Apple, Google und Microsoft wollen das Passwort mit dem „Passkey“-Standard töten

Der erste Donnerstag im Mai ist offenbar der „Welt-Passwort-Tag“ und um dies zu feiern, unternehmen Apple , Google und Microsoft eine „ gemeinsame Anstrengung “, um das Passwort zu töten. Große Betriebssystemanbieter wollen „die Unterstützung für den gemeinsamen passwortlosen Anmeldestandard erweitern, der von der FIDO Alliance und dem World Wide Web Consortium geschaffen wurde“.

Der Standard wird entweder als „Multi-Device-FIDO-Anmeldeinformationen“ oder einfach als „Zugriffsschlüssel“ bezeichnet. Anstelle einer langen Zeichenfolge wird bei diesem neuen Schema die App oder Website, auf der Sie sich anmelden, eine Anfrage zur Authentifizierung an Ihr Telefon senden. Von dort aus müssen Sie Ihr Telefon entsperren, sich mit einer PIN oder biometrischen Daten authentifizieren und schon kann es losgehen. Für jeden, der eine telefonische Zwei-Faktor-Authentifizierung eingerichtet hat, klingt es wie ein vertrautes System, aber es handelt sich um einen Passwortersatz und nicht um einen zusätzlichen Faktor.

Für die Benutzerinteraktion wurden Grafiken bereitgestellt:

Einige Push-2FA-Systeme funktionieren über das Internet, dieses neue FIDO-Schema funktioniert jedoch über Bluetooth. In dem Whitepaper heißt es: „Bluetooth erfordert physische Nähe, was bedeutet, dass wir jetzt eine Phishing-resistente Möglichkeit haben, das Telefon des Benutzers während der Authentifizierung zu verwenden.“ Bluetooth hat einen schlechten Ruf für Kompatibilität und ich bin mir nicht sicher, ob „Sicherheit“ jemals eine Rolle gespielt hat Das ist wirklich besorgniserregend, aber die FIDO-Allianz stellt fest, dass Bluetooth nur der „physischen Näherungsprüfung“ dient und dass der eigentliche Anmeldevorgang „nicht durch Sicherheitseigenschaften beeinträchtigt“ wird. Bluetooth“. Das bedeutet natürlich, dass beide Geräte Bluetooth an Bord benötigen, was bei den meisten Smartphones und Laptops eine Selbstverständlichkeit ist, bei älteren Desktop-PCs jedoch eine entmutigende Aufgabe sein kann.

So wie ein Passwort-Manager Ihre Logins unter einem einzigen Passwort zusammenfassen kann, können Ihre Passwörter von einem großen Plattformbetreiber wie Apple oder Google kopiert werden. Dadurch können Sie Ihre Zugangsdaten problemlos auf ein neues Gerät übertragen, verhindern, dass sie verloren gehen, und erleichtern die Synchronisierung von Passwörtern zwischen Geräten. Wenn Sie Ihr Gerät verlieren, können Sie Ihre Konten trotzdem wiederherstellen, indem Sie sich (naja, mit einem Passwort?) bei Ihrem größeren Plattformbesitzerkonto anmelden. Es kann auch sinnvoll sein, mehr als ein Gerät als Authentifikator einzurichten.

Unternehmen versuchen seit Jahren, Passwörter zu eliminieren, aber es war nicht einfach, dies zu erreichen. Google hat in seinem Blog eine ganze Zeitleiste, die bis ins Jahr 2008 zurückreicht. Passwörter funktionieren gut, wenn sie lang, zufällig, geheim und einzigartig sind, aber der menschliche Faktor bei Passwörtern ist immer ein Problem. Wir sind schlecht darin, uns lange, zufällige Zeichenfolgen zu merken. Es ist verlockend, Passwörter aufzuschreiben oder wiederzuverwenden, und Phishing-Angriffe versuchen, Sie dazu zu bringen, Ihr Passwort an Dritte weiterzugeben. Wenn eine Sicherheitsverletzung auftritt, können Benutzernamen- und Passwortpaare leicht ausgetauscht werden und es entstehen riesige Datenbanken mit kompromittierten Anmeldeinformationen.

In einem FIDO-Blogbeitrag heißt es: „Diese neuen Funktionen werden voraussichtlich im Laufe des nächsten Jahres auf Apple-, Google- und Microsoft-Plattformen verfügbar sein.“ Apple, das offenbar den gesamten „Passkey“-Trend eingeleitet hat, hat das System bereits in iOS 15 zum Laufen gebracht und macOS Monterey, aber es ist noch nicht mit anderen Plattformen kompatibel. Die Unterstützung von Google-Passwörtern gibt es bereits in den Play Services auf Android, daher sollte sie schnell auch von älteren Android-Geräten unterstützt werden, sobald sie verfügbar ist.

Auflistungsbild der FIDO Alliance