Passkey ich dabe fragen zu
- Ersteller Amiga500
- Erstellt am
LT.Verleum
Ensign
- Registriert
- Jan. 2005
- Beiträge
- 178
Besser gleich alle biometrischen Merkmale hinterlegen ( geCloude oder Handylokal schon egal) und dazu noch eine digitale, handsignierte Unterschrift. Wann und wohin fließen diese Merkmale ab und wer hält letzlich die
digitale Souveränität über diese Daten?.
digitale Souveränität über diese Daten?.
- Registriert
- Dez. 2005
- Beiträge
- 7.650
So!! ich habe jetzt mal testweise ein Passkey erstellt für mein PSN Account!!!
Jetzt hat der PSN Account durch das erstellte Passkey mein Passwort und 2fA über Authenticator app deaktiviert.
Und wen ich jetzt mein Handy verlieren, kaputt gehen sollte oder sonstiges...könnte ich mich nicht mehr in meinen PSN account einloggen da ja über Passwort und Email nicht mehr funktioniert...
Ich habe kein Backup code oder sonstiges erhalten nur die Benachrichtigung das mein Passkey erstellt wurde...
Jetzt hat der PSN Account durch das erstellte Passkey mein Passwort und 2fA über Authenticator app deaktiviert.
Und wen ich jetzt mein Handy verlieren, kaputt gehen sollte oder sonstiges...könnte ich mich nicht mehr in meinen PSN account einloggen da ja über Passwort und Email nicht mehr funktioniert...
Ich habe kein Backup code oder sonstiges erhalten nur die Benachrichtigung das mein Passkey erstellt wurde...
Du brauchst keine Biometrie um Passkeys nutzen zu können, ist nur der Standard auf mobilen Endgeraten, da es praktisch ist.LT.Verleum schrieb:
Ergänzung ()
Tja mit welchem Tool hast du den Passkey denn erstellt? Am Handy? Dann solltest du halt mal nachlesen, wie dein Passkey gemanaged wird.Amiga500 schrieb:
eviltrooper
Lt. Junior Grade
- Registriert
- Mai 2023
- Beiträge
- 278
apple synct die Passkeys aber.
ich hab die Keys auf dem ipad und dem iphone.
ich hab die Keys auf dem ipad und dem iphone.
- Registriert
- Dez. 2005
- Beiträge
- 7.650
NJay schrieb:
Ich bin im PSN Account gegangen, habe dort Passkey erstellen gemacht, habe mit meinen Handy den QR Code gescant und dann musste ich meinen Finger auflegen und das war es ..da stand nichts weiter
übrigens hat anmelden damit auch nicht geklappt es kam keine Aufforderung danach
FranzvonAssisi
Admiral
- Registriert
- Dez. 2013
- Beiträge
- 7.453
Ein Passkey ersetzt im Grunde das klassische Passwort, nur mit dem Unterschied, dass man ihn nicht selbst merken oder eintippen kann, sondern ein Gerät oder Passwortmanager ihn für einen verwaltet. Das heißt: man muss den Passkey irgendwo speichern, um ihn benutzen zu können – so wie Passwörter im Passwortmanager.
Im Detail hinkt dieser Vergleich, weil ein Passkey technisch anders funktioniert und gegenüber einem Passwort zusätzliche Sicherheitsvorteile bietet, aber für die praktische Benutzung ist vor allem relevant, dass man Zugriff darauf hat.
Insofern: Leg den Passkey dort ab, wo es dir am besten passt – wichtig ist nur, dass du auf allen Geräten, mit denen du dich anmelden möchtest, darauf zugreifen kannst.
Ich speichere meine Passkeys in 1Password und da spricht nichts dagegen.
Auf deinem Handy ist es wahrscheinlich der Google Passwort-Manager oder was eigenes von Samsung oder so.
Lg
PS: Theoretisch gäbe es Vorteile, wenn die Passkeys wirklich Hardware-gebunden wären, allerdings ist das meiner Erfahrung nach echt schwierig umzusetzen, da nicht alle Seiten genug Passkeys unterstützen, um alle Geräte anzumelden, und es auch in der Benutzung etwas nervig ist.
Die Abwägung, welche Anmeldung tatsächlich so sicherheitskritisch ist, dass man device-bound Passkeys einsetzen möchte, muss man natürlich selbst treffen.
Im Detail hinkt dieser Vergleich, weil ein Passkey technisch anders funktioniert und gegenüber einem Passwort zusätzliche Sicherheitsvorteile bietet, aber für die praktische Benutzung ist vor allem relevant, dass man Zugriff darauf hat.
Insofern: Leg den Passkey dort ab, wo es dir am besten passt – wichtig ist nur, dass du auf allen Geräten, mit denen du dich anmelden möchtest, darauf zugreifen kannst.
Ich speichere meine Passkeys in 1Password und da spricht nichts dagegen.
Auf deinem Handy ist es wahrscheinlich der Google Passwort-Manager oder was eigenes von Samsung oder so.
Lg
PS: Theoretisch gäbe es Vorteile, wenn die Passkeys wirklich Hardware-gebunden wären, allerdings ist das meiner Erfahrung nach echt schwierig umzusetzen, da nicht alle Seiten genug Passkeys unterstützen, um alle Geräte anzumelden, und es auch in der Benutzung etwas nervig ist.
Die Abwägung, welche Anmeldung tatsächlich so sicherheitskritisch ist, dass man device-bound Passkeys einsetzen möchte, muss man natürlich selbst treffen.
Zuletzt bearbeitet:
- Registriert
- Dez. 2005
- Beiträge
- 7.650
Ich konnte nicht mal entscheiden wo ich den passkey speichern will.
Wie gesagt, PSN Account Passkey erstellt, QR code mit der Handykamera benutzt, Fingerprint einfach mal eingegeben und das war es .
Danach sollte ich mich an meinen Account nochmal anmelden..aber es kam keine Passkey-Meldung
Wie gesagt, PSN Account Passkey erstellt, QR code mit der Handykamera benutzt, Fingerprint einfach mal eingegeben und das war es .
Danach sollte ich mich an meinen Account nochmal anmelden..aber es kam keine Passkey-Meldung
Alexander2
Fleet Admiral
- Registriert
- Aug. 2014
- Beiträge
- 16.537
Also mir ist Passkeys bei irgendwem (also Google in den meisten Fällen ) zu speicher ist mir viel zu doof, geradezu gefährlich wegen dem wieder dran kommen, da kommt irgend nen doofer ammi und sagt den Blocken wie (poopie Pants etc. ?) dann biste raus.
Also selber speichern erstellen - benutzen, wenn denn schon. und da kann zum Beispiel Keepass das.
Aber ich benutze noch immer lieber normale gute Passwörter + TOTP ggf. geht ohne Browserplugin (falls das mal nicht geht oder so direkt im Keepass.
Also selber speichern erstellen - benutzen, wenn denn schon. und da kann zum Beispiel Keepass das.
Aber ich benutze noch immer lieber normale gute Passwörter + TOTP ggf. geht ohne Browserplugin (falls das mal nicht geht oder so direkt im Keepass.
Ich habe mich davon auch noch ferngehalten, weil ich das Konzept zwar verstehe, jedoch nicht als besser empfinde.
Gerade die "Kontrolle" über den Passkey finde ich komplizierter, selbst wenn Bitwarden und Co schon damit zurechtkommen. Vielleicht teste ich es nochmal mit Cloud-Synchronisation, unbedingt nötig halte ich es für mich jedoch nicht.
Gerade die "Kontrolle" über den Passkey finde ich komplizierter, selbst wenn Bitwarden und Co schon damit zurechtkommen. Vielleicht teste ich es nochmal mit Cloud-Synchronisation, unbedingt nötig halte ich es für mich jedoch nicht.
FranzvonAssisi
Admiral
- Registriert
- Dez. 2013
- Beiträge
- 7.453
@Daniel D. ja, so sehe ich das eigentlich auch.
Auf der Arbeit, wo hinter einem Passwort vielleicht die Daten aller Mitarbeitenden stehen oder wo ein Hacking-Angriff existenzbedrohend sein kann, ist es den Aufwand vielleicht wert, aber privat ist das Risiko halt doch ein anderes.
Auf der Arbeit, wo hinter einem Passwort vielleicht die Daten aller Mitarbeitenden stehen oder wo ein Hacking-Angriff existenzbedrohend sein kann, ist es den Aufwand vielleicht wert, aber privat ist das Risiko halt doch ein anderes.
Alexander2
Fleet Admiral
- Registriert
- Aug. 2014
- Beiträge
- 16.537
Paypal ist da gerade extrem penetrant. fast jeden Tag ne mail, mach doch bitte Passkeys.
Haben die ne Sicherheitslücke und wurden gepawned?
Haben die ne Sicherheitslücke und wurden gepawned?
kachiri
Fleet Admiral
- Registriert
- Apr. 2011
- Beiträge
- 23.904
Nein. PayPal bzw. PayPal-Nutzer dürften ziemlich oft Ziel von Angriffen sein - und die allermeisten Passwörter sind eben nicht sicher.Alexander2 schrieb:
Die "25 häufigsten Passwörter" machen in geleakten Datensätze 10% aus. Und das sind so Passwörter wie "admin" oder "12345". Nicht selten dürften es auch Vornamen sein oder irgendwelche Daten die sich relativ leicht ermitteln lassen. Wie Geburtstag, Hochzeitstag o.ä.
Ich halte Passkeys gerade für den Durchschnittsuser, der sich nicht viel Gedanken um Passwörter macht, im Zweifel für die bessere Alternative. Der Durchschnittsuser rennt im Endeffekt auch nicht mit 10 Geräten rum, sondern hat im Zweifel wirklich nur noch das Smartphone vielleicht ein Tablet. Und du kannst durchaus mehrere Passkeys hinterlegen.
Passkeys sind ja nicht als alleiniger Authentication Mechanismus gedacht, sondern als Ergänzung und haben das Ziel hohen Komfort mit hoher Sicherheit bei leichter Handhabbarkeit für Durchschnittsanwender (also nicht nur die "Experten" in der CB-Bubble) zu verbinden, da klassische Mechanismen oft nur Gewinn bei einem der Aspekte unter Inkaufnahme von Verlusten an anderer Stelle ermöglichen.
Gibt natürlich auch noch ein paar andere Varianten und Kombinationen, aber die Konzepte bleiben ähnlich.
Passkeys sind nun kein Ersatz für die oben genannten Verfahren sondern eine Ergänzung: Man kann für den Erst-Login beim Erstellen das Passkeys ohne Probleme ein vergleichsweise unkomfortables aber sicheres Verfahren verwenden (Extrembeispiel: Login im Job Portal der BA per Personal Ausweis App).
Der erzeugte Passkey ist dann sozusagen ein dauerhafter Identitiätsbeweis, der in einem gesicherten Store liegt, der bei jeder Benutzung freigegeben werden muss (z.B. per Fingerabdruck, Gesichtsscan oder im Notfall auch per Pincode - z.B. Windws Hello ohne taugliche Kamera).
Da das Einrichten des Passkeys vollkommen automatisiert erfolgen kann, ist ein Passkey auch für eher unbeholfene Anwender leicht einzurichten
Im Gegensatz zu lange gültigen Authentifizierungs Tokens, App Kennwörtern, etc. stellt der Passkey kein Sicheheitsrisiko dar.
Im Idealfall kann man die "Eingeloggt bleiben" Funktion vieler Websites in Zukunft durch Passkeys ersetzen.
- Username + Passwort ohne 2FA
Relativ bequem (je nachdem wir man die Passworte verwaltet). Kann auch bei entsprechender Disziplin durchaus sehr sicher sein. Bei den meisten Durchnschnittsanwendern ist das aber aus den üblichen Gründen (z.B. schwache und/oder mehrfach verwendete Passwörter) nicht der Fall. Daher führen ja immer mehr Dienste einen "Zwangs-2FA" ein
Komfort ist leider auch oft situationsabhängig, ich habe immer wieder Websites wo das automatische Ausfüllen durch den Passwortmanager nicht klappt. Unbeholfene Anwender schaffen es oft nicht, z.B: auf einem Smartphone ein Passwort vom Passwortmanager in die Anwendung zu kopieren.
- Username + Passwort mit 2FA per TOTP Authenticator
Durch den zweiten Faktor auch bei schlechten oder gar kompromittierten Passwörtern noch recht sicher.
Für unbeholfene Anwender oft zu schwer einzurichten und noch schwerer zu benutzen als Username+Passwort (siehe oben...)
Risiko der Zugriffsverlustes bei unzureichend eingerichteten Recovery Massnahmen
Mit extra 2FA App (z.B. auf dem Handy) relativ unkomfortabel in der Benutzung. Komfortsteigernde Massnahmen, wie TOTP im Passwortmanager, einem angemeldeten Gerät 30 Tage vertrauen, usw. verringern die Sicherheit
- Username + "Passwortlose Anmeldung" per propietären Authenticator (z.B. Microsoft):
Eliminiert die Schwachstelle "Passwort" vollständig.
Komfort beim Login etwas höher, da kein TOTP Code abgetippt werden muss.
Ansonsten alle Nachteile von generischer 2FA mit TOTP Device - Username + Passwort + 2FA per Seitenkanal (EMail, SMS, usw):
Sicherheitsgewinn wie bei TOTP
Trivial einzurichten (der zweite Kanal existiert ja meistens schon)
Sehr gut geeignet für gelegentliche genutzte Logins
Bei häufiger Nutzung des Logins unhandlich (EMail oder SMS kommen oft nicht super schnell, usw.)
Geringeres Recovery Risiko als TOTP App, da EMail Account oder Handynummer oft langfristig vorhanden sind
Das Verfahren wird auch oft als Recovery Methode für den Verlust TOTP App genutzt
Gibt natürlich auch noch ein paar andere Varianten und Kombinationen, aber die Konzepte bleiben ähnlich.
Passkeys sind nun kein Ersatz für die oben genannten Verfahren sondern eine Ergänzung: Man kann für den Erst-Login beim Erstellen das Passkeys ohne Probleme ein vergleichsweise unkomfortables aber sicheres Verfahren verwenden (Extrembeispiel: Login im Job Portal der BA per Personal Ausweis App).
Der erzeugte Passkey ist dann sozusagen ein dauerhafter Identitiätsbeweis, der in einem gesicherten Store liegt, der bei jeder Benutzung freigegeben werden muss (z.B. per Fingerabdruck, Gesichtsscan oder im Notfall auch per Pincode - z.B. Windws Hello ohne taugliche Kamera).
Da das Einrichten des Passkeys vollkommen automatisiert erfolgen kann, ist ein Passkey auch für eher unbeholfene Anwender leicht einzurichten
Im Gegensatz zu lange gültigen Authentifizierungs Tokens, App Kennwörtern, etc. stellt der Passkey kein Sicheheitsrisiko dar.
Im Idealfall kann man die "Eingeloggt bleiben" Funktion vieler Websites in Zukunft durch Passkeys ersetzen.
Mittlerweile. Anfangs gab es hier und da mal Websites da konnte man nur einen Passkey hinterlegen.kachiri schrieb:
