Post by Andreas BoruttaVerteilung der Geheimnisse auf mehrere Karten (Smartphone, Notebook,
Security-Sticks), IDMs (Identitäts-Management-Tools), Tresore
(Gruppierung), ... = hohe Komplexität.
Vielfalt der Mittel sehe ich noch nicht zwingend als hohe
Komplexität, sondern das kann sogar der Robustheit dienen,
denn wenn eins ausfällt, habe ich noch diverse andere.
Was mir jedoch nicht behagt, das ist die Komplexität einzelner
Verfahren oder Geräte. Ein Passwort ist bloß ein Stück Text
und damit eine simple Sache. Eine TAN per SMS ist auch noch
vergleichsweise simpel.
Eine Authenticator-App, die fix an ein konkretes Smartphone
gebunden ist, da wird es plötzlich komplex.
Passkeys sind auch vergleichsweise komplex. Das sind proprietär
gespeicherte Schlüssel. Da soll ich als Nutzer nicht leicht
rankommen können, damit ich sie nicht aus Versehen einem Hacker
aushändige. Nur blöd, dass zugleich auch für mich selbst nun
unbequem wird, mich gegen Ausfälle zu schützen.
Post by Andreas BoruttaPost by Andreas M. KirchwitzGehackt werden selten Passwörter als solche, sondern die Dienste
dahinter.
Wenn Passwörter bei Diensten erbeutet werden, ist doch hilfreich, wenn
es bei den Diensten keine solchen Geheimnisse zu erbeuten gibt, oder?
Ist mir doch egal. Wenn ein Dienst gehackt wird, ist er gebrochen,
und ob danach mein Passwort von dort in einer Liste im Darknet steht,
ist doch völlig wumpe. Mit dem Passwort kann man nichts anfangen.
Was auch immer danach schiefgeht, die Verantwortung liegt allein
beim Dienstbetreiber, egal ob Passwörter oder Passkeys.
Post by Andreas BoruttaHast Du denn Lust über die "verschiedenen Orte, Aufteilungen" zu
sprechen? Falls Du es nur privat mitteilen möchtest: auch gerne.
Meine Anforderung ist schlicht, dass ich verschiedene "Datenbanken"
pflege für meine digitalen Identitäten. Ein guter Passwort-Manager
erlaubt ja eine Vielzahl unterschiedlicher Vaults, jeweils einzeln
abgesichert. Benötige ich sowohl privat als auch beruflich.
Werden alle gängigen Passkeys-Implementierungen ebenfalls eine
Aufteilung anbieten? Oder wird es eher wie im Webbrowser sein,
wo es die "eine" Passwort-Datenbank gibt, wo wild gemischt alles
drin steht? (Ja, im Browser kann man sich mehrere Profile
anlegen, aber dann wird's echt ein Riesenaufwand.)
Post by Andreas BoruttaPost by Andreas M. KirchwitzIch meide mehrere Faktoren, wo ich kann, weil mehrere Faktoren
im normalen Alltag großer Mist sind. Damit schließt man vor allem
sich selbst aus, jedoch Angreifer höchst selten.
Wie meinst Du das bitte? Hast Du ein Beispiel?
Mit jedem weiteren Faktor, mit dem eine digitale Identität
verbarrikadiert wird, steigt das Risiko, dass einer der Faktoren
gerade nicht zugänglich ist (FIDO2-Stick zu Hause vergessen) oder
ausfällt (z.B. Smartphone geht kaputt oder schlicht Akku leer),
und dann bleibt meine digitale Identität verschlossen. Vor allem
vor mir selbst. :-(
In der Realität schießen sich dadurch die Leute erheblich öfter
einfach bloß selbst in den Fuß, als dass es tatsächlich einen
bösen Hacker abgehalten hätte.
Post by Andreas BoruttaPasskeys können auch mit Bidwarden genutzt werden, ohne Google und
Apple.
Bis vor kurzem nicht, das wird gerade nach und nach umgesetzt,
und Passkeys selbst zu verwalten, das tut richtig weh, das ist
eine schmerzhafte Angelegenheit.
Mit Passkeys habe ich zudem nun den Zwang, dass es Plug-ins für
Browser geben muss, schließlich muss der Passkey aus dem Vault
in den Browser kommen. Was für ein Horror. :-( Ich verwende bei
Passwörtern keine Plug-ins. Wenn ich mal eins brauche, was ja
so oft gar nicht der Fall ist, tippe ich das ab oder mache
auch mal bequem Cut & Paste (jaja, böses Risiko).
Die extrem große Mehrheit wird Passkeys nicht selbst verwalten,
dafür sind die Hürden einfach zu groß, und wie soll das auch
auf Smartphones funktionieren, wo Plug-ins bei den meisten
Browsern gar nicht möglich sind?
Man wird sich zwangsweise oft in die Hände von Google, Apple & Co.
begeben müssen, man wird praktisch gar keine andere Wahl haben.
Post by Andreas BoruttaIst dann noch die Abhängigkeit gegeben, die Du kritisierst?
Ja, daran ändert sich nichts, Passkeys machen mich abhängig,
und zwar ohne Not, denn Passwörter funktionieren und sind
bereits überall da. Warum sollte ich auf Passkeys umsteigen,
die mir keine Vorteile bringen, sondern nur Nachteile?
Post by Andreas BoruttaPost by Andreas M. KirchwitzFIDO2-Sticks sind so ein Nerd-Ding und für den normalen Alltag
für normale Menschen untauglich, und zudem hätten selbst die
neuen Modelle nicht genug Platz für all meine Logins.
Es geht ja nur um eine /zusätzliche/ Form, die nicht im Alltag
verwendet wird.
Das ändert doch nichts daran, dass bei der Verwendung eines
FIDO2-Sticks als Backup man diesen aktuell halten muss, also
muss ich ihn doch in meinen Alltag einbinden und dabei haben.
Passkeys steigert die Zahl der Logins ja extrem, man wird den
FIDO2-Stick ständig aktualisieren müssen. Jeder Login ist eine
komplett eigenständige Identität, das ist das zentrale Konzept
von Passkeys.
Das war bisher bei den FIDO2-Sticks anders, dort wollte man
ähnlich SSH-Keys nicht zwingend überall eigene SSH-Keys haben,
sondern man hat im Alltag oft mit Sets gearbeitet, also eine
Identität für mehrere Zwecke. Deshalb brauchte man auch nicht
viele Speicherplätze.
Wie gesagt, mit einem FIDO2-Stick allein wird man eh nicht weit
kommen, denn auch die neuen Kapazitäten werden nicht weit reichen.
Post by Andreas BoruttaPost by Andreas M. KirchwitzFragt sich zudem, wie gut Passkeys zwischen verschiedenen
Anbietern bzw. Accounts austauschbar sind,
Zwischen Plattformen Windows und Apple gar nicht.
Na ja, technisch wären sie ja schon austauschbar, aber ist halt
die Frage, ob Anbieter zwecks Kundenbindung nicht frech einen
Export aus vorgeschobenen Sicherheitsheitgründen verweigern.
Post by Andreas BoruttaPost by Andreas M. Kirchwitzdenn wenn mir z.B.
Google meinen Account sperrt, wie bringe ich die Passkeys
woanders wieder ins Rennen?
Zum Beispiel mit dem für genau solche Fälle gefüllten Fido2-Stick.
Das wird in der Praxis unrealistisch sein. Passkeys sind ein
"Massenprodukt", also jeder Mensch wird davon schnell hunderte
oder tausende ansammeln. FIDO2-Stick wird man im Alltag kaum
noch aktuell halten können. FIDO2-Sticks erfordern ja jetzt
schon Leidensfähigkeit, doch als Backup-Medium für Passkeys
grenzt es eher am Masochismus.
Post by Andreas BoruttaPost by Andreas M. KirchwitzGanz wichtig wäre für mich auch, zwischen verschiedenen
Passkeys-Vaults unterscheiden zu können. Auf gar keinen Fall
dürfen alle Passkeys in einen großen Topf, das wäre fatal.
Das hatten wir ja oben bereits. Verteilung erhöht die Robustheit, aber
auch die Komplexität. Und sie erschwert natürlich die Nutzung. Ich
halte es für unwahrscheinlich, das normale Ottos ihre Autentisierungen
bereitwillig auf verschiedene Orte verteilen. Egal ob es das System
Passwortmanager oder Passkey-Container ist.
Bei Passwort-Managern ist das ein gängiges Feature und für viele
Arbeitnehmer im technischen Bereich ist das eine Grundvoraussetzung.
Wenn Passkeys das nicht leisten, sind sie im Firmenumfeld schon
gleich zu Beginn ein totes Pferd.
Ich bin gespannt. Bisher sind es ja nur Vermutungen, wie die
Implementierungen aussehen werden. Möglich ist ja vieles.
Post by Andreas BoruttaWeil jedes technische System seine Vor- und Nachteile hat.
Das stimmt, und statt Passwörter zu verfluchen, wäre Passkeys
vielleicht mehr geholfen, sie nicht als Ablösung zu vermarkten,
sondern als zusätzliches Feature. Und dann sehen wir mal, wie
sie umgesetzt werden.
Bisher ist die User Experience mit Passkeys eher bescheiden,
das ist noch nichts für normale User, sondern nur für Nerds.
Mal schauen, wie es sich entwickelt und ob Google und Apple
Machtspielchen treiben. Wie das bei Apple ist, weiß ich nicht,
aber Google-Accounts nutzen viele Leute wie Wegwerf-Accounts.
Das ginge dann nicht mehr ohne weiteres, wenn man seine digitale
Identität an einen festen Account bindet. Das könnte den Leuten
nicht gefallen.
Post by Andreas BoruttaFrage mal normale Ottos, wie interessiert sie daran sind einen
geräteübergreifend synchronisierenden Passwortmanager einzurichten und
zu bezahlen, wenn der vom Betriebssystem mitgelieferte out of the box
funktioniert.
Die normalen User kommen aktuell mit ihren Passwörtern recht
gut klar, auch wenn die Marketing-Abteilungen von Sicherheits-
Firmen uns ständig was anderes einreden wollen. Erfolgreiche
Angriffe auf Passwörter sind heutzutage eher selten, das ist
auch oft gar nicht mehr das Ziel der Hacker.
Die meisten Leute verwenden im übrigen nicht mal einen
Passwort-Manager. So leicht werden die nicht auf Passkeys
umsteigen, das ist ihnen viel zu technisch, außer man zwingt
sie dazu, aber da würde ich vorsichtig sein, denn es gibt
noch genug Umgebungen, wo an Passwörtern kein Weg vorbei
führt, weil dort nicht mit Smartphones und anderen Gadgets
gespielt werden darf.
Sollten Passkeys mir irgendwann in Zukunft auch Vorteile bieten,
werde ich überlegen, ob sie die Nachteile kompensieren können.
Momentan bin ich mit Passwörtern in allen Belangen besser dran.
Grüße, Andreas