News Passkeys: Google läutet die Zukunft ohne Passwörter ein

[Simanova]

Apple hat im iOS das schon seit langem integriert, warum wird da jetzt so ein Fass aufgemacht, wenn Google das versucht einzuführen?

 

[ComputerJunge]

Du kannst so viele Schlüssel anlegen wie du möchtest.

Danke. Ich korrigiere mein Post.

 

[0xtapi]

Web3-Wallets erlauben Logins auf Webseiten ebenfalls ohne Passwörter. Funktioniert sehr gut. Bin mir nicht sicher, ob da jetzt wieder das Rad neu erfunden werden muss.

 

[Knuddelbearli]

noch weiß ein Dienst wo ihr euch anmeldet

Dann fällt aber der Hauptvorteil, mit dem vor allem geworben wird (kein Eingeben von Passwörtern) aber wieder weg, da man den Key ja manuell eingeben muss... Auch du solltest die News richtig lesen ;-)

Schon beim Anmelden für einen kompatiblen Dienst entfällt die Eingabe eines Passworts, wenn die Anmeldemethode Passkey genutzt wird.

Also absolute berechtige Kritik hier im Thread. Erst recht, da es ja um Google bzw deren Werbe"news" geht.

 

[seyfhor]

ich glaube es geht denen auch nicht um die Sicherheit ihrer Ratten, sondern um die Identifikation dass DU es immer bist der gerade mit XY inteagiert........ ein Passwort kann ich jedem weitergeben, meine biometrischen Daten nicht

Wenn Big Tech komplett dafür ist liegt es irgnedwie nahe, dass da nicht unbedingt nur der Nutzer im Vordergrund steht

 

[Falc410]

Nein, via SSH praktisch schon seit Jahrzehnten in Verwendung. Allerdings würde wohl niemand bei Verstand ausschließlich auf einen SSH Key setzen. Das ist einfach nur dumm.

Passwort Authentication mit SSH aktivieren ist dumm. Natürlich erlaubt man nur Key basierten Login.

Au ja und sich Google und Co ausliefern, die dann genau wissen, wann du dich wo einloggst, großartig ..

Warum sollten die wissen wo du dich anmeldest? Was hat das mit dem Thema zu tun? Davon abgesehen wenn du chrome, Safari oder Edge benutzt, wissen die doch eh auf welchen Webseiten du bist. Und ich will gar nicht wissen wie viel Leute die Passwörter browser aktuell speichern

 

[Seven2758]

Passkeys müssen nicht mit Biometrie gesichert werden, wie im Artikel steht gehen auch PIN-Codes oder auch HW Sicherheitsschlüssel.

Zu diesen gehören unter anderem biometrische Sicherheitskonzepte wie der Fingerabdruck oder die Gesichtserkennung, aber auch eventuell vorhandene Hardware-Sicherheitsschlüssel sowie PIN-Codes sollen als virtuelle Torwächter herangezogen werden können.

Der Vorteil von Passkeys ist halt, dass Passkeys eine gewisse bessere Sicherheit gegenüber einfachen oder zu kurzen Passwortern bieten. Wie @flaphoschi schreibt, ist es für den Endnutzer bequemer, da dieser keine starken Passwörter mehr generieren muss.

Hinsichtlich der Frage des Zugriffs und der Speicherung der Cloud schreibt Google:

• Für Passkeys ist das Tracking von Nutzern oder Geräten zwischen Websites nicht zulässig. Ein Passkey wird nie mit mehr als einer Website verwendet. Passkey-Protokolle sind sorgfältig so konzipiert, dass keine mit Websites geteilten Informationen als Tracking-Vektor verwendet werden können.
• Passkey-Manager schützen Passkeys vor unbefugtem Zugriff und unbefugter Nutzung. Im Google Passwortmanager werden Passkey-Secrets von Anfang bis Ende verschlüsselt. Nur der Nutzer kann darauf zugreifen und sie verwenden. Obwohl er auf den Servern von Google gesichert ist, kann er nicht von Google verwendet werden, um die Identität eines Nutzers anzunehmen.

Quelle

Bzgl. Verlust oder Übertragung:

When a user sets up a new Android device by transferring data from an older device, existing end-to-end encryption keys are securely transferred to the new device. In some cases, for example, when the older device was lost or damaged, users may need to recover the end-to-end encryption keys from a secure online backup.
To recover the end-to-end encryption key, the user must provide the lock screen PIN, password, or pattern of another existing device that had access to those keys. Note, that restoring passkeys on a new device requires both being signed in to the Google Account and an existing device's screen lock.
Quelle

Die Idee ist nicht schlecht, da ich viele mit zu schwachen Passwörtern bzw. mit einem Passwort für alles kenne.

Ich selbst bleibe weiterhin bei selbst gehosteten Vaulwarden + VPN + YubiKey.

 

[Autokiller677]

Ist der Part technologisch so vorgesehen und nach Standard unumgänglich oder muss man sich da auf den Anbieter verlassen? Bei Apple ist es ohne zusätzliches Opt-in ja auch so, dass einige Daten ohne E2E gespeichert werden und Apple sich einen Decryption-Key vorhält. Wie sieht das bei Passkeys aus? Wie weit geht der Standard, wie groß ist die Freiheit der Anbieter?

Ob der Standart das erzwingt weiß ich nicht explizit, hab bisher aber nirgendwo einen Aufschrei dazu gesehen, dass es nicht so wäre.
Und bei Apple ist die iCloud Keychain definitiv nicht mit bei den Dingen, die Apple einsehen könnte. Die ist E2E.

Apple hat hier eine Übersicht, was wie verschlüsselt wird: https://support.apple.com/en-us/HT202303

 

[Knuddelbearli]

Warum sollten die wissen wo du dich anmeldest? Was hat das mit dem Thema zu tun? Davon abgesehen wenn du chrome, Safari oder Edge benutzt, wissen die doch eh auf welchen Webseiten du bist. Und ich will gar nicht wissen wie viel Leute die Passwörter browser aktuell speichern

Vielleicht weil im Text damit geworben wird, das man eben kein Passwort mehr eingeben muss? Also muss der Key übermittelt werden und damit weiß man eben wer, wann und wo, also echt ...
Wir sind im Kommentarbereich einer News, natürlich bezieht man sich auf das, was in der News steht. Und da wird eben auch damit geworben, dass man kein Passwort mehr eingeben muss. Und am Ende geht es in dieser News rein um Google, natürlich werden sie alles tun, damit man deren Cloudservice nutzt, wo der Key dann automatisch übertragen wird.
Und gerade von Firefox gibt es genug Forks wo man, selbst wenn man sehr paranoid ist, sicher gehen kann, dass eben nichts gespeichert/verfolgt wird ...

 

[Autokiller677]

Nein, via SSH praktisch schon seit Jahrzehnten in Verwendung. Allerdings würde wohl niemand bei Verstand ausschließlich auf einen SSH Key setzen. Das ist einfach nur dumm.

Öhm no, das ist der Normalfall, überall da, wo wirklich auf Sicherheit geachtet wird.
Meine Cloud-Server habe ich auch alle nur über Keys zugänglich. Wenn wirklich alles schiefgeht, kann ich bei den gemieteten über die Management-Konsole und KVM direkt ran und einen neuen Key reinspeichern. Und bei denen, die ich physisch verwalte, kann ich dann halt auch vor Ort drangehen, lokal einloggen und reparieren.

SSH Login nur über Passwort - big no.

 

[Conqi]

Eben. Und das ist im Zweifel ein ranziges Smartphone, was schon sein Jahren keine Sicherheitsaktualisierungen mehr bekommen hat.

Wenn ich auf besagtem Smartphone dann mein Passwort eingebe, ist das wie genau besser?

Vorsicht, dieser Artikel enthält Pressepropaganda und Gläserner-Nutzer-Bringt-Mehr-"Sicherheit"(-aber-uns-mehr-Daten)-Narrative.

Was genau erfahren Google, Apple und Co. denn wenn ein weiterer Eintrag in meinem End-to-End-verschlüsselten Safe auftaucht? Außerdem ist man langfristig ja auch nicht auf die eingeschränkt, wenn die Technik etwas mehr Verbreitung findet. Bitwarden etwa arbeitet ja schon an einer Umsetzung.

Darf ich vorstellen: Sätze oder zusammenhangslöse Wörter als Passphrase

Und davon merke ich mir hundert Stück? Klingt ziemlich unpraktikabel.

Also muss der Key übermittelt werden und damit weiß man eben wer, wann und wo, also echt ...

Wenn mein Gerät einen Key von einer Webseite empfängt und verifiziert, wissen Google und Apple davon gar nichts bzw. auch nicht mehr als wenn ich den Login klassisch durchführe. Das findet lokal statt.

 

[Azeron]

Dann fällt aber der Hauptvorteil, mit dem vor allem geworben wird (kein Eingeben von Passwörtern) aber wieder weg, da man den Key ja manuell eingeben muss... Auch du solltest die News richtig lesen ;-)

Ich weiß ja nicht wem du da antwortest aber ich habe dieses Zitat, auf das du dich hier beziehst, nie in meinem Post geschrieben.

 

[Iwwazwersch]

Apple hat im iOS das schon seit langem integriert, warum wird da jetzt so ein Fass aufgemacht, wenn Google das versucht einzuführen?

iOS 16 ist jetzt nicht zwingend ewig.

Google versucht das nicht einzuführen. Google ist der erste große Dienst außer (Paypal USA) der es möglich macht sich damit einzuloggen.

Apple, Microsoft und Google sitzen hier in einem Boot und wollen dies Betriebssystem übergreifend integrieren, damit du dich auch an deinem Windows PC, Android Gerät oder Apple Gerät bei deinen Diensten anmelden kannst ohne ein Passwort.

 

[andy_m4]

Wenn ich auf besagtem Smartphone dann mein Passwort eingebe, ist das wie genau besser?

Hab ja auch nicht behauptet, das das besser ist.
Der Punkt ist der: Wenn ich auf dem Handy mein Passwort eingebe, dann ist der konkrete Dienst an dem ich mich anmelde in Gefahr.
Wenn das Handy der "Schlüsselbund" ist dann sind alle Dienste in Gefahr.

 

[cabut]

Klar, ich geb Google meine Daten, da sind sie sicher

 

[VandeKamp]

Also muss der Key übermittelt werden und damit weiß man eben wer, wann und wo, also echt ...

Wenn du dich bei Google(!) einloggst, weiß Google, dass du dich eingeloggt hast. Wow, das ist ja ein Ding!
Wenn du dich bei Amazon einloggst, weiß Amazon, dass du dich eingeloggt hast.

Die Annahme, dass Google, weil sie bei den eigenen Diensten(!) die Möglichkeit für Passkeys anbieten, automatisch jeden anderen Passkey kennen würden entbehrt jeder Grundlage (und steht auch nirgendwo in der News).

 

[flaphoschi]

Note, that restoring passkeys on a new device requires both being signed in to the Google Account and an existing device's screen lock.
Quelle

Weitergabe einzelner Passkeys ist AFAIK eines der Kernfeatures.

Und hier stellt sich die erwartete Frage. Warum muss man überhaupt bei Google angemeldet sein - wenn die Passkeys lokal auf den Geräten sind?

Riecht nach Plattformbindung? Man könnte sagen, um ein externe Sicherheitsabfrage durchzuführen. Wahrscheinlich eher um Migration auf Google-freie System zu erschweren, wäre ja schade um die vielen Passkeys? Nicht das man da auf etwas mit Linux oder iOS umzieht. Das will Google ja nun wirklich nicht.

 

[Iwwazwersch]

Wenn das Handy der "Schlüsselbund" ist dann sind alle Dienste in Gefahr.

Ja, wenn du dein Handy aus der Hand gibst.

 

[frazzlerunning]

iOS 16 hat die Unterstützung für Passkeys mitgebracht, nicht die Möglichkeit das auf jeder Website zu nutzen.

Solange das Betriebssystem des Endgeräts keine Unterstützung mitbringt, funktioniert das Passkey-System nicht.

Ergänzung (4. Mai 2023)

Wenn das Handy der "Schlüsselbund" ist dann sind alle Dienste in Gefahr.

Das Handy ist nur ein Teil des Schlüsselbunds. Zusätzlich zum Handy, also dem Passkey in der 'Secure Enclave' / im TPM / ..., brauchts ja auch noch die Identifikation des Users durch Fingerabdruck/FaceID/PIN/...

 

[Dalek]

Passkey scheint einfach ein neuer name für eine bestimmte Variante von FIDO2 Credentials zu sein, mit der Besonderheit das diese Credentials übertragen werden können und nicht z.B. wie bei Yubikeys fest an den jeweiligen Key gebunden sind.

Mal sehen wie sich das entwickelt, ich bin nicht unbedingt ein Fan davon die Sachen ganz ohne Passwort zu machen. Aber da das unter der Haube FIDO2 ist bedeutet das vermutlich deutlich mehr Unterstützung für meine Yubikeys.

Nicht übertragbare Tokens sind halt auch sehr lästig in der Handhabung. Das ist für Normalanwender für den Routineeinsatz einfach zu viel Aufwand. Ich hab inzwischen 4 Yubikeys im Einsatz, aber das ist halt sehr weit weg vom Durchschnittsnutzer.