News PayPal: Passkeys sollen Passwörter ersetzen

[AvenDexx]

Ok, über Firefox am Desktop konnte ich das Video nun auch sehen und tatsächlich wurden einige Fragen beantwortet.

Dennoch stellt sich mir noch eine Frage. Nutze ich Passkey am Handy und komme irgendwann auf die Idee, mein Handy zu verkaufen, setze ich es ja auf Werkseinstellungen zurück. Kauft es nun jemand und richtet seine Daten auf meinem alten Handy ein, sollte es mit Passkey ja kein Problem geben und nicht die Möglichkeit bestehen, dass er sich versehentlich mit meinen Daten bei einem Dienst anmeldet, da der Passkey ja Accountgebunden zu sein scheint.

Kaufe ich mir dann ein neues Handy und richte es mit meinem bestehenden Google-Account ein, sollte ich damit dann ja auch direkt wieder Zugriff auf Passkey haben und mich problemlos bei den entsprechenden Diensten anmelden können.

Soweit richtig verstanden? Wenn dem so ist, scheint es ja eine interessante Möglichkeit zu sein, seine Passwörter in den Griff zu bekommen. Das könnte man dann ja tatsächlich mal weiter beobachten.

 

[nciht]

Richtig, dort wo deine Online Account Daten lagern, beim OS Hersteller !

Falsch - nicht richtig gelesen, oder nicht verstanden? OS-Hersteller kann mit dem Schlüssel nix anfangen. Der Schlüssel selbst ist daher auch nicht Kategorie "sensible Daten". Das ist wie deinem Reisepass: Mit dem solltest auch nur du durch die Kontrolle im Flughafen kommen. (Beispiel ist nicht sonderlich dehnbar abseits des Flughafen-Szenarios) ...

viel Spaß damit, wenn 2FA aktiv ist

Ich wusste irgendwie dass das kommt. Das ist aber halt noch mal etwas anderes und PassKey soll die Passwörter ersetzen und nicht zusätzliche Schutzmaßnahmen, die da noch obendrauf kommen können (und die du auch bei PassKey noch zusätzlich haben kannst).

 

[balla balla]

Das Video geht bei mir auch nicht (Chrome am Desktop), gibt es einen YouTube Link?

 

[Dale Nixon]

Funzt das auch offline mit Nitrokey / Yubikey und co? Ich möchte mit MS / Google / Apple / Facebook so wenig Abhängigkeiten wie möglich haben, vor allem für Dinge wie Sicherheit.

 

[koech]

Das Video geht bei mir auch nicht (Chrome am Desktop), gibt es einen YouTube Link?

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Edge vs. Firefox​

​

 

[Falc410]

Also hier herrscht echt viel Unwissen und Unklarheit was das ist. Ganz vereinfacht ausgedrückt, kann man sagen, dass diese Passkeys nichts anderes sind als ein sehr langes (mindestens 2048 - 4096 Zeichen) Passwort, welches automatisch vom Betriebssystem erstellt und abgespeichert wird. Ihr müsst euch also kein Passwort selbst ausdenken und es kann aufgrund der Länge und Komplexität nicht erraten werden. Wenn ihr euch dann auf der Webseite einloggen wollt, wird das Passwort automatisch vom Betriebssystem an die Webseite weitergegeben. Und da man sich so ein Passwort auch nur sehr unhandlich auf einen Zettel schreiben kann (aber man kann wenn man denn möchte!), wird es automatisch auch in der Cloud für euch gespeichert, Google, Microsoft und Apple unterstützen das laut Video. Bei Linux, Windows und Android gehe ich auch davon aus, dass man die Passkeys auch sehr leicht exportieren und auf seinem NAS speichern kann.

Die Technik ist nicht neu. Eigentlich sollten das viele auch schon aus der Arbeit kennen oder wenn jemand eine Smartcard für sein Onlinebanking benutzt. Das ist nichts anderes - dort ist auch nur ein Passkey hinterlegt.

 

[Sebbi]

OS-Hersteller kann mit dem Schlüssel nix anfangen. Der Schlüssel selbst ist daher auch nicht Kategorie "sensible Daten".

ok DU hast es nicht verstanden. Es geht nicht darum das der Hersteller was damit anfangen kann, er kann dir aber den Zugriff darauf verwehren. Das ist auch Kontrolle.

Was ist sim-poisining und was hat überhaupt die sim damit zu tun?

Das ist, das jemand mit seinen Handy sich in das Mobilfunknetz einwählt und vorgibt, ER ist nun der rechtmäßige Empfänger deiner Gespräche und SMS. Sprich er registriert deine nummer für sein Gerät und erhält alle deine SMS in dieser Zeit. Auch die 2FA Bestätigungscodes.
Dies ist nicht gerade selten aktuell in den USA, das dort so auch 2FA Zugänge so geknackt werden, wenn die Mobilfunknummer dem Angreifer bekannt ist.

Ein open source authentificator und gut is.

wenn dies für den jeweiligen Dienst möglich ist, ist das eine gute Alternative zum SMS code. Doof wirds nur wenn da es da mal Probleme gibt und das System auf dem der Authentificator läuft neu gemacht werden muss. SMS kann man auch auf nen fabrikneuen Handy empfangen.

 

[Suspektan]

wenn dies für den jeweiligen Dienst möglich ist, ist das eine gute Alternative zum SMS code. Doof wirds nur wenn da es da mal Probleme gibt und das System auf dem der Authentificator läuft neu gemacht werden muss

Paypal unterstützt jedenfalls die open source 2fa Lösung und auf einem neuen sp ist die app auch ruckizucki installiert, den qr-code muss man nur vorher mal abfotografiert haben, um ihn direkt für den account weiterverwenden zu können.
Die 2fa Einrichtung selbst wird ja bei paypal nicht wiederholt, sondern nur offline über die authentification app.
Qr-code scannen, fertig.
Amazon unterstützt es ebenfalls, steam und ubi k.A.

Ich denke, dass nun Mal der Sicherheitsgewinn für mich nicht relevant sein dürfte, da ich eh aufwendigere, einmalige, Passwörter + eben 2fa nutze.
Bei Bezahldiensten logge ich mich nie auf dem sp ein und ein microsoft-Konto besitze ich quasi nicht bzw. nur lokal/ offline.
Ist wohl eher ein Komfortgewinn und DA scheitert es bei paypal an ganz anderer Stelle.

 

[MichaG]

Also bei mir wird das Video-Embed auf allen Browsern korrekt angezeigt. Was ist da los?

Edit: Jetzt gehts hier auch nicht mehr. Habe mal @Steffen informiert. Scheint irgend ein Bug zu sein, aber nur bei eingebetteten YouTube-Videos. Twitter geht zB

 

[senf.dazu]

Also hier herrscht echt viel Unwissen und Unklarheit was das ist. Ganz vereinfacht ausgedrückt, kann man sagen, dass diese Passkeys nichts anderes sind als ein sehr langes (mindestens 2048 - 4096 Zeichen) Passwort, welches automatisch vom Betriebssystem erstellt und abgespeichert wird. Ihr müsst euch also kein Passwort selbst ausdenken und es kann aufgrund der Länge und Komplexität nicht erraten werden. Wenn ihr euch dann auf der Webseite einloggen wollt, wird das Passwort automatisch vom Betriebssystem an die Webseite weitergegeben. Und da man sich so ein Passwort auch nur sehr unhandlich auf einen Zettel schreiben kann (aber man kann wenn man denn möchte!), wird es automatisch auch in der Cloud für euch gespeichert, Google, Microsoft und Apple unterstützen das laut Video. Bei Linux, Windows und Android gehe ich auch davon aus, dass man die Passkeys auch sehr leicht exportieren und auf seinem NAS speichern kann.

Die Technik ist nicht neu. Eigentlich sollten das viele auch schon aus der Arbeit kennen oder wenn jemand eine Smartcard für sein Onlinebanking benutzt. Das ist nichts anderes - dort ist auch nur ein Passkey hinterlegt.

Nein FIDO ist was anderes als Paßworte.

Paßwort:

• werden übers Internet an den Server geschickt und können so abgefangen werden
• der Server speichert sie und können vom Server geklaut werden
• halbherzige Abhilfe für das abfangen: Transportverschlüsselung (die ist aber keine End2End Verschlüsselung)
• halbeherzige Abhilfe für das vom Server klauen: es gilt als Stand der Technik Passworte nicht im Klartext sondern als verrechnete Zahl zu speichern (mit dem frisch erhaltenen Passwort kann man die gleiche Rechnerei machen und mit der gespeicherten Zahl vergleichen
• Für jeden Webservice gibt's im sichersten Fall ein eigenes Passwort das man sich merken muß
• Es gibt zwar Paßwortmanager - aber die werden nicht von der Secure Enclave ausgeführt sondern auf dem normalen Prozessor. Und der normale Prozessor und seine Softwareumgebung sind erwiesenermaßen unsicher. Das macht diesen Paßwortmanager angreifbar.

Verschlüsselungsverfahren FIDO:

• es wird je Webservice ein Schlüsselpaar erzeugt.
• der private key bleibt nicht auslesbar auf dem Fido key wie ein Schlüsselbund in deiner Hosentasche und kann also nicht geklaut werden
• der public key wird an den Webservice gegeben
• Nachrichten an den Webservice (wie "ok") kann man mit dem private key Authentisieren, der Webservice kann mit dem public key die Nachricht prüfen das man im Besitz des private Key war.
• Nachrichten des Webservice an einen selbst kann der Webservice mit dem public key verschlüsseln, und nur du mit deinem private key im FIDO Stick durch den FIDO key entschlüsseln lassen.
• Es gibt zwar je Webseite ein eigenes Schlüsselpaar - aber die Liste merkt sich der FIDO Key und nutzt automatisch jeweils das richtige.
• Es bleibt aber dabei - die Keys bleiben in der Secure Enclave - diese Sorte von Paßwortmanager ist sicherer als die auf dem Systemprozessor.
• Das Einloggen kann man mit einem zweiten Faktor (neben dem Besitz des FIDO keys/Schlüsselbund) ergänzen: PIN oder Biometrie. Wobei die PIN nicht an den Webservice sondern nur an den Fido Key geht - eine PIN für alle Webservices. PIN bleibt lokal und ist so nicht belauschbar.

Kurz gesagt:
man kann Sicherheit oder sichere Verschlüsselung versuchen zu basteln indem man die Verfahren wie Passwort, Passwort mit EinmalTAN, Passwort mit Zusendung eines Briefes an deine persönliche Adresse immer weiter verkompliziert. Da jagen sich dann Verkomplizierer und Angreifer gegenseitig.

Man kann es aber auch richtig machen und zu einem zeitgemäßen Verschlüsselungsverfahren mit einem sicher aufbewahrten Schlüsselbund (dem FIDO Key oder dem Smartphone mit der "Secure Enclave") aufbewahren - und sonst gar nichts - greifen. Und genau das tut FIDO. Um einerseits sicheren Dokumenteaustausch und andererseits sicher Transaktionen auszulösen.

 

[nciht]

er kann dir aber den Zugriff darauf verwehren

Kann er auch nicht (mehr als sonst). Wie bekommst du den Schlüssel wohl in erster Linie auf das Gerät, bzw. in den Acc vom OS? Denk mal drüber nach... und Zugriff können MS, Apple, Google und Co ja auch so verwehren, wenn die das wollen, also da weiß ich nicht, vor was du Angst hast... (zumal ich auch nicht wüsste wozu die das wollten)

 

[ComputerJunge]

steht bei Windows trotzdem nur eine 4-stellige PIN, die nur aus Ziffern bestehen kann

Das ist nur die Voreinstellung (für die "einfacheren" Nutzer). Die PIN kann auf alphanumerisch mit mehr Stellen umgestellt werden.

 

[senf.dazu]

Kann ich damit mein Passwort immer noch auf ein PostIt schreiben und sicher unter der Tastatur verstecken?

Wenn du deine eine PIN meinst - mit der du deine FIDO Keys absicherst - ja.
Wenn du deine Biometrie meinst - nein.
Wenn du deine FIDO Keys meinst - nein der private key wird auf deinem persönlichen FIDO key auf deinem persönlichen Device (z.B: Smartphone wie ein Schlüsselbund - aber ein PIN/Biometrie geschütztes) erzeugt und ist für dich und andere nicht auslesbar.

Wenn du also dein "Schlüsselbund" dein Gerät zur Authentisierung immer brav bei dir trägst und nicht klauen läßt macht es weniger wenn die PIN irgendwo auf dem Bierdeckel steht.

Der Vorteil ist aber - du brauchst nur ein PIN für alle Accounts bei irgenwelchen Webfirmen. Kann man sich eher merken. Und normalerweise wird's wohl so laufen wie auf dem Handy - regelmäßig meist nur der Fingerabdruck und gelegentlich mal die PIN.

Aber wie das Verfahren zum "PIN vergessen" oder "Finger verloren" oder "Schlüsselbund=Smartphone verloren" in der Praxis realisiert ist ist schon die eigentlich Krux ..

Auf der sicheren Seite wär man wenn man konsequent sagt:
wenn ich keine Zugang mehr habe muß ich die Accounts halt alle neu einrichten.
Die mit Outen (ePerso, PostIdent, vorbeilatschen bei der Bank mit Ausweis und Gesicht) kann man so rekonstruieren - und wiederbekommen. Die pseudonymen ohne Outen (heise.de z.B.) dann eben nicht - die bleiben dann ewig als Leichen. Aber die Ausweispflicht kriegen wir bestimmt noch .. Hassrede & Co .. auch wenn wir uns vielleicht im heise Forum weiter mit Pseudonym bewegen.

 

[ComputerJunge]

(z.B: Smartphone wie ein Schlüsselbund - aber ein PIN/Biometrie geschütztes)

Oder dem TPM.

oder "Schlüsselbund=Smartphone verloren"

Das läuft über die letzte mögliche Authentifizierungs-Option der Recovery-Keys. Wenn die verloren gehen (oder trotz aller Hinweise bei der initialen Einrichtung erst gar nicht gesichert wurden), war's das.

Meines Wissens nutzt z.B. Apple bei der iCloud-Verschlüsselung ein prinzipiell gleiches Verfahren - außer, dass die Recovery-Keys auch in der Hoheit von Apple liegen. Das kann ich bei dem durchschnittlichen Kundenprofil nachvollziehen. Das Ergebnis des Schlüsselverlusts ist äquivalent zu dem einer erfolgreichen Crypto-Trojaner Attacke.

 

[M-X]

Am Ende hat man jetzt einfach ein Public Key verfahren für den DAU zugänglich gemacht. Solange man seine Passkeys selber managen kann und ich das nicht zwangsweise über MS, Google oder Apple syncen muss ist es kein großer unterschied zu einem Password Manager. Nur das ich anstatt Passwörter dann einfach Keys manage.

 

[Falc410]

der Server speichert sie und können vom Server geklaut werden

Ja das kann tatsächlich nicht mehr passieren

halbherzige Abhilfe für das abfangen: Transportverschlüsselung (die ist aber keine End2End Verschlüsselung)

warum halbherzig? Und natürlich ist das E2E wenn du HTTPS mit einem Webserver sprichst. Theoretisch kannst du einen TLS Proxy dazwischen stellen, dem musst du aber erst einmal vertrauen

halbeherzige Abhilfe für das vom Server klauen: es gilt als Stand der Technik Passworte nicht im Klartext sondern als verrechnete Zahl zu speichern (mit dem frisch erhaltenen Passwort kann man die gleiche Rechnerei machen und mit der gespeicherten Zahl vergleichen

Auch das ist nicht halbherzig wenn es richtig umgesetzt ist

Für jeden Webservice gibt's im sichersten Fall ein eigenes Passwort das man sich merken muß

so und jetzt gibt es für jeden Webservice einen Key

Es gibt zwar Paßwortmanager - aber die werden nicht von der Secure Enclave ausgeführt sondern auf dem normalen Prozessor. Und der normale Prozessor und seine Softwareumgebung sind erwiesenermaßen unsicher. Das macht diesen Paßwortmanager angreifbar.

Also du hast zwar grundsätzlich recht, aber schmeisst hier viele Dinge durcheinander. Davon abgesehen werden deine Keys wohl nicht in einer Secure Enclave liegen sonst würden die ja nicht über iCloud & Co gesynct werden

der private key bleibt nicht auslesbar auf dem Fido key wie ein Schlüsselbund in deiner Hosentasche und kann also nicht geklaut werden

Natürlich muss dein OS / Anwendung darauf zugreifen.

• Nachrichten an den Webservice (wie "ok") kann man mit dem private key Authentisieren, der Webservice kann mit dem public key die Nachricht prüfen das man im Besitz des private Key war.
• Nachrichten des Webservice an einen selbst kann der Webservice mit dem public key verschlüsseln, und nur du mit deinem private key im FIDO Stick durch den FIDO key entschlüsseln lassen.

Wir sprechen sowieso schon TLS mit dem Server, Passkeys werden das nicht ersetzen. Du bringst hier wieder Dinge durcheinander

Es bleibt aber dabei - die Keys bleiben in der Secure Enclave - diese Sorte von Paßwortmanager ist sicherer als die auf dem Systemprozessor.

Siehe oben, aber der Satz alleine zeigt, dass du dich mit dem Thema noch einmal beschäftigen musst.

Das Einloggen kann man mit einem zweiten Faktor (neben dem Besitz des FIDO keys/Schlüsselbund) ergänzen: PIN oder Biometrie. Wobei die PIN nicht an den Webservice sondern nur an den Fido Key geht - eine PIN für alle Webservices. PIN nicht belauschbar

Auch hier schmeisst du wieder Dinge durcheinander. Man nennt das normalerweise Passphrase um den Privaten Schlüssel zu entschlüsseln damit er benutzt werden kann. Das ist aber noch kein 2. Faktor um sich irgendwo zu authentifizieren. Ausserdem kannst aber musst du nicht die selbe Passphrase (Passwort) für jeden Key benutzen.


Wie gesagt die Technik ist nicht neu und wird schon seit sicher 20 Jahren als Standard angesehen für jeden Admin der einen Server per SSH administriert (siehe https://www.ssh.com/academy/ssh/keygen). Jetzt soll die Technik halt so einfach nutzbar gemacht, dass auch Oma Hilde das hernehmen kann.

@M-X #75 über mir, ist so ungefähr der einzige der verstanden hat um was es hier geht.

 

[Hurricane.de]

Das ist nur die Voreinstellung (für die "einfacheren" Nutzer). Die PIN kann auf alphanumerisch mit mehr Stellen umgestellt werden.

Das mag ja sein, aber ich schrieb ja auch von "nicht so versierten" Nutzern. Und von denen gibt es a) jede Menge und b) werden sie größtenteils bei der einfachen, numerischen PIN bleiben. Und wenn die alles ist, was zwischen jemandem mit bösen Absichten und Zugriff auf PayPal steht, dann sehe ich Passkeys gerade nicht als sicherer an als ein aktuelles 2FA Anmeldeverfahren.

 

[Maike23]

Ich habe ein Standard Passwort welches immer eine kleine Abweichungen enthält.
So kann ich mir für alles die Passwörter merken.
Ja auch nicht der heilige Gral mit seinen Schwächen aber so finde ich es besser

Keine optimale Idee.
Man muss jederzeit damit rechnen, das irgendwo Datenbanken gehäckt werden oder es einfach Sicherheitslücken gibt ... Neulich erst wieder bei MS/Azure.

Und wenn Passworte erst einmal bekannt sind ( z.B .https://haveibeenpwned.com/ ) und Hacker auch mit der Faulheit der User vertraut sind, reichen diese kleinen Variationen nicht mehr aus.
Diese Variationen kann auch ein Hacker bzw ein Programm durchprobieren.

Hier mal bei CNN vorgeführt:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[mdPlusPlus]

Ich denke es wäre vorteilhaft, wenn man nicht gefühlt jedes Jahr einen neuen FIDO-Standard rausbringt, sondern mal auf die Umsetzung bestehender Standards pocht. WebAuthn/FIDO2 mit Hardware-Key ist doch wesentlich sicherer als ein "Passkey" in Software, oder habe ich da was falsch verstanden?

 

[Web-Schecki]

Werden deine Keys ebenfalls

Eben nicht.

Wenn er nicht auslebar wäre, dann könnte er auch nicht an Webserver übertragen werden.

Wird er halt auch nicht.
Übertragen wird maximal der Public-Key. Der ist aber kein Geheimnis.

Tatsächlich genau wie bei SSH. Da solltest du dich nochmal über die Funktionsweise informieren.