News PayPal: Passkeys sollen Passwörter ersetzen

[MichaG]

Der Bezahldienstleister PayPal hat die Einführung der sogenannten Passkeys für die Anmeldung angekündigt. Die neue Methode zur Authentifizierung des Nutzers mittels automatisch generierten kryptografischen Schlüsseln soll Passwörter ersetzen und dabei einfacher und sicherer sein.

Zur News: PayPal: Passkeys sollen Passwörter ersetzen

 

[Harsiesis]

Etwas habe ich nicht verstanden.

Wenn der private Key vom OS erstellt wird, wie wird überprüft das ich derjenige bin? Kann ja nicht immer ein neuer erstellt werden wenn ich an einem anderen PC bin....

 

[Falc410]

Also eigentlich nichts anderes wie klassiche Public-Key Auth wie es die meisten wahrscheinlich schon seit Jahren bei SSH einsetzen. Nur dass die Keys automatisch vom OS generiert werden und die Passphrase entfällt, dafür entschlüsselt das OS die Keys erst wenn ich mich authentifiziert habe (FaceID, Touch, PIN, whatever).

Hat halt den Nachteil, dass ich mich nicht mehr spontan irgendwo einloggen kann. Anstatt Identitäten zu autorisieren, autorisiere ich jetzt Geräte auf denen meine Keys liegen. Grundsätzlich nicht schlecht, aber wenn das OS halt angegriffen wird, ist es so wie wenn ich meinen Passwort-Manager offen lege. Noch dazu wenn dadurch 2FA wegfallen sollte oder selbst wenn nicht, wenn der 2FA das selbe Gerät ist (Handy) welches auch meine Keys hat, dann habe ich nicht viel gewonnen. (edit: Doch, hat Vorteile gegenüber Passwörtern wenn man länger darüber nachdenkt und hier im Forum diskutiert)

Wer garantiert mir, dass das OS meine Keys a) entsprechend schützt b) die mit einem sicheren Verfahren (RSA 4096 oder besser?) erstellt und ist der Standard dann so übergreifend, dass ich doch relativ leicht die Keys auf andere Geräte transferieren kann bzw. bei Paypal z.B. einfach meinen Windows-PC, mein Android-Telefon und einen Mac autorisiere und dann 3 Keys anlege. Das ganze auch so gut verwaltet, dass ich nicht den Überblick verliere (wem gehört nochmal der Key in dem authorized File?) und mich selbst nicht ausperre wenn ich es brauche? Bin noch etwas skeptisch, aber wäre schön wenn ich mir weniger Passwörter merken müsste

Edit: Nochmal das Video zu Ende geschaut. Also iCloud synct automatisch die Keys, genau so wie Google und Microsoft. Also wie erwartet, muss ich also 3 Keys bei Paypal oder wem auch immer hinterlegen und die 3 großen Cloud-Provider haben dann jeweils eine Kopie von meinen Private-Keys die man dann ohne Passwort zur Authentifizierung nutzen kann. Damit werden die Phishing-Angriffe halt primär gegen diese Accounts gehen - wenn jemand meinen MS Account übernimmt, hat er dann auch automatisch Zugriff auf alle meine Keys. Bin gespannt wie die sich dann absichern wollen bzw. ihre Security verbessern ohne Usability einzuschränken. Und nachdem keiner von denen einen richtigen Support anbietet (Apple wohl noch am ehesten für Enduser) wird das lustig werden.

Leider (oder zum Glück?) werden die Keys wohl nicht OS / Cloud übergreifend gesynct.

 

[###Zaunpfahl###]

Ich denke du musst die dann schon mitnehmen, so wie du deine Passwörter auch "mitnehmen" musst

 

[frazzlerunning]

Nutzt Steam nicht auch seit neuestem dieses Verfahren? Dafür gabs ja das Update der Steam App am Smartphone, inkl. QR-Anmeldung.

 

[Enigma]

Ein Schritt vorwärts, das Konzept der Passwörter zu ersetzen. Schöne Differenzierung zu SSO und leiht sich viele Attribute von JWT. Wahrscheinlich werden bald die gängigen Passwort-Manager API's hierfür anbieten.

 

[nciht]

Ich bin mir nicht sicher, ob das jetzt die entgültige Lösung darstellen wird, aber es ist schon lange überfällig, dass Passwörter von etwas abgelöst werden, was sicherer ist und Betrug besser vorbeugt.

 

[###Zaunpfahl###]

Für Leute die vielleicht nicht soviel verstehen.
Das ganze ist eine async Verschlüsselung, dass bedeutet für Verschlüsselung (public) und Entschlüsselung (private) werden unterschiedliche Schlüssel eingesetzt. Diese sind math. irgendwie so gestaltet das man vom public nicht auf den private schließen kann.

Somit kann einem jeder etwas verschlüsselt zukommen lassen und nur man selbst kann es entschlüsseln.
Keine Ahnung wie das hier genau funktioniert. Aber so kann mir ein Service eine Aufgabe schicken und nur wer diese Lösen kann (entschlüsseln) muss der richtige sein.

 

[Tanzmusikus]

Vermutlich müsste man den Private-Key immer mitnehmen, wenn man mobil Zugang zu PayPal haben möchte.

 

[-=[CrysiS]=-]

Doch im Gegenzug sind komplexe Passwörter oft nicht mehr leicht zu merken und nicht jeder nutzt einen Passwortmanager zur Hilfe.

Das entscheide ich immer noch selber. Die sollen sich mal um ihre Angelegenheiten kümmern und nicht ob ich meine PW vergesse oder nicht. Passwortmanager heißt bei mir Gehirn oder kleines Büchlein.

Ich mag PayPal.

 

[Magellan]

Hat halt den Nachteil, dass

Im Prinzip sind die Nachteile doch 1 zu 1 die selben wie bei einem Passwortmanager. Der Unterschied ist vereinfacht gesagt nur noch dass ich die Private Keys nicht selbst aussuche und diese das Gerät nie verlassen.

Unmengen einzigartiger und möglichst komplexer Passwörter einfach merken ist halt nicht praktikabel.

 

[CB_KeinNameFrei]

Etwas habe ich nicht verstanden.

Wenn der private Key vom OS erstellt wird, wie wird überprüft das ich derjenige bin? Kann ja nicht immer ein neuer erstellt werden wenn ich an einem anderen PC bin....

Na, wie wohl? Weil du im Betriebssystem ja mit deinem immer-Online-Konto von Microsoft/Apple/Google etc. angemeldet bist. Welches automatisch zur Pflicht wird. Kann ja nicht angehen, dass heutzutage noch Nutzer nicht brav nach Hause telefonieren, wenn sie den Rechner anmachen... =P

Okay, war jetzt vielleicht ein wenig überspitzt. Aber ich bin mir relativ sicher, dass es genau daran festgemacht wird. Dein Microsoft-Konto kannst du ja zu neuen Geräten mitnehmen, in dem du dich dort damit anmeldest.

Der Denkfehler bezüglich "und wie ist das jetzt sicherer, wenn dein Microsoft-Konto nach wie vor nur mit normalem Kennwort geschützt ist", drängt sich da natürlich auf...

 

[testwurst200]

Ich kann mich generell mit solchen Passwort Manager nicht anfreunden.
Ich habe ein Standard Passwort welches immer eine kleine Abweichungen enthält.
So kann ich mir für alles die Passwörter merken.
Ja auch nicht der heilige Gral mit seinen Schwächen aber so finde ich es besser

 

[DonDonat]

Klingt nach einem sinnvollen extra Verfahren zu normalen Passwörtern.
Würde meinen Private-Key lokal aber wohl nicht mit Biometrie sichern, dann lieber ein neues Passwort merken, ist sicherer und einfacher zu ändern als Fingerabdrücke

 

[estros]

Und wenn man sein Handy verloren hat, kommt man jemals an sein Konto wieder dran? So wie ich das verstanden habe, sind alle anderen Methode ab dem Zeitpunkt nicht mehr möglich.

 

[frazzlerunning]

Ich habe ein Standard Passwort welches immer eine kleine Abweichungen enthält.

Und wenn jemand zwei deiner Abweichungen für zwei Konten erkennt, kann er auch alle anderen erraten. Super.

 

[supermanlovers]

Kann ich damit mein Passwort immer noch auf ein PostIt schreiben und sicher unter der Tastatur verstecken?

 

[Snooty]

diese das Gerät nie verlassen

Wie genau funktioniert das; wenn ich mein System mal platt mache, wie kann ich es dann erneut anmelden? Dazu müssten die Keys doch irgendwo online synchronisiert werden.

 

[CB_KeinNameFrei]

Ich kann mich generell mit solchen Passwort Manager nicht anfreunden.
Ich habe ein Standard Passwort welches immer eine kleine Abweichungen enthält.
So kann ich mir für alles die Passwörter merken.
Ja auch nicht der heilige Gral mit seinen Schwächen aber so finde ich es besser

So hab ich es auch die längste Zeit über gemacht. Sogar so, dass die kleine Abweichung immer von der Webseite/dem Dienst/etc. abgeleitet war, für welche das Kennwort zum Einsatz kommt. Der besseren Merkbarkeit wegen.

Dann bin ich älter geworden, mein Gehirn löchriger, und die Kennwörter zahlreicher und zahlreicher. Vor ein paar Monaten hab ich dann kapituliert, weil ich eigentlich im Monatsrythmus irgendwelche Passwort-Vergessen-Formulare von Dingen, die ich vor zehn Jahren zuletzt angefasst hatte, verwenden musste.

Habe mir KeePass eingerichtet. Schon im ersten Durchlauf aus dem Kopf gleich mal 60 verschiedene Kennwörter hinterlegt. Seitdem sind locker nochmal 20-30 hinzugekommen. So langsam ebbt es endlich ab. Und ich bin so unglaublich glücklich, mir den Sch... nicht mehr selbst merken zu müssen

 

[Magellan]

Und wenn man sein Handy verloren hat, kommt man jemals an sein Konto wieder dran? So wie ich das verstanden habe, sind alle anderen Methode ab dem Zeitpunkt nicht mehr möglich.

Wie genau funktioniert das; wenn ich mein System mal platt mache, wie kann ich es dann erneut anmelden? Dazu müssten die Keys doch irgendwo online synchronisiert werden.

Soweit ich das verstehe speichert z.B. Apple die Passkeys in der Cloud analog zum Apple/Google Passwortmanager eben, allerdings end to end verschlüsselt also in entschlüsselter Form hat man sie nur auf dem eigenen Gerät und viel wichtiger, bei der Authentifizierung sendet man kein Passwort welches abgefangen werden könnte und der Dienst kann dein Passwort auch nicht speichern und bei einem Hack in Umlauf bringen.