Passkeys - die besseren Passwörter?

Für eilige Leser

• Menschen sind die größten Schwachstellen eines Computers - zumindest wenn es um Benutzername und Passwort und damit den Zugang zu Daten und Anwendungen geht. Daher sind Menschen ein Hauptziel von Hackern.
• Trotz Zweifaktor-Authentication hat sich die Sicherheit nicht grundlegend geändert. Findige Cyberkriminelle suchen und finden dank Social Engineering Möglichkeiten, dass ein Benutzer seinen zweiten Faktor preisgibt.
• Passkeys sollen das ändern: Statt Benutzername und Passwort sowie zweiter Faktor wird zukünftig bei der Registrierung für eine Anwendung automatisch ein Passkey erstellt, der zur Hälfte auf dem Endgerät, zur Hälfte in der Anwendung gespeichert wird.
• Will sich der Benutzer in der Anwendung anmelden, wird der Passkey im Hintergrund benutzt, um den Benutzer zu authentisieren. Die Eingabe von Benutzernamen und Passwort entfällt.
• Die großen Internet Browser Hersteller haben bereits mit der Implementierung der Passkey Technologie begonnen. Einige Webseitenbetreiber bieten Passkeys für die Anmeldung bereits an.

Tipp zum Ausprobieren

AI spielt in der Security eine immer dominantere Rolle; zu komplex sind die Bedrohungen, dass menschliche Reaktionsfähigkeit ausreichen würde. Wer sich für einen redaktionell umsichtig zusammengestellten wöchentlichen Newsletter interessiert, ist mit dem Handelsblatt KI-Briefing gut bedient.

Passwörter - ein Problem im Cloud-Zeitalter

Passwörter sind seit Jahrzehnten der de-facto Standard zur Authentisierung von Benutzern. Jedoch werden sie zunehmend zum Problem:

• Wir vergessen sie leicht.
• Wir verwenden sie mehrfach.
• Sie können leicht gestohlen werden.
• Sie können abgefangen und missbraucht werden.

Gerade in Zeiten von vielen heterogenen Systemlandschaften muss ein Benutzer über 100 Passwörter verwalten, benutzen und sicher speichern. Ein Risiko für jedes Unternehmen.

Die Verwendung von Passwort Managern ist zwar eine Lösung für eine sicherere Verwaltung von Zugängen, jedoch unterliegt auch diese der inhärenten Problematik von Passwörtern, dass diese zwischen Client und Server übertragen werden müssen.

Passkeys ändern das. Die Zeit der Passwörter läuft ab.

Was sind Passkeys?

Passkeys sind Zugangsdaten, die auf dem Endgerät des Benutzers während seiner Registrierung in einer Anwendung oder auf einer Webseite erzeugt und gespeichert werden. D.h. der Benutzer vergibt keinen Benutzernamen und ein Passwort mehr, sondern im Hintergrund werden von seinem Endgerät sogenannte Schlüssel erstellt, von denen einer zur Anwendung bzw. Webseite übertragen wird, um dort als "Gegenstelle" gespeichert zu werden.

Registrierung

1. Ein Benutzer geht zu einer Webseite, um sich dort zu registrieren.
2. Die Webseite hat den Passkey Standard (gem. standardisiertem FIDO protocol "WebAuthn") implementiert und sendet dem Benutzer eine Konfigurationsdatei mit der Aufforderung, einen Passkey zu erzeugen.
3. Das Endgerät des Benutzers nimmt diese Konfigurationsdatei entgegen und zeigt sie dem Benutzer an.
4. Der Benutzer liest die Konfigurationsdatei mit einem Authenticator-Programm automatisch ein, welcher den FIDO WebAuthn Standard unterstützt.
5. Daraufhin erzeugt das Authenticator-Programm ein einzigartiges Schlüsselpaar: Einen privaten, einen öffentlichen.
6. Der private Schlüssel wird durch einen zusätzlichen biometrischen Schutz auf dem Endgerät gespeichert, der öffentliche Schlüssel wird an die Webanwendung übertragen und dort automatisch gespeichert.

Anmeldung

1. Die Webseite schickt an das Benutzergerät eine "Authentication Challenge", eine dynamisch erzeugte Nachricht, welche das Benutzergerät mit seinem privaten Schlüssel signieren soll.
2. Das Authenticator-Programm erkennt diese Aufforderung und bittet den Benutzer, sich mit seinen biometrischen Daten zu autorisieren.
3. Ist die Autorisierung erfolgreich, signiert das Authenticator-Programm die Challenge und schickt diese signierte Version zurück.
4. Die Webseite prüft anhand des öffentlichen Schlüssels, ob die Signatur gültig ist. Im positiven Fall gewährt die Webseite dem Benutzer Zugriff.

Passkeys leben von digitalen Zertifikaten.

Vorteile von Passkeys

Sicherheit

Die Kombination aus der Public-Key-Kryptographie und der biometrischen Authentifikation beseitigt das Problem der Passwort-Wiederverwendung, dem Ausspähen eines zweiten Faktors sowie dem Passwort-Diebstahl von Servern.

Komfort

Das Passkey-Verfahren ist komfortabler für den Benutzer, da dieser keine Benutzernamen und Passwörter sich mehr merken muss.

Phishing-Resistenz

Passkeys werden in keiner Anwendung oder auf keiner Webseite als Geheimnis gespeichert. Die Angriffsfläche für "Social Engineering" ist deutlich geringer.

Plattformunabhängigkeit

Da Passkeys ein Web-Standard sind, der von allen großen Internet Browser Herstellern implementiert wird, kann dieses Verfahren auf allen Endgeräten und Betriebssystemen genutzt werden.

Wann kommen Passkeys?

Wichtige Voraussetzung für den breiten Nutzen von Passkeys ist die Implementierung in allen gängigen Browsern sowie auf möglichst vielen Webanwendungen.

Windows 10, macOS Ventura und ChromeOS 109 sowie iOS 16 oder Android 9 sind minimale Grundvoraussetzung. Dazu kommt dann Chrome 109, Safari 16 oder Edge 109. Höhere Versionen funktionieren natürlich.

PayPal und weitere große Anbieter bieten bereits die Möglichkeit an, sich über Passkey zu authentifizieren. Der Rollout geht rasch voran.

Es ist nicht die Frage, ob sich Passkeys durchsetzen, sondern wie lange die Anwendungsentwickler benötigen, um diesen neuen, sichereren Passwortstandard zu implementieren.

Passkeys machen die Welt ein Stück sicherer.