Ersetzen Passkeys bald die klassischen Zugangsdaten?

[aktiendealer]

Hi, 

zur Zeit arbeitet die FIDO-Allianz an einem Ersatz für Passwörter und nennt sich passkey.

Das ist eine Art USB-Stick, der dann Passwort/EMail ersetzt. Man kann ihn auch per RFID ans Handy halten.

Google, Microsoft, Mastercard, Alibaba und viele andere machen mit. Ich glaube, es wird ein großes Ding.

Hier kann man schon einen kaufen. Es soll schon bei Google und manchen anderen auf Android  funktionieren. Bei iPhone weiß ich es nicht.

Hier der Beitrag bei Br.de.

Glaubt ihr auch, es wird ein großes Ding oder bleibt alles beim Alten?

 

[Cauchykriterium]

vor 7 Minuten von aktiendealer:

Das ist eine Art USB-Stick, der dann Passwort/EMail ersetzt.

Naja, ich glaube nicht, dass dieser Stick ein Protokoll wie SMTP ersetzen wird.

[slowandsteady]

vor 20 Minuten von aktiendealer:

Ich glaube, es wird ein großes Ding.

Glaube ich nicht, denn die NFC-kompatiblen Sticks kosten Größenordnung 30-50€ und man braucht eigentlich 2, sonst kann man sich nicht mehr einloggen, wenn man ihn verliert. Und damit ist der Preis hoch genug, dass der durchschnittliche Privatanwender ablehnen wird und lieber wieder "Sommer2022!" als Passwort nimmt.

Ich habe übrigens privat einen USB FIDO key, aber den kann ich höchstens bei Facebook, Google und Github einsetzen - kleinere Dienste bieten es nicht an. Das wird sich nur durchsetzen, wenn die Hardware in solchen Stückzahlen produziert werden, dass man sie für <10€ nachgeschmissen bekommt.

 

Und selbst, wenn jeder so einen Key hat, gibt es immer noch genug "Legacy"-Webseiten, die ein Passwort benötigen werden.

[s1lv3r]

vor 37 Minuten von slowandsteady:

Und selbst, wenn jeder so einen Key hat, gibt es immer noch genug "Legacy"-Webseiten, die ein Passwort benötigen werden.

 

Warum? Das kann man doch garantiert an den Passwort-Manager des Browsers anbinden ...

 

Tatsächlich hast du aber glaube ich recht, dass es ziemlich fraglich ist, ob der normale Benutzer so ein großes Sicherheitsbedürfnis hat, sich zusätzliche Hardware anzuschaffen.

 

Rein vom Komfort her, sehe ich kaum Vorteile zu einer softwarebasierten Verwaltung über mehrere Geräte hinweg, wie sie jetzt z.B. schon alle Apple-Benutzer über die Apple-Keychain zur Verfügung haben.

[Euronensammler]

Warum setzt sich eigentlich nicht die AusweisApp durch? Die Technik ist vorhanden und extra Kosten gibt's auch nicht. Ich nutze sie für einen öffentlicheh Anbieter. Klappt.

[oktavian]

vor 3 Stunden von aktiendealer:

zur Zeit arbeitet die FIDO-Allianz an einem Ersatz für Passwörter und nennt sich passkey.

Das ist eine Art USB-Stick, der dann Passwort/EMail ersetzt.

Guter Witz. Diese sticks gibt es schon ewig.

Passkey ist dateibasiert nach deinem selbst verlinkten Artikel. Das ist eher einmal einloggen und dann ist das Gerät authentifiziert. Derzeitige Cookies sind nicht so sicher. Im Prinzip hat jeder Laptop so einen key doch schon im TPM Modul und android handys haben es auch. Daher könnte man angemeldete Geräte darüber authentifizieren.

[gruber]

vor 1 Stunde von Euronensammler:

Warum setzt sich eigentlich nicht die AusweisApp durch?

Die AusweisApp bzw. eID ist ein Ersatz für Post-Ident bzw. Video-Ident. Bei ausgewählten öffentlichen Dienstleistungen (Finanzamt, Rentenversicherung etc.) kann man sie auch zum Login verwenden. Das Ganze ist aber räumlich begrenzt auf Deutschland.

 

Ansonsten kommt es wohl auf Grund der Kosten nur noch für große Unternehmen wie Banken oder Versicherungen in Frage. Aber hier gibt es ein Henne-Ei-Problem. Weil kaum ein Bürger die eID-Funktion des Personalausweises nutzt, macht es für die Unternehmen wenig Sinn die entsprechende Infrastruktur vorzuhalten und die Kosten dafür zu tragen. Weil kaum ein Unternehmen es anbietet, macht es für einen Bürger wenig Sinn sich damit zu beschäftigen oder z.B. einen NFC-Leser für den PC zu besorgen.

[Euronensammler]

vor 5 Minuten von gruber:

macht es für einen Bürger wenig Sinn sich damit zu beschäftigen oder z.B. einen NFC-Leser für den PC zu besorgen.

Als NFC-Leser für den PC kann man auch das Handy benutzen und die AusweisApp auf PC mit der AusweisApp auf dem Handy verbinden. Aber es war schon etwas fummelig, bis die richtigen Hinweise gelesen hatte und es ans Laufen kriegte.

[aktiendealer]

Weiß jemand, was passiert, wenn man den Passkey verliert? Hat man dann nen Ersatz-Passkey? Oder bekommt man per E-Mail nen Link zum Einrichten eines neuen Passkeys?

Ersetzt der Passkey das Passwort oder kann man es parallel nutzen?

[chris1284]

vor 17 Stunden von Cauchykriterium:

Naja, ich glaube nicht, dass dieser Stick ein Protokoll wie SMTP ersetzen wird.

Er meint sicher die PW  und Mail-Adresse  (Username) kombi, die dadurch ersetzt wird

[slowandsteady]

vor 12 Stunden von aktiendealer:

Weiß jemand, was passiert, wenn man den Passkey verliert?
Ersetzt der Passkey das Passwort oder kann man es parallel nutzen?

Wenn man sich parallel nur mit einem Passwort einloggen kann oder es über die E-Mail-Adresse wieder zurücksetzen kann, dann hat man nichts an Sicherheit gewonnen im Vergleich zum klassischen System Email+Password und "Passwordreset". Daher schrieb ich oben schon:

vor 17 Stunden von slowandsteady:

an braucht eigentlich 2, sonst kann man sich nicht mehr einloggen, wenn man ihn verliert.

Es ist eine gute Idee, aber im Alltag zu kompliziert für 99% der nicht-IT-affinen Privatanwender. Was es aber gibt ist, dass mittlerweile "Cyber Insurance" Versicherungen Unternehmen fragen, ob sie 2-Faktor-Authentifizierung für alle Mitarbeiter haben (und auch ob sie on-premise Exchange haben) und davon abhängig die Prämie anpassen. Von daher sehe ich eine Chance, dass es sich bei Firmen durchsetzt.

[wpf-leser]

Am 8.11.2022 um 09:54 von slowandsteady:

Von daher sehe ich eine Chance, dass es sich bei Firmen durchsetzt.

Die Prämienanpassung hat auch den ganz profanen Grund, dass man in ein Unternehmen ohne 2FA deutlich leichter "einsteigen" kann. Alleine schon die oft berechtigte Furcht vor erfolgreichen Angriffen und damit verbundenen Kosten / Imageschäden sind Kriterien, die hier stark drücken. Der Rest kommt on top.

 

Dass sich FIIDO2-Keys etc. durchsetzen sollten, sehe ich allerdings ähnlich weit weg - es gibt einfach sehr viele Möglichkeiten, einen zweiten Faktor beizusteuern. (IP-Netze, TPM, Mobiltelefone per App/SMS/Anruf (sowohl geschäftlich wie privat), gerne auch durch eine Windows-Anwendung abstrahiert (z.B. authy), Smart cards, etc. pp.) Dass hier ausgerechnet die USB-Dongles das Rennen machen sollten, ist imho nicht abzusehen.