Autokiller677 schrieb:
Dem Hersteller des OS musst du immer vertrauen. Alles andere baut drauf auf, und kann durch das OS kompromittiert / funktionsunfähig gemacht werden. Um beim Beispiel zu bleiben: Wenn man da dann verhindern will, dass du bei Paypal reinkommst, blockt das OS einfach den Datenverkehr zu Paypal komplett und es ist völlig egal, ob du noch an dein PW kommst oder nicht.
Wenn du dem OS nicht vertraust, hast du viel größere Probleme als PW Manager vs. Passke
Nein, nicht nur Apps (inkl. Passwordmanager) haben regelmäßig neue Fehler und damit frische ("Zero Day") Angriffspunkte, sondern auch Browser, OS, und sogar die leistungsfähigen und damit zunehmen komplexen Prozessoren (Stichwort - Meltdown). Die Angreifbarkeit von Prozessoren löchert neben Softwarefehlern selbst die Sicherheit von OS-Kernels - auch wenn die Angriffe sicher teils komplex ausfallen werden - vielleicht so komplex das z.B. Phishing&Co ertragreichere Beutezüge verspricht.
Genau diese "Lücken"="Software- und Hardwarefehler" sind die - einzige - Existenzberechtigung und der Sinn von "Klasse3 Lesern" (statt nur Klasse 1 ohne sichere Tastatur und Display) und Karten mit Sicherheitsprozessoren (ePerso), Fido Dongles, Secure Elements in Smartphones und langsam aber sicher auch in anderen Mobiles und auch Computern/Tastaturen. Aber auch externen Authentisierern, PhotoTan Readern etc.
Sprich Devices die nichts anderes als Sicherheit können und können müssen, deswegen nur wenig Software, ein Nichts an OS, sehr einfache Prozessoren, die noch dazu eine feststehende Funktion haben - und in der Regel deswegen nie Funktionserweiterungen (sprich auch neue Softwarefehler) brauchen. Aber die dazu geeignet sind eine Transaktion wie "111€ auf das Konto 1001 überweisen" auf einem sicheren Bildschirm zu prüfen und dann mit PIN oder Fingerabdruck auf einer sicheren Tastatur/Biometriesensor zu bestätigen.
Sicher heißt dabei gerade das eine technisch komplexe fehlerbeladene also manipulierbare App, Browser, OS, Systemprozessor weder die Ausgabe auf dem Kontrolldisplay noch die Tastatureingabe (PIN)/Sensor(Fingerabdruck) belauschen oder manipulieren kann. Weil letztere halt bei der Authentisierung mit dem Sicherheitsprozessor des Secure Elements bzw. der Chipkarte/Dongle verbunden sind und nicht mit dem Systemprozessor mit seinem OS und Apps.
Die Vorbereitung der Transaktion kann dabei durchaus auf einem unsicheren System wie Smartphone oder Computer z.B. im Browser passieren - man muß nur die zusammengefaßte unmanipulierbare Transaktionsbeschreibung (sicherer verschlüsselter Kanal zum Webservice) auf einem sichereren Authentisierungsgerät gegenprüfen mit einem 2. Faktor (PIN oder Fingerabdruck) bestätigen - der Besitz des registrierten Authentisierungsgeräts (bzw. die Kenntnis z.B. eines Passkeys durch dasselbe) ist das erste Merkmal das geprüft wird. 2FA Authentifizierung in einem Rutsch.
Auch Authentisierer sind natürlich nur Hardware und Software und können und werden ihre Fehler haben. Und stammen von Firmen den man vertrauen oder nicht kann. Aber da die Funktion unverändert bleibt gibt es nie Funktionsupdates (wenn's richtig läuft), nur Sicherheitsupdates die die Fehler nach und ach beseitigen - neue kommen eher nicht dazu. Und Hard- und Software sind so einfach das sie doppelt und dreifach durch andere Sicherheitsfachleute im Details überprüft und zertifiziert werden können. Im besten Falle sind sie so einfach das ihre Richtigkeit mathematisch bewiesen werden kann.
Angreifbar sind solche Sicherheitsansätze vor allem bei dem Drumherum - wie sind die Service-Abläufe wenn's mal nicht mehr geht. Wie sieht der Kopierprozess von Passkeys aus. Wie sieht das dazuaddieren zusätzlicher Geräte zum eigenen Account und damit dem Bereich wo die Passkeys hinkommen können aus. Oder eben bei dem Kopf - Phishing/Social Engineering oder "Ich bin Neffe/Chef und brauch ganz dringend"
Wie sich Passkeys hier schlagen werden wir wohl erst noch rausfinden - denn vieles von der Implementation dieser Technik und Prozeduren drumherum ist von FIDO bewußt nicht vorgeschrieben sondern den Technikfirmen (Apple, Google, Microsoft ..) überlassen worden. Zur Beurteilung muß man's erst mal in die Finger kriegen. Was ja so gerade passiert (Apple: iOS16,iPad16,macOS16). Aber vom Prinzip her sieht die Lösung sehr vielversprechend aus. Ende des (bisherigen) Passwortes ist nicht zu hoch gegriffen. Obwohl - bis auf ein einziges: die PIN zum FIDO (Passkey)Schlüsselbund (z.B. im Smartphone)
.. (wenn man nur eins davon hat).
Ich find's bemerkenswert das Paypal da mal wieder die Nase ganz vorn hat. Hab mich schon gefragt wie lange unsere Banken sich wohl sträuben werden - ein weiteres Mal ihre halbgaren proprietären unsicheren und (trotzdem!) schlecht bedienbaren Sicherungsverfahren und das "Drumrum-Wiederherstellungs-Prozedere" grundsätzlich zu verändern. Nach Paypal wird's vielleicht etwas schneller gehn
