HighTech-Freak schrieb:
What? Dein Passwort ist nur in deinem Kopf wenn du es auf dem PC deines Freundes eingibst? 3 Zeilen weiter unten wirfst Du selbst den Keylogger in den Raum.
Richtig, da man die Angriffspunkte separat betrachten muss und nicht alles auf einen Haufen werfen.
HighTech-Freak schrieb:
Nein, dass Passwort verschwindet dann nicht, ist aber sehr wohl komprommitiert und der einzige Rettungsanker ist die 2FA.
Ein zweiter Faktor ist immer wichtig, weil egal ob Passwort oder Passkey alleine, unsicher ist. Man muss demnach nur einen einzigen Punkt kompromittieren.
HighTech-Freak schrieb:
(Falls Du zufällig vom Mossad verfolgt wirst, kann man die Argumentation noch verstehen, dass etwas im Kopf sicherer ist, als auf einem Gerät gespeichert, aber im Alltag für sowas wie Amazon Logins usw ist der Ansatz schlicht nicht proportional.)
Deshalb nutzt man im Alltag auch Passwortmanager. Extern oder im Browser integriert. Aber darum geht es nicht.
HighTech-Freak schrieb:
Deine Logik versagt in dem Moment wo das PW irgendwo eingegeben werden muss. Das passiert per Definition immer im Klartext. Ein Passkey übertragt nie Klartext Daten, lediglich eine Signatur.
Grundsätzlich wird nach Eingabe des Passworts die Information verschlüsselt, sodass der Empfänger dies nicht sieht. Man vertraut auf den Empfänger / Amazon, dass die Entwickler schon alles richtig machen und.
Die andere Schwachstelle ist dann der Browser, der sowohl das Passwort als auch die Passkey-Signatur weiterverwenden kann.
Es spielt also überhaupt keine Rolle, in welcher Form Dritte über den Browser / Erweiterungen die Pseudo-Sicherheit aufheben. Sowohl Passwort als auch Passkey sind hier schutzlos.
HighTech-Freak schrieb:
Ein Passkey ist kein Schutz gegen eine MITM Attacke, aber ein Angreifer kann mittels MITM nicht den Passkey selbst stehlen. Das ist der wichtigste Unterschied im Alltag und der Grund, dass für die meisten User ein Passkey mit Abstand die bessere Wahl ist.
=> Ein Passkey ist -wie ein Passwort- aber nur so sicher wie sein Speicherort respektive die Freigabemethode. <=
Du sagst es selbst.
Aber im Gegensatz zu Software-Lösungen, ist zumindest das Passwort im Kopf sicher.
Während man jede Software-Lösung automatisiert und in millionenfachen Umfang wertlos machen kann, wird niemand in den Kopf eindringen können.
Dass es im Alltag beim Durchschnittsnutzer die bessere Wahl ist, ist klar, wenn man sich die meistgenutzten Passwörter ansieht.
Darum ging es mir aber nicht, da ich nicht den Faktor Mensch, sondern nur den Faktor Passwort vs Passkey angesprochen habe.
HighTech-Freak schrieb:
Deine Aussage, dass mehr Komponenten bei einem Passkey involviert sind, ist zwar grundsätzlisch korrekt, aber die Anzahl an Komponenten ist eben in der Realität nicht zwangsläufig proportional zur Angreifbarkeit.
Proportional nicht, aber trotzdem höher.
Ich kann mir selbst zu 100% vertrauen, ob und wann ich ein Passwort verrate.
Hunderten Involvierten von Passkey, tausenden Dritten, die nach Lücken suchen und mindestens gesetzliche Vorgaben, niemals eine echte Sicherheit zu garantieren, bleiben trotzdem viele weitere Variablen, die ein Passkey unsicherer machen.
Wann die Quelle von Passkeys unsicher wird, ist immer ungewiss und eine Frage der Zeit.
HighTech-Freak schrieb:
Bei Passkeys vertraut man idR einer Form von Secure Enclave oÄ die idealerweise biometrisch oder per PIN freigegeben wird. Diese Komponente ist speziell dafür entwickelt sicher zu sein.
Wenn Du der Secure Enclave in deinem Gerät nicht vertraust musst Du eigentlich das ganze Gerät als untrusted betrachten. Danach kann Dir auch wer den Session Cookie klauen oÄ.
Und da ich mir selbst mehr vertrauen als völlig Fremden, ist ein Passwort in meinem Kopf sicherer als ein Passkey auf einem Betriebssystem, über eine App und Infrastruktur, welches von unzähligen Fremden kontrolliert wird.
HighTech-Freak schrieb:
Es gibt keine perfekte Sicherheit, aber ein Passwort ist in der Realität (Praktikabilität) für den gemeinen User einem Passkey um Welten unterlegen. Dass es einzelne Szenarien gibt wo ein Passwort tatsächlich vlt. noch die bessere Wahl darstellt ist sicher gegeben, aber die Ausnahme.
Wie geschrieben, ging es mir beim Vergleich nicht um die Praktikabilität.
Variablen wie den Mensch, Softwaresicherheit, Erweiterungen, Übermittlungswege, usw. kann niemand vorhersehen.
Mir ging es einzig und alleine darum, dass in der gesamten Kette ein Passkey ausschließlich auf Vertrauen von völlig Fremden basiert und beim Passwort zumindest ein einziges Glied in der Kette wirklich sicher ist, nämlich der Gedanke.
Während ein Passwort erst unsicher sein kann, wenn es den Gedanken verlässt, kann ein Passkey von Anfang an unsicher sein, sobald die Quellen vollautomatisiert in großem Umfang von Dritten unsicher gemacht wird.
Man braucht lediglich einen Bug oder eine weitere Software, welche gegen meinen Willen auf meine Passkeys zugreift bzw. die Genehmigung zum Einloggen freigibt. Das ist nur eine Frage der Zeit und kann von überall auf der Welt passieren.
Auf meine Gedanken kann aber niemand - und schon gar nicht automatisiert - von einem beliebigen Ort auf der Welt zugreifen.
Meine Kernaussage bleibt:
Bei Passkeys muss man zu 100% auf der gesamten Kette fremden Menschen vertrauen. Vom Anfang bis zum Ende.
Bei einem Passwort ist lediglich die Quelle sicher, da niemand in den Kopf eindringt.
In der Praxis ist und bleibt aber beides unsicher!
Man hat lediglich die Wahl, ob man die Quelle - den Gedanken - als buchstäblich letzten sicheren Faktor aufgeben bzw. in die Hände Dritter legen möchte.
Die einzige Sicherheit - bei beiden Varianten - ist ein zweiter Faktor, der nicht auf demselben Gerät ausgeführt wird.
Und weil meine Passwörter im Kopf schneller, einfacher, unabhängig von Geräten ist und sicher sind, habe ich mich gegen Passkey entschieden und verbinde es mit 2FA.
