Passkey in der Praxis

[ThePlayer]

Da ich mich jetzt auch mehr mit dem Thema Passkey auseindersetzen möchte. Und diese auch endlich nutzen will. Habe ich jetzt die Seite vom BSI zu dem Thema Passkey gelesen. Und habe noch ein paar Fragen zum Teil auch wegen "best practice".

1: Wie verwaltet ihr eure Passkeys? Ich habe Zuhause nur Android Geräte und nutze am PC als Browser Firefox. In Android bietet mir Google an den internen Passwort Manager zu nutzen. Aber Google ist mir da nicht vertrauenswürdig genug.

2: Wie tauscht ihr die Passkeys über Geräte hinweg aus?

 

[H3llF15H]

Wie verwaltet ihr eure Passkeys?

Vaultwarden.

Wie tauscht ihr die Passkeys über Geräte hinweg aus?

Die Frage stelle ich mir gerade auch noch. Bei Amazon und Computerbase nutze ich parallel Einmalpasswörter um mich mit Benutzer und Passwort anzumelden, da ich von unterwegs keine Möglichkeit habe (n will) auf Vaultwarden zuzugriefen (z.B. über den Firmen-PC).

 

[tollertyp]

Aber gerade über Vaultwarden ist der Austausch ja über Gerätehinweg möglich. Ohne Vaultwarden, z.B. am Firmen-PC, logge ich mich eh nicht in private Dinge ein.

 

[jtr00]

1Password

Wenngleich es auch etwa 40€ (Family-Modell, 5 User, immer wieder mal im Angebot) im Jahr kostet, so ist es für mich in der Summe aus Integration auf Apple & Windows Devices, Sicherheitsmodell und Usability so gut, dass ich mich bisher nicht anders umschauen "musste".

Sobald der NAS Zuhause ein Update benötigt, wird aber auch Keepass ein Thema werden.
Dort werden seit Anfang des Jahres auch Passkeys unterstützt.

 

[CoMo]

Werde ich dann vermutlich genauso machen, wie ich jetzt schon Passwörter synchron halte. Mit der KeePass-DB in meiner Nextcloud.

wird aber auch Keepass ein Thema werden.
Dort werden seit Anfang des Jahres auch Passkeys unterstützt.

Nein, KeePass unterstützt keine Passkeys. Deshalb nutze ich die auch noch nicht. Kommt dann vielleicht mit dem Wechsel zu KeePassXC.

Bisher habe ich resident keys (FIDO2) und U2F auf meinem Nitrokey.

 

[H3llF15H]

Aber gerade über Vaultwarden ist der Austausch ja über Gerätehinweg möglich.

Kannst du erläutern wie? Als ich eben am Firmen-PC, der keinen direkten Zugriff auf Vaultwaren hat, auf Computerbase per Passkey zugreifen wollte, kam die Meldung aus dem Anhang.

Möglich ist allerdings, dass dies nicht funktioniert, da seitens der IT irgendwas eingestellt wurde.

 

[jtr00]

@CoMo Danke für den Hinweis. Bin offensichtlich noch nicht ausreichend im Thema ;-) und hatte KeyPass & KeePassXC synonym verwendet.

 

[tollertyp]

@H3llF15H:
Ich habe meinen Beitrag noch editiert, nachdem du ihn gelesen hattest.

Ergänzung (15. August 2024)

@jtr00: Sind sie leider nicht... und bei der Arbeit habe ich nur Keepass und keine Admin-Rechte und deswegen keine Browser-Integration, was super ätzend ist. Und zu KeypassXC Portable kann ich keine Verbindung aufbauen in den Browser-Erweiterungen... und über mein privates Vaultwarden möchte ich Arbeitskennwörter eigentlich nicht wirklich verwalten :-)
Okay, genug offtopic

 

[M@rsupil@mi]

@H3llF15H Wäre für deinen Anwendungsfall nicht 2FA via TOTP was? Telefon oder privaten Passkey würde ich nie mit einem fremden Rechner verbinden wollen. (Dazu kommt natürlich auch, was die Firmen.-IT davon hält, wenn die Leute so etwas für private Sachen machen.)

 

[tusen_takk]

@CoMo ich spiele auch mit dem Gedanken Passkey, bisher habe ich keine verwendet. KeePassXC, Datenbank auf der Nextcloud für PC und Android. Ich habe ebenfalls YubiKeys, diese setze ich im Alltag aktuell aber wenig ein. Ich habe einfach viel zu viele Logins und verkompliziere mich komplett.

 

[tollertyp]

Telefon oder privaten Passkey würde ich nie mit einem fremden Rechner verbinden wollen.

Eben, auch wenn der Firmen-Laptop nur halbfremd ist

 

[H3llF15H]

Wäre für deinen Anwendungsfall nicht 2FA via TOTP was?

Grundsätzlich schon. TOTP finde ich sowie Klasse, eben weil es einfach ist.

Ich versuche gerade in Erfahrung zu bringen, ob ich hinsichtlich meines Vorhabens etwas übersehen oder falsch bedacht habe. Schließlich gibt's einen Grund, weshalb Vaultwarden nicht von extern erreichbar ist (außer mittels VPN).

Dazu kommt natürlich auch, was die Firmen.-IT davon hält, wenn die Leute so etwas für private Sachen machen.)

Juckt die hier nicht :-D

 

[KitKat::new()]

Schließlich gibt's einen Grund, weshalb Vaultwarden nicht von extern erreichbar ist (außer mittels VPN).

naja an Vaultwarden dürfte es nicht liegen
Gerät am Router (Firewall) nicht freigegeben (oder bei IPV4 keine Portweiterleitung eingerichtet)?

 

[H3llF15H]

naja an Vaultwarden dürfte es nicht liegen
Gerät am Router (Firewall) nicht freigegeben

Wie ich bereits schrieb: ich lasse keinen Zugriff auf Vaultwarden von extern zu, sondern nur mittels VPN. Bis hier hin auch erstmal egal, da ich mit vorerst mit TOTP helfen werde und ich kein Interesse daran habe den Thread des TE zu kapern ;-)

 

[K3ks]

https://fy.blackhats.net.au/blog/2024-04-26-passkeys-a-shattered-dream/

Ufff...

 

[h00bi]

1: Wie verwaltet ihr eure Passkeys? Ich habe Zuhause nur Android Geräte und nutze am PC als Browser Firefox. In Android bietet mir Google an den internen Passwort Manager zu nutzen. Aber Google ist mir da nicht vertrauenswürdig genug.

2: Wie tauscht ihr die Passkeys über Geräte hinweg aus?

Vaultwarden und Vaultwarden
Wenn du nicht selber hosten willst, dann geht auch ein Account bei Bitwarden. Mit 2FA und solidem Master-Passwort muss man da auch nicht paranoid sein, weil die Passwörter plötzlich in der Cloud liegen.

Meine Eltern benutzen Bitwarden Cloud Accounts, damit sie sich Zugänge untereinander teilen können. Das geht zwischen Vaultwarden und Bitwarden nicht.

 

[ThePlayer]

OK Vaultwarden ist genau das was ich mir vorstelle. Das werde ich dann auf meiner Synology Hosten.

Jetzt noch eine Frage, hatte jemand schon das Problem das bei Bitwarden/Vaultwarden oder einem anderen Dienst eine Downtime war und der Dienst nicht ging? Kann ich dann auf meine Passwörter zurückgreifen oder bin ich dann erstmal ausgesperrt? Da auch Passwort und 2FA oder auch ohne nicht mehr geht.

Ergänzung (15. August 2024)

1Password

Das Geld ist mir egal. Wichtig ist mir da Opensource und Vaultwarden bietet genau das. Sonst könnte ich ja gleich den Google Passwort Manager nutzen.
Die Frage ist ja auch wie sicher sind die vielen Passwort Manager. Da sind die letzten Jahre einge gehackt worden.