News Windows 11 24H2: Windows Hello erhält neues Design und neue Funktionen

[Flutefox]

@Flutefox Ich nutze Hello mit dem Firmenlaptop und manche sicher auch privat, also warum nicht

An der Stelle hätte ich vllt. konkretisieren sollen was ich meine. Nicht Windows Hello, den Privacy Alptraum darf jeder gerne für sich entscheiden. Es ging mir eher um das neue Design. Windows hat optisch noch mehr als genug Baustellen... Der verlinkte Artikel ist etwas älter, aber relevant ist er immer noch: https://ntdev.blog/2023/01/01/state...yers-of-ui-inconsistencies-are-in-windows-11/

 

[Crowbar]

Da haben sicher 99% der User drauf gewartet! 🤡

Die sicherheitsinteressierten durchaus.

 

[Flutefox]

@Crowbar Von Sicherheit bei einer durch Microsoft implementierten biometrischen Lösung zu sprechen ist doch etwas... schwierig. Da gibt es mit Yubikeys etc. bessere Alternativen. Genügend Artikel im netz für das bypassing von Windows Hello lassen sich finden.

 

[Ganjaware]

"also Gesichtserkennung, Fingerabdruck oder PIN – über mehrere Geräte hinweg anzumelden."

aha, solche Daten werden aktuell am liebsten gefiltert, gespeichert und kategorisiert von M$.

China und Russland können zur Not "jederzeit" ein Passwort-Backup liefern:
Zitat: "Schon im Januar hatte der Konzern informiert, dass im November Angreifer in ein altes Testsystem kamen und dort Passwörter erbeuteten. Von diesem Testsystem kamen sie auch auf ein echtes System".
https://www.mdr.de/nachrichten/deutschland/wirtschaft/microsoft-hacker-angriff-sicherheitsluecke-100~amp.html#amp_tf=Von %1$s&aoh=17307488582783&referrer=https://www.google.com

 

[[n]ARC]

Schön zu sehen, dass Windows immer mehr sich dem Design on MacOS angleicht xD

 

[icked]

@Andy kann es sein, dass dir bei der preview Build ein Fehler unterlaufen ist?

226xx sollte raus aus der Insider, das waren die Builds vor 24h2 (26xxx), die auch nicht kompatibel sind mit der Germanium Plattform.

 

[SSD960]

Passkeys ist ok. Aber warum soll ich die auf den MS oder Google Servern ablegen? Und Keepass plus 2FA sind vielleicht nicht so Praktisch aber im Augenblick bleibt es dabei!

Ergänzung (4. November 2024)

"also Gesichtserkennung, Fingerabdruck oder PIN – über mehrere Geräte hinweg anzumelden."

aha, solche Daten werden aktuell am liebsten gefiltert, gespeichert und kategorisiert von M$.

alles zu deiner Sicherheit gespiegelt .

 

[AvenDexx]

Neues Design ist natürlich wichtiger als Fehlerkorrekturen.

Ja, weil auch alle plötzlich ihre Arbeit niederlegen und am Anmeldebildschirm arbeiten...

Aber mal was Anderes:

Was ich an dem Passkey System noch immer nicht verstehe ist, was passiert, wenn das Ausgangsgerät mal ausfällt. Was passiert also Beispielsweise, wenn mein PC der Ausgangspunkt für die Erstellung eines Passkeys ist, mir unerwartet der PC verreckt und ich ein neues Mainboard, neue CPU oder gar einen ganz neuen PC benötige und Windows komplett neu installieren muss? Oder wenn ich als Einrichtungsgerät das Handy genutzt habe, dieses einen unerwarteten Defekt aufweist, ich nicht mehr an meine Daten kommen und ein neues Handy von Grund auf neu einrichten muss.

Entweder habe ich bei den ganzen Artikeln zu Passkey etwas nicht oder falsch verstanden, oder ich bin einfach zu blöd. Als damals der Artikel hier auf CB dazu erschien klang das ja auch alles ganz gut, aber das wurde da auch nur bedingt angesprochen und die Unsicherheit blieb bis heute. Das klang alles so, als wenn man mit ganz viel Pech den Zugriff auf alle Geräte verlieren könnte. Irgendwo stehe ich beim Verständnis noch auf dem Schlauch.

 

[Drummermatze]

Wie sicher ist das denn? Lässt sich Windows Hello mit einem Foto des Benutzers umgehen?

 

[ComputerJunge]

Irgendwo stehe ich beim Verständnis noch auf dem Schlauch.

Nach meinem Verständnis ist Dein Verständnis schon korrekt. Wie bei nur einem YubiKey wären bei nur einem anderen HW-basierten Passkey-Speicher die Zugänge bei Verlust/Defekt flöten.

Daher bieten ja Apple, Microsoft (und Google?) diese Cloud-basierte (und dann zwingenderweise Account-gebundene) Möglichkeit zur Synchronisation auf mehrere Geräte.

Das ist blöd:

• wenn man sich grundsätzlich nicht an einen der "Großen" binden will
• in mehr als einem der großen Ökosysteme unterwegs ist

Passkeys ist zwar die sicherste Form der Authentifizierung, in der bisher von mir verstandenen Praxis ist es mir aber zu sperrig.

 

[fdsonne]

Genügend Artikel im netz für das bypassing von Windows Hello lassen sich finden.

Du meinst bestimmt Artikel wie diesen hier?
https://www.heise.de/news/Yubikey-C...-Update-vielleicht-Key-Austausch-9857807.html

Sorry, aber dieser pauschale Käse, "Microsoft = unsicher" ist einfach quatsch...

China und Russland können zur Not "jederzeit" ein Passwort-Backup liefern:
Zitat: "Schon im Januar hatte der Konzern informiert, dass im November Angreifer in ein altes Testsystem kamen und dort Passwörter erbeuteten. Von diesem Testsystem kamen sie auch auf ein echtes System".

Nicht nur die Headline lesen. Da steht, dass die Passwörter in EMails zu finden waren - das kann man mit 100% Sicherheit ankreiden. Aber das ist eben etwas, was nichts, aber auch gar nichts mit einem "Hack" zu tun hat. Wenn aus welchen Gründen auch immer, irgendwo Zugangsdaten im Klartext rumgeschickt werden, läuft bei der Person, die das tätigt, gewaltig was falsch. Die gleiche Gruppe von Personen, die das da verbockt hat, verbockt sowas auch bei jedem anderen Thema.

Was ich an dem Passkey System noch immer nicht verstehe ist, was passiert, wenn das Ausgangsgerät mal ausfällt. Was passiert also Beispielsweise, wenn mein PC der Ausgangspunkt für die Erstellung eines Passkeys ist, mir unerwartet der PC verreckt und ich ein neues Mainboard, neue CPU oder gar einen ganz neuen PC benötige und Windows komplett neu installieren muss? Oder wenn ich als Einrichtungsgerät das Handy genutzt habe, dieses einen unerwarteten Defekt aufweist, ich nicht mehr an meine Daten kommen und ein neues Handy von Grund auf neu einrichten muss.

Kommt ja letztlich drauf an, was du am Ende damit machst?
Ich mein, vereinfacht gesagt, wenn du einen Tresor hast, wo du deine PWs drin ablegst und der voll verschlüsselt ist und du das Entschlüsslungsmedium "vergisst", ist der auch auf absehbare Zeit unwiederbringlich geschlossen...

Am Ende sichert ein Passkey in erster Linie erstmal den Zugriff auf einen Account ab. Das heißt aber nicht, dass der Passkey die einzige Option ist, in/an den Account zu kommen. Natürlich muss man dabei abwägen, was letztlich weitere Löcher im Konzept bedeuten. Wie eben wenn du jemand anderem auch den Tresorschlüssel gibst. Nichts desto trotz ist das letztlich einfach nur eine Einstellung in der Software des Anbieters. Wenn die den schalten umsetzen, dass der Zugriff ohne Passkey geht, dann wird auch bei gestohlenem oder verlorenen Passkey ein Zugriff möglich sein. Selten bis nie wird das System von ganz vorn bis ganz hinten nur auf einem einzigen geheimen Schlüssel basieren, sodass bei Verlust dieses einen Schlüssels auch die Daten (sie im Tresor Beispiel) verlustig sind. Die große Preisfrage dabei eigentlich nur, ob man seine Identität ggü. dem Anbieter nachweisen kann oder nicht. Um so anonymer man den Account hält, desto schwerer dürfte ein Nachweis werden.

 

[AvenDexx]

Nach meinem Verständnis ist Dein Verständnis schon korrekt. Wie bei nur einem YubiKey wären bei nur einem anderen HW-basierten Passkey-Speicher die Zugänge bei Verlust/Defekt flöten.

Daher bieten ja Apple, Microsoft (und Google?) diese Cloud-basierte (und dann zwingenderweise Account-gebundene) Möglichkeit zur Synchronisation auf mehrere Geräte.

Das ist blöd:

• wenn man sich grundsätzlich nicht an einen der "Großen" binden will
• in mehr als einem der großen Ökosysteme unterwegs ist

Passkeys ist zwar die sicherste Form der Authentifizierung, in der bisher von mir verstandenen Praxis ist es mir aber zu sperrig.

Ja ok, also stehe ich doch nicht so ganz auf dem Schlauch. Und das was du erwähnst, ist ein Problem, denn ich bin bei mehreren der großen Anbieter.

Das mit dem Synchronisieren ist mir bewusst, sofern ich das in den alten Berichten richtig gelesen habe. Die Passkeys werden durchaus synchronisiert, aber wenn ich mich recht erinnere ist es doch so, dass es ein Hauptgerät gibt und dann mehrere Nebengeräte, je nachdem was man da an zusätzlicher Hardware hat (oder werfe ich da was durcheinander?). Und genau da kam eben die Frage auf, wenn das Hauptgerät ein Problem hat und ersetzt werden muss, wie es sich dann verhält. Aber anscheinend ja eben so, wie ich es vermutete.

Und ja, genau das finde ich gefährlich. Verlierst man seine Passwörter und hat sie nicht im Kopf, kann man relativ schnell Neue erstellen. Zudem lassen sich Passwörter einfacher sichern und wenn es auch nur zusätzlich Manuell zu Hause wäre.

Ich weiß nicht, ich traue dem Braten noch nicht, was die Sicherheit bei Verlust betrifft. Das wirkt auf mich tatsächlich auch relativ sperrig. Bisher habe ich auf "sichere Passwörter" gesetzt inkl. 2FA. Das ist zwar auch bedingt sperrig, aber bei Verlust der Passwörter komme ich eben doch recht unkompliziert wieder an diese heran.

Aber danke für die Info 👍. Damit bin ich ein Stück weitergekommen...glaube ich...

 

[ComputerJunge]

Ich weiß nicht, ich traue dem Braten noch nicht, was die Sicherheit bei Verlust betrifft.

Es ist halt die digitalisierte Form eines analogen Schlüssels. Wer ihn hat, hat die Zugriffe. Wer ihn nicht mehr hat, hat ihn nicht mehr.

Vom Kernkonzept halte ich Passkeys für das bisher beste Konzept. Vor allem, weil der private Schlüssel die Domäne enthält und damit das man-in-the-middle-Angriffszenario mitigiert.
Dieser Angriffsvektor trifft nach meiner Einschätzung am häufigsten die eher unbedarfte (und - wertfrei - bequemere) Nutzerschaft. Von dieser wiederum nehme ich an, dass sie zum überwiegenden Teil in nur einem Ökosystem unterwegs ist. Und daher halte ich für diese Zielgruppe Passkeys für die bequemste Form von maximaler Sicherheit.

Da ich selbst noch keinen angelegt habe, nur als Vermutung: Meines Erachtens spricht nichts dagegen, dass man einen per Passkey abgesicherten Account als weitere Option einen Recovery-Key (oder eine vergleichbare Fallback-Methode) "spendiert".

Ich jedenfalls beobachte erst einmal weiter, wie sich das insgesamt entwickelt, und bis dahin gereicht mir auch der bisherige Weg aus generierten Geheimnissen in Keepass und 2FA.

 

[endlichmal]

Danke, Ich wusste nicht was Windows Hello ist, und nach dem Beitrag, weiß Ich auch, das Ich es nicht brauche. Ach herrje, fast vergessen das Ich noch beim "letzten Windows aller Zeiten, aka 10" hängen geblieben bin..

 

[prayhe]

fast vergessen das Ich noch beim "letzten Windows aller Zeiten, aka 10" hängen geblieben bin

Das hatte lediglich mal ein Entwickler auf einer Konferenz so nebenbei impliziert, es gab jedoch nie ein offizielles Statement von Microsoft, dass das in irgendeiner Form bestätigt hat.