Passkeys: Anmelden ohne Passwort #122
45 min
Korrektur zur Folge: In der Folge heißt es, Passkeys ließen sich nicht teilen, wenn der Dienst das nicht vorsieht. Das stimmt so nicht. Apple erlaubt seit iOS 17 das Teilen von Passwörtern und Passkeys über geteilte Gruppen in der Passwörter-App, und auch Passwortmanager wie 1Password oder Bitwarden legen Passkeys in gemeinsamen Tresoren ab. Danke an Daniel für den Hinweis. --- Passkeys sollen Benutzername und Passwort im Web ablösen. Das Grundproblem klassischer Logins ist das geteilte Geheimnis: Ein Passwort liegt sowohl beim Nutzer als auch beim Dienst, wird oft mehrfach verwendet und lässt sich über gefälschte Anmeldemasken abgreifen. Mit KI-generierten Phishing-Seiten und fehlerfreien Mails ist dieses Risiko zuletzt eher gewachsen als gesunken. Passkeys setzen stattdessen auf asymmetrische Kryptografie, dasselbe Prinzip, das SSH seit 1995 nutzt. Beim Registrieren erzeugt ein Authenticator ein Schlüsselpaar. Der private Schlüssel bleibt im Authenticator, der öffentliche geht an den Dienst, die sogenannte Relying Party, und wird dort unter einer Credential ID abgelegt. Beim Login schickt der Server eine zufällige Challenge, der Authenticator signiert sie mit dem privaten Schlüssel, der Server prüft die Signatur mit dem öffentlichen. Weil der Browser die Origin der aufgerufenen Seite in die Signatur einbezieht und der Authenticator pro Domain ein eigenes Schlüsselpaar hält, läuft Phishing ins Leere: Für eine gefälschte Domain existiert schlicht kein passender Schlüssel. Fingerabdruck, Gesichtserkennung oder PIN schalten dabei nur den Authenticator frei, biometrische Daten verlassen das Gerät nie. Authenticator kann der Passwortmanager von Google oder Apple sein, Windows Hello oder ein Hardware-Token wie ein YubiKey. Die großen Anbieter synchronisieren Passkeys verschlüsselt über alle Geräte eines Accounts, sodass ein zerstörtes Smartphone nicht automatisch den Zugang kostet. Trotzdem gilt: Solange Dienste als Fallback weiterhin ein Passwort akzeptieren, ist die Ke...
