Zeit" geknackt werden.

aber warum muss man den Leuten, die gut mit Passwörtern auskommen, selbige wegnehmen?

Ich bin mittlerweile sehr desillusioniert was den Passwortgebrauch angeht. Immer wenn ich bisher einen Test gemacht habe oder mal den vermeintlich guten Vorgehen auf den Zahn gefühlt habe kam bisher immer, leider immer Grütze raus.
Zusätzlich kann man ja Zugangsdaten nicht nur per brute force angreifen. Bei einem Punkt hast du aber absolut recht, nur weil es kein "ideales Passwort" ist, ist es automatisch auch leicht zu knacken. Es geht immer auch darum, was und wogegen man etwas absichern will. Aktuell folgt private Absicherung ja ehr dem Löwen-Prinzip. Du musst nicht schneller als der Löwe laufen. Du musst nur schneller als dein Kumpel neben dir laufen.