- X-Produktchef Nikita Bier kritisiert, dass das Konzept von Passkeys und ihr Speicherort für Nutzer nicht klar vermittelt werden, sodass sich das Login in Apps anfühlt, als würde man nach undefinierbarem „magischem Staub“ gefragt
- Es sei schwer zu erkennen, ob der Passkey nun das Handy, der Browser, das Betriebssystem oder die Biometrie sei, und es fehle auch an klaren Erklärungen, die Nutzern eine Einschätzung der Sicherheitsvorteile erlauben würden
- Befürworter von Passkeys erklären, dass man statt eines eingegebenen Wortes ein Gerät, das man besitzt, als Schlüssel verwendet – etwa ein Handy oder einen Laptop – und dass dies sicherer sei als leicht zu stehlende Passwörter
- Die Gegenposition weist darauf hin, dass man beim Verlust des einzigen Passkey-Geräts auch den Zugang zum Konto verlieren kann und dass das Risiko einer Kontosperrung durch unvollständige Implementierungen und schlechte Wiederherstellungsprozesse steigt
- Manche vermuten Kostensenkung und Abhängigkeit von den Ökosystemen großer Plattformen als Motiv für die Einführung, während andere entgegnen, dass Passwörter grundsätzlich unsicher seien und man Alternativen nicht nur wegen Unbequemlichkeit ablehnen sollte
Ein Authentifizierungsverfahren, das Nutzer nicht verstehen
- Ein Betreiber eines Technologieunternehmens beschreibt, dass Google Nutzern, die gerade erst gelernt haben, wie man Passwörter speichert, nun Passkeys anbietet, obwohl kaum verständlich sei, ob es sich dabei um Fingerabdruck, Gesichtserkennung oder numerische Daten handelt
- Nikita Bier kritisiert, Passkeys seien von Security-Ingenieuren entwickelt worden, die die Psychologie von Verbrauchern nicht verstehen
- Nutzer hätten kaum verstanden, was ein Passkey eigentlich ist, und könnten daher seine Vorteile weder bewerten noch sinnvoll kritisieren
- Das Ergebnis sei, dass Apps für den Login ein Authentifizierungsmittel verlangen, von dem man nicht einmal wisse, wo es sich befindet
- Zudem wirke unklar, ob sich ein Passkey im Handy, im Browser, im Betriebssystem oder im Körper des Nutzers befinde
Statt eines „eingegebenen Wortes“ ein „Schlüssel, den man besitzt“
- Ein Kommentar zur Verteidigung von Passkeys beschreibt sie nicht als ein Wort, das man wie ein Passwort eingibt, sondern als einen Schlüssel, den der Nutzer besitzt
- Meist dient das Handy als Schlüssel, aber auch ein Laptop oder ein anderes Gerät kann dafür verwendet werden
- Der Kern des Unterschieds sei, dass Wörter leicht zu stehlen sind, Schlüssel dagegen vergleichsweise schwer
- Erklärungen, die sich auf Komfort oder biometrische Authentifizierung konzentrieren, würden das Konzept eher verwirren und hätten mit dem eigentlichen Prinzip der besitzbasierten Authentifizierung wenig zu tun
Verlust von Geräten und Probleme bei der Kontowiederherstellung
- Kritische Stimmen befürchten, dass beim Verlust des einzigen funktionierenden Passkey-Geräts auch der Zugriff auf das Konto verloren gehen kann
- Passwörter könne man sich merken oder separat aufbewahren, und 2FA-Apps ließen sich auf mehreren Geräten installieren; bei Passkeys steige jedoch mit der Robustheit bei korrekter Nutzung zugleich das Risiko, den Schlüssel zu verlieren
- Ein weiterer Kommentar bewertet die Passkey-Implementierung ebenfalls als Misserfolg und nennt folgende Probleme
- Die User Experience ist schlecht und die Nutzung schwierig
- Die Gefahr, aus dem Konto ausgesperrt zu werden, ist hoch
- Als Gründe, warum Plattformanbieter die Einführung vorantreiben, werden Kostensenkung und Ökosystem-Bindung vermutet
Streit über die Abhängigkeit von großen Plattformen
- Tim Sweeney bezeichnet Passkeys als einen Plan, Nutzer an große Technologieplattformen zu binden
- Weil die Nutzung von Passkeys mit Konten für Handy, Browser oder Betriebssystem verknüpft ist, könnten Nutzer das Gefühl haben, den Ort ihres Authentifizierungsmittels und die zuständige Instanz nicht mehr direkt kontrollieren zu können
Der Einwand: eine bessere Alternative als Passwörter
- Manche verstehen Passkeys als Kombination aus Gerät und biometrischer Authentifizierung oder Passwort und gehen davon aus, dass es für Angreifer unwahrscheinlicher wird, beide Faktoren zugleich zu erlangen
- Die Gegenargumentation betont, dass Passwörter ein grundsätzlich kaputtes Sicherheitsmodell seien und Nutzer sie ohnehin fast nie richtig verwendet hätten
- Es sei nicht sinnvoll, aus Angst vor neuen Verfahren nur bei leicht verständlichen Problemen stehenzubleiben; statt bloßer Kritik solle man bessere Authentifizierungsmodelle vorschlagen
4 Kommentare
Hm, Nikita Bier, Head of Product bei X, ist ohnehin dafür bekannt, ziemlich deutlich zu formulieren. Irgendwie ähnlich wie Elon Musk, aber doch mit einer etwas anderen Note.
Das neu gestartete BeeBS unterstützt Passkeys. Ich persönlich finde sie eher praktisch.
Wenn man sich allerdings ausschließlich mit Passkeys registriert und es keine Synchronisierung oder andere Wiederherstellungsmöglichkeit gibt, kann man beim Verlust des Geräts den Zugriff auf das Konto verlieren. Deshalb lässt BeeBS Nutzer zuerst per E-Mail-Magic-Link registrieren und anschließend einen Passkey einrichten.
Kombiniert man diese beiden Ansätze, muss man auf dem Server keinerlei Nutzerpasswörter speichern, und selbst wenn man das Gerät wechselt oder verliert, kann man sich per E-Mail erneut anmelden und einen neuen Passkey registrieren.
"Passkeys sind gut. Übe keine Kritik ohne Alternativen!!", heißt es,
aber Passkeys sollen eigentlich selbst die Alternative zu den bisherigen Verfahren sein und werden trotzdem als gut angepriesen, ohne eine wirklich brauchbare Alternative zu bieten
Um Passkeys bequem zu nutzen, braucht man eine einzige Passwortmanager-App, die über alle Plattformen hinweg funktioniert ...
Andernfalls weiß man nicht einmal, wo und wie man einen Passkey erstellt hat, und es ist schwer zu erkennen, dass der Browser die Passkey-Anfrage an die falsche Stelle richtet. Deshalb nutze ich Passkeys außer auf ein paar häufig verwendeten Plattformen nicht, weil es zu umständlich ist.
Wenn ich es mir jetzt anschaue, wirkt das wie eine Funktion, die gemacht wurde, um Passwortmanager-Apps zu verkaufen.
Hacker-News-Kommentare
Ich arbeite seit 26 Jahren in der Tech-Branche und verstehe auch das Prinzip von öffentlichem und privatem Schlüssel, aber ich weiß nicht, wie man Passkeys auf mehreren Geräten und in verschiedenen Browsern verwenden soll, ohne dass das Einloggen beeinträchtigt wird
Ich nutze Brave, Firefox, Safari und LastPass auf iPad, iPhone, Windows-Desktop und MacBook Pro, und wenn ich zufällig in Safari auf dem Handy einen Passkey erstelle, ist unklar, ob ich mich damit auch auf anderen Geräten anmelden kann, ob sich Passkeys synchronisieren lassen oder pro Gerät hinzugefügt werden können und wie viele eine Website jeweils erlaubt
Da die Richtlinien je nach Website und App unterschiedlich sein könnten, will ich vorerst weiter LastPass und Passwörter verwenden, weil ich mich damit auch dann noch wiederherstellen kann, wenn ich ein Gerät verliere oder das Gerät einer anderen Person nutze
Wenn ich mit meinem Ehepartner Pandora- oder Amazon-Prime-Konten teile, frage ich mich außerdem, ob jeder von uns einen eigenen Passkey erstellen kann und falls nicht, wie ich meinem Ehepartner Zugriff geben soll
Selbst für mich als Ingenieur ist die Passkey-UI überhaupt nicht klar, und alle wollen die Passkeys der Nutzer exklusiv verwalten, verbergen das aber und sagen nur: „Wir kümmern uns darum“
Bekannte ohne technischen Hintergrund sind extrem verwirrt darüber, ob sie Passkeys verwenden sollen und wie das funktioniert, und selbst ich kann darauf kaum vernünftig antworten
Wenn man sie verliert, setzt man sie über bestehende Wiederherstellungsverfahren wie eine „Passwort vergessen“-E-Mail zurück, und normalerweise werden sie im Passwortmanager gespeichert und auf andere Geräte synchronisiert, sodass man sie nicht verliert
Allerdings darf man sie nicht kopieren und einfügen, sondern sie müssen zwingend über den Passwortmanager präsentiert werden, damit sie nicht versehentlich an einen Phishing-Angreifer weitergegeben werden
Die großen Manager unterstützen außerdem meist keinen Export in eine Datei, die der Nutzer lesen oder sichern kann, und für Übertragungen zwischen Managern verlangen sie jeweils umständliche app-spezifische Migrationsverfahren, was den Lock-in-Effekt offenbar willkommen erscheinen lässt
Nur beim Login in den Passwortmanager selbst braucht man weiterhin ein externes Mittel wie ein Passwort oder einen YubiKey
https://danfabulich.medium.com/passkeys-are-just-passwords-t...
LastPass hat nach 2022 auch im vergangenen Monat wieder alle Passwörter offengelegt, also ist es Zeit zu gehen; die ähnlichste Alternative ist 1Password, das nicht mehrere schwere Sicherheitsvorfälle erlebt hat
Diese alternativen Login-Verfahren untergraben jedoch das zentrale Ziel von Passkeys, nämlich Phishing zu beseitigen, daher weiß ich nicht, wie lange sie erhalten bleiben werden
Es gibt auch Websites, die nach dem Login per Passkey erneut TOTP-Zwei-Faktor-Authentifizierung oder eine E-Mail-Bestätigung verlangen, wodurch sogar der zentrale Vorteil der Benutzerfreundlichkeit verloren geht
Ein Passwort kann man auf Papier schreiben und an einem physisch sicheren Ort aufbewahren, aber bei Passkeys und Zwei-Faktor-Authentifizierung ist die Wiederherstellung ein Albtraum, und sobald man eine praktische Wiederherstellungsmöglichkeit schafft, verschwindet die Sicherheit
Im Gegenteil: Passkeys sind für viele normale Verbraucher großartig, und eher Ingenieure, die Authentifizierung verstehen und ihr eigenes Passwortmanagement-System haben, scheinen stärker verwirrt zu sein
Nutzer im Apple-Ökosystem sind es bereits gewohnt, auf Aufforderung Touch ID oder Face ID zu verwenden
Nachdem ich bei Amazon einen Passkey eingerichtet hatte, konnte ich mich auf Mac und iPhone völlig reibungslos anmelden
Für normale Nutzer ersetzen Passkeys nicht den Vorgang, ein komplexes Passwort im Passwortmanager zu suchen und einzufügen, sondern das direkte Eingeben desselben Passworts, das sie bisher auf allen Websites verwendet haben
Passkeys sind an bestimmte Geräte gebunden und werden in dem Moment unbequem, in dem man ein anderes Gerät benutzt; sie wirken weniger wie vom Nutzer besessene und kontrollierte Zugangsdaten als wie ein einziges Geheimnis, das mit allem verbunden ist
In manchen Situationen mögen sie sicherer sein, aber sie sind eher eine unterlegene Alternative für ein Problem, für das es bereits bessere Lösungen gibt
Das ist ein schreckliches Konzept, wenn es Nutzern aufgezwungen wird, die von nichts eine Ahnung haben
Dort wird weiterhin PIN-Nutzung statt YubiKey oder Passwort forciert
Als mir eine Website zum ersten Mal die Verwendung von Passkeys vorschlug, habe ich zwar danach gesucht, aber in den 5 Minuten, die ich dafür investiert habe, während ich bei meiner eigentlichen Arbeit unterbrochen wurde, keine Antwort gefunden.
Die bislang treffendste Definition, die ich gesehen habe, ist magischer Feenstaub, der Apps einloggt.
Bei Passwörtern und TOTP-Tokens verstehe ich, wie sie funktionieren und wofür ich verantwortlich bin, aber ich weiß nicht, was passiert, wenn ich mein Handy verliere, ob ich für jedes Gerät einen eigenen Passkey brauche oder wie Austauschzyklen und der Umgang mit Diebstahl aussehen.
Gut zu wissen, dass ich nicht der Einzige bin, der findet, dass das so miserabel erklärt wurde.
Selbst ich als technikaffiner Mensch verstehe nicht, wo Passkeys gespeichert werden, an welche Geräte sie gebunden sind oder warum ich eingeloggt werde, wenn ich in Chrome auf dem Handy einen QR-Code scanne.
Sie tauchten einfach eines Tages plötzlich als Option auf, und wenn man auf den Button drückte, war man eingeloggt; Nutzerschulung gab es überhaupt nicht.
Wenn es selbst Hacker-News-Nutzern, die beim Umgang mit Computern nahe an den oberen 1 % liegen, so geht, dann werden normale Familienmitglieder oder Menschen aus der Immobilienbranche das nicht verstehen und es sich auch nicht selbst beibringen.
https://news.ycombinator.com/item?id=46301585#46303892
Die Schlüssel werden statt in einer Datei in einem Hardware-Sicherheitsmodul wie einem YubiKey oder TPM gespeichert; bei der Registrierung wird mit der Website ein asymmetrisches Schlüsselpaar erzeugt, und für den Login wird ein übliches Challenge-Response-Verfahren verwendet.
Der größte Fortschritt ist die Phishing-Resistenz: Eine gefälschte Login-Seite kann einen TOTP-Code weiterleiten, aber eine Passkey-Challenge-Response nicht.
Selbst nach mehr als 20 Jahren in der Tech-Branche finde ich Passkeys verwirrend.
Ich verstehe das Schlüsselkonzept aus der Informatik, weiß aber nicht, wie man sie geräteübergreifend nutzt, und wenn sie an einen physischen Schlüssel gebunden sind, macht mir die Möglichkeit, sie nach Verlust nicht wiederzubekommen, große Sorgen.
Manchmal wird sofort auf der Login-Seite danach gefragt, manchmal erst nach Benutzername oder E-Mail; manchmal ersetzt ein einziger Passkey sowohl Passwort als auch zweiten Faktor, manchmal dient er nur als zweiter Faktor nach dem Passwort.
Manche Dienste verlangen sogar einen Passkey ohne Passwort und zusätzlich noch eine separate Verifizierung wie SMS.
Zusammen mit der Verwirrung rund um Geräteregistrierung und Synchronisierung fehlt es massiv an Konsistenz in der User Experience.
Die Interoperabilität zwischen Plattformanbietern lässt sich verbessern, aber das Problem, dass Websites und Apps jeweils anders funktionieren, scheint schwer lösbar.
Man verwendet einen unterstützenden Manager wie Apple, Google, 1Password oder KeePass, oder scannt mit dem Handy, das man ohnehin immer dabeihat, einen angezeigten QR-Code; auch dedizierte Geräte wie YubiKey sind möglich.
Unter Android und Chrome kann man den Passwort-Manager von Chrome oder den QR-Scan mit dem Handy verwenden.
Die polnische Regierungs-App mObywatel hat ebenfalls eine ähnliche Struktur: Nach dem Login lädt man ein Zertifikat herunter und greift danach auf Regierungsseiten zu, indem man einen QR-Code fotografiert und sich per PIN oder Biometrie authentifiziert.
Passkeys sind so einfach wie Passwörter, die man nicht eingeben muss, und ich nutze sie auf allen Geräten problemlos mit 1Password.
Auch unter Android lässt sich 1Password als Standardanbieter für Passkeys festlegen, sodass sie geräteübergreifend geteilt werden können.
Das Synchronisieren von Schlüsseln mit 1Password ist vielleicht etwas weniger sicher, aber da ich schon vorher Passwörter auf dieselbe Weise geteilt habe, hat sich meine Sicherheitslage dadurch aus meiner Sicht nicht verändert.
Stattdessen muss ich keine Zeichenfolgen für Benutzername und Passwort mehr erzeugen, eingeben oder kopieren, und 1Password erkennt die Website und die Passkey-Anfrage und reagiert automatisch.
Wenn man mehrere Konten hat, kann man den zu verwendenden Passkey auswählen; insgesamt ist es also ein System, das einfach funktioniert, und ich ziehe es Passwörtern deutlich vor.
Gegenüber komplexen, nicht wiederverwendeten Passwörtern aus einem Passwort-Manager gibt es auch keinen nennenswerten Sicherheitsvorteil.
Firefox unter Windows ruft auf manchen Websites statt 1Password den Passwort-Manager von Windows auf, und auch unter Android scheinen Chrome und Firefox sie unterschiedlich zu behandeln.
Bei Microsoft-Konten muss man sich zuerst auf dem Gerät, auf dem der Passkey gespeichert ist, mit diesem Konto anmelden, wodurch der Ablauf durcheinandergerät und man auf andere Wege ausweichen muss.
Wenn Apps wie Libby zu Amazon weiterleiten, erscheint zudem ein separates Passwortfenster ohne Passkey, sodass man das Passwort ebenfalls bereithalten muss.
Wenn es klappt, ist es großartig, aber am Ende scheinen 1Password plus Benutzername-und-Passwort-Kombination doch die bessere UX zu bieten.
Wenn ich einen Passkey erstelle, wird dann mein bestehendes Passwort gelöscht, wie logge ich mich auf anderen Geräten ein, und wenn ich auf einem neuen Gerät einen Passkey anlege, ändert sich dann der vorherige, sodass ich auf dem ersten Gerät ausgesperrt werde? Aus PR und Hinweisen allein ist das nicht ersichtlich.
Meinen 78-jährigen Eltern erklärte ich einen physischen U2F-Schlüssel als „einen Schlüssel, den man wie den Haustürschlüssel braucht, um ins Konto zu kommen; also nicht verlieren oder verleihen, und am besten einen Ersatzschlüssel haben“, und sie verstanden es sofort vollständig und fügten ihn zu all ihren Konten hinzu
Es wurde angenommen, Verbraucher seien zu unwissend, um so ein Konzept überhaupt zu verstehen, ohne ihnen jemals die Chance zu geben, aber tatsächlich reichte schon die Analogie mit dem physischen Schlüssel
Wenn man beide Schlüssel mit sich herumträgt und beide registriert, besteht das Risiko, sie gleichzeitig zu verlieren; legt man einen in den Safe, muss man nachverfolgen, bei welchem Dienst welcher Schlüssel registriert ist, und den Ersatzschlüssel jedes Mal wieder herausholen und registrieren, wenn ein neuer Dienst hinzukommt
Beides war nicht zufriedenstellend, daher entschied ich mich am Ende für eine backupfähige OTP-App
Anbieter unterstützen diese Nutzungsweise der Verbraucher nicht einmal oder erkennen ihre Existenz an, wollen Unternehmen aber teure komplexe Implementierungen verkaufen
Physische Schlüssel gehen verloren, deshalb landet der Ersatzschlüssel für die Haustür unter dem Blumentopf, und man hat immer nur einen weiteren Gegenstand, den man ständig mit sich herumtragen muss
Ein Handy bekommt man überall, aber solange man der Oma nicht sagen kann: „Frag in der Elektronikabteilung von Walmart nach einem YubiKey“, bleibt das Problem bestehen
Selbst Amazon braucht bei Lieferungen aufs Land mindestens 6 Tage, daher ist eine Online-Bestellung in dieser Situation keine brauchbare Lösung, und einen verlorenen Schlüssel sofort zu ersetzen ist praktisch unmöglich
Leute, die Passkeys für einfach halten, scheinen ihre gesamten Zugangsdaten meist einem monopolistischen Cloud-Anbieter anzuvertrauen und auf alle Geräte zu synchronisieren
Für Menschen, die Zugangsdaten offline aufbewahren und selbst synchronisieren und sichern wollen, ist wichtig, wie Registrierung, Backup und Teilen genau funktionieren
Zusammen mit Remote Attestation, Altersverifikation, CSAM-Scans und Einschränkungen beim Sideloading wirkt das wie Teil eines Trends, bei dem Big Tech oder Regierungen Teilnehmer, Inhalte, Hardware und Software prüfen müssen, bevor Interaktionen im Internet erlaubt werden
Selbst unter Technikern gibt es viele, die das unterstützen, sodass man wohl bald zwangsläufig in ein monopolistisches Cloud-Ökosystem gedrängt wird
Ich könnte zwei YubiKeys anschaffen, einen in einem Bankschließfach und einen an einem anderen Ort lagern und die Cloud aufgeben, aber bisher sehe ich dafür keinen großen Grund
Bei Passkeys muss man im Vergleich zu Passwörtern auf nichts verzichten, und sie sind im Gegenteil viel einfacher zu handhaben
Vielleicht bin ich daran gewöhnt, physische Schlüssel mitzuführen, weil ich seit 10 Jahren private SSH-Schlüssel in sicherer Hardware speichere, aber insgesamt halte ich das für den besseren Weg
Das Abschaffen von Passwörtern hat nichts mit Remote Attestation oder Altersverifikation zu tun
In den letzten 20 Jahren habe ich nur zwei oder drei Passwörter im Kopf behalten, nämlich für einzelne Geräte oder Firmen- bzw. Privatkonten; alles andere sollte über feingranulare Hardware-Zugangsdaten gelöst werden
Passkeys sind ein Albtraum für Techniker, die ihre eigenen Werkzeuge verstehen und verwalten wollen
Sie sind optimiert für Nutzer, die weder die Fähigkeit noch den Willen haben zu verstehen, sondern nur auf die vom Bildschirm vorgegebenen Buttons drücken und innerhalb eines geschlossenen Ökosystems leben
Dafür funktioniert es gut, aber sobald man das Ökosystem verlässt, bricht alles zusammen und erzeugt enorme Anbieterabhängigkeit; vielleicht war genau das von Anfang an das Designziel
Die HSA-Website hat mich beim letzten Login gezwungen, einen Passkey einzurichten, den ich auf meinem Arbeits-Laptop und im Passwortmanager der Firma registriert habe, und jetzt kann ich auf meinem privaten Computer nicht mehr auf das Konto zugreifen
Wirklich ein fantastisches Ergebnis
Ich kann mich noch über das SSO meines Arbeitgebers anmelden, daher schiebe ich die Einrichtung auf, bis sie wirklich nötig wird
Passkeys sind keine Magie, sondern nur seltsame Passwörter; wenn eine Website keinen Recovery-Button implementiert hat, zeigt das eher einen Mangel in der Website-Implementierung als ein Problem der Passkeys
Das Problem mit Passkeys ist nicht die UX
Big Tech will verhindern, dass Verbraucher universelle Computergeräte besitzen, und sie in geschlossene Ökosysteme drängen, und Passkeys wurden entsprechend dieser Interessen entworfen
Wie immer, wenn Freiheit genommen wird, lautet die Begründung Sicherheit, und das Ergebnis ist ein Betriebsmodell für von Unternehmen verwaltete Geräte, bei dem Nutzer nur das tun können, was der Gerätebesitzer erlaubt
Schlechte UX ist nur eine Folge dieses grundlegenden Problems
Der einzige Ort, der bisher besonders schlecht war, weil er nur bestimmte Passkeys erzwang, war Nintendo; allerdings gehört selbst das noch zu den weniger schlimmen Dingen, die Nintendo getan hat