Jetzt kommen die plattformübergreifenden Passkeys Smartphone + Bluetooth = Authenticator

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

VMware Global Inc Zweigndl. Deutschland

Southern Tech GmbH

Nach einem Whitepaper und Präsentationen auf verschiedenen Entwicklerkonferenzen geht es mit den Passkeys voran. Apple, Google und Microsoft werden die FIDO-Erweiterungen in den kommenden Monaten auf den Markt bringen und damit auch Smartphones zum plattformübergreifenden Authenticator gegen Phishing machen.

Wer sich zuverlässig bei Webdiensten authentifizieren will, stand bisher vor einem Dilemma. Das skizziert die FIDO Alliance im Whitepaper „How FIDO Addresses a Full Range of Use Cases“ vom März 2022 etwa so: Passwörter sind zwar überall verfügbar, aber nicht vor Phishing gefeit. Authentifikatoren schützen zwar – müssen aber entweder umständlich als separates Hardware-Token beschafft werden, oder gehen – als mit Endgerät verknüpfte Zugangsinformationen (Platform Authenticators) – zum Lebensende von Laptop oder Smartphone verloren.

Security-Insider Podcast – Folge 57

So ersetzt FIDO das Passwort per Passkey

Abhilfe schaffen sollen die jetzt vorgestellten Ansätze für „multi-device FIDO credentials“ sowie „roaming authenticator[s]“. Damit sollen Nutzer auf ihre Zugangsdaten stets bei sich tragen und selbst dann nicht verlieren, wenn sie Endgeräte wechseln.

Der nun vorangetriebene, passwortlose Sign-in-Standard wurde gemeinsam von FIDO Alliance (FIDO) und World Wide Web Consortium (W3C) geschaffen. Mehrere Anbieter wollen nun erweiterte, herstellerübergreifende Verfahren in den kommenden Monaten implementieren. In einer gemeinsamen Erklärung vom Mai 2022 bekennen sich etwa Apple, Google und Microsoft zu einem erweiterten Support und folgende beiden Kernfeatures.

1. „Multi-device credentials“ aka „Passkeys“

Nutzer sollen automatisch und geräteübergreifend auf ihre FIDO-Credentials zugreifen – und das selbst auf nagelneuen Geräten. Die „multi-device credentials“ oder auch „Passkeys“ genannten Zugangsdaten ändern laut FIDO nichts am bisherigen Standard, allerdings an dessen Implementierung. Ähnlich wie bei Passwort-Managern, sollen die kryptographische Schlüssel über die OS-Plattformen der jeweiligen Endgeräte synchronisiert werden.

Das bedeutet jedoch zugleich: Wie sicher Schlüssel per „Passkey“ auf neue oder zurückgesetzte Geräte übertragen werden, hängt von den Sicherheitsvorkehrungen der jeweiligen, herstellerspezifischen Plattformen ab. Die kritischen Fragen dabei: Wo und wie werden die Keys gespeichert und übertragen? Über welche (klassischen) Authentifizierungsmechanismen weisen Nutzer ihre Identität nach?

Diese Herausforderungen sind auch der FIDO Alliance nicht entgangen. Im zuvor erwähnten Whitepaper heißt es demzufolge: Ein AAL3 (Authenticator Assurance Level) lasse sich nicht mehr in jedem Fall sicherstellen. Sicherer als ein Login per Passwort sei der Ansatz jedoch allemal – schließlich könnten Anbieter während der Synchronisierung fortgeschrittene Verfahren zur Risikoanalyse einsetzen oder zusätzliche Authentifizierungs-Faktoren einfordern.

Damit Nutzer nicht diese Verifikation nicht bei jedem Login erneut durchlaufen müssen, schlägt FIDO zusätzliche Credentials vor. Diese kryptographischen Schlüssel sollen zusätzlich zum eigentlichen Credential existieren und jeweils an ein Gerät gebunden sein.

Das ändert jedoch nichts an einem weiteren, potentiellen Schwachpunkt: Weil die „multi-device credentials“ herstellerspezifisch umgesetzt werden, dürfte sich eine plattformübergreifende Key-Synchronisierung schwierig gestalten – beispielsweise zwischen einem iOS-Smartphone und einem Android-Gerät. Nicht nur hierfür dürften sich jene Protokolle als hilfreich erweisen, die das Smartphone zum „Roaming Authenticator“ machen.

Passwortlose Anmeldung

W3C macht WebAuthn zum Standard

2. Bluetooth macht Smartphones zum „Roaming authenticator“

Um Smartphones zum „Roaming authenticator“ zu machen, werden die Spezifikationen von FIDO und W3C (WebAuthn) um Bluetooth ergänzt. Das bedeutet: Ein Smartphone wird zum FIDO-Authenticator, der sich in räumlicher Nähe genau jenes Nutzers befinden muss, der sich einloggt. Will sich ein Anwender also per Desktop auf ein Konto einloggen, muss er auch das Smartphone bei sich tragen.

Anders als auf Endgeräten generierte Einmalpasswörter (OTP), soll dieser Ansatz auch Phishing-Angriffe effektiver ausschließen. Zudem wird die Kommunikation per Bluetooth voraussichtlich auch plattformübergreifend funktionieren – Smartphone und Desktop können also von unterschiedlichen Anbietern stammen sowie verschiedene Betriebssysteme samt angebundener Cloud-Dienste nutzen.

Zeitplan und Implementierung

Laut FIDO wollen Apple, Google und Microsoft die jetzt vorgestellten Erweiterungen im Laufe des kommenden Jahres in ihre Plattformen einbinden. Google hatte bereits auf der Entwicklerkonferenz Google IO im April 2022 (YouTube) ersten Vorseriencode vorgestellt und will zur Nachfolgeverstaltung 2023 substantielle Fortschritte vorweisen. Ähnlich sieht es bei Apple aus. Nachdem der Anbieter bereits mit macOS Monterey und iOS 15 eine Preview ankündigte, sollen Passkeys mit macOS Ventura und iOS 16 ab Herbst auch allgemein verfügbar sein.

(ID:48545488)