Vorteil von Passkeys - kann (noch) keinen erkennen

[OmarDLittle]

Also wenn ich mich im Browser bei Apple einloggen will bekomm ich zur Wahl ob ich das Passwort eingeben will oder direkt den Key stecke. Das Passwort nehme ich dann nicht, bringt auch nix weil es ja wieder zum Key zurückkommt.

All das gilt natürlich nicht nur für eine PIN eines Yubikeys, sondern für jeden Faktor des Typs "Ich weiß etwas" in jedem Autentisierungs-System.

Ja, Apple hat diese Funktionalität wo du einen anderen Apple-User in deinen iCloud-Einstellungen als Recovery-Kontaktperson angeben kannst. Hat nix mit Yubikey zu tun, aber genau diese Funktionalität gibt es zumindest für die Apple ID bereits. Kenne aber keinen sonstigen Anbieter der das hätte.

 

[thulium]

Ja, Apple hat diese Funktionalität wo du einen anderen Apple-User in deinen iCloud-Einstellungen als Recovery-Kontaktperson angeben kannst. Hat nix mit Yubikey zu tun, aber genau diese Funktionalität gibt es zumindest für die Apple ID bereits. Kenne aber keinen sonstigen Anbieter der das hätte.

Finde ich auch sehr gut gemacht von Apple!

 

[jteschner]

Also wenn ich mich im Browser bei Apple einloggen will bekomm ich zur Wahl ob ich das Passwort eingeben will oder direkt den Key stecke. Das Passwort nehme ich dann nicht, bringt auch nix weil es ja wieder zum Key zurückkommt.

Welcher Browser? Safari oder Firefox?
Bei mir auf dem eigenen MBP:
Safari: Anmelden -> TouchID -> drin (ohne FidoKey)
Firefox: Anmelden -> AppleID -> Passwort -> FidoKey -> drin

 

[OmarDLittle]

Mit Chrome und Firefox, ich bekomme dann angezeigt "Continue with password" und "Sign in with Passkey". Sobald ich auf Passkey klicke werde ich aufgefordert meinen Yubikey zu stecken, das wars.

 

[jteschner]

Mit Chrome und Firefox, ich bekomme dann angezeigt "Continue with password" und "Sign in with Passkey". Sobald ich auf Passkey klicke werde ich aufgefordert meinen Yubikey zu stecken, das wars.

Das bekomme ich beides nicht angezeigt.
Ich poste mal ein paar Screenshots in der Reihenfolge des Vorgangs im Firefox:

1. iCloud.com

2. Anmelden mit AppleID und Passwort

3. 2FA

4. Yubikey einstecken, Finger drauf, drin (die obere Option geht nicht)

Ich frage mich warum du einen Passkey mit Firefox verwenden kannst ...
Liegt es vielleicht daran, dass du Passkeys nicht über die iCloud verwaltest sondern auf dem Yubikey speicherst?

 

[jteschner]

Gerade noch mit Chrome getestet:
Da kann ich nach Eingabe der AppleID "Passkey" auswählen -> dann bekomme ich einen QR-Code, den ich mit dem iPhone scannen kann (2FA) --> OHNE FidoKey
Oder ich wähle den Weg über AppleID -> Passwort -> Fido-Key

?? Das sich die Browser dermaßen unterschiedlich verhalten ??

 

[OmarDLittle]

Da kann ich nach Eingabe der AppleID "Passkey" auswählen -> dann bekomme ich einen QR-Code, den ich mit dem iPhone scannen kann (2FA)

Moment, du kannst an der Stelle noch auswählen dass du einen physischen Key nutzen willst, dann wird anstelle vom QR-Code der Yubikey angefordert. Das ist eine Popup-Abfrage vom Chrome. In der Praxis verwende ich aber iCloud im Browser nicht, ich hab zumindest immer das iPhone dabei, also keinerlei Grund auf einem fremden Gerät jemals einen Browser-Login zu nutzen. Dabei hat der Yubikey aber auch einen Vorteil, dass du auf einem fremden Gerät kein Passwort eintippst das dort evtl. abgegriffen werden könnte.

 

[jteschner]

Moment, du kannst an der Stelle noch auswählen dass du einen physischen Key nutzen willst, dann wird anstelle vom QR-Code der Yubikey angefordert. Das ist eine Popup-Abfrage vom Chrome. In der Praxis verwende ich aber iCloud im Browser nicht, ich hab zumindest immer das iPhone dabei, also keinerlei Grund auf einem fremden Gerät jemals einen Browser-Login zu nutzen. Dabei hat der Yubikey aber auch einen Vorteil, dass du auf einem fremden Gerät kein Passwort eintippst das dort evtl. abgegriffen werden könnte.

Nein, bei mir nicht. Chrome:

Und wenn ich auf "mit dem Passkey ..." klicke kommt direkt der QR-Code

 

[OmarDLittle]

Komisch, nach Klick auf Passkey kommt:

 

[jteschner]

Komisch, nach Klick auf Passkey kommt:
Anhang anzeigen 430919

Bei mir nicht.
Und ich frage mich: was ist bei dir anders? Und warum kann bei dir Chrome auf die iCloud-Keychain zugreifen?
Und: ich vermute auch, dass du einen Yubikey 5 hast, richtig? Und eine PIN darauf? Habe ich nämlich gerade in den Chromeeinstellungen gesehen, wo der HW-Key konfiguriert werden kann

 

[BEASTIEPENDENT]

Und warum kann bei dir Chrome auf die iCloud-Keychain zugreifen?

Wieso denn nicht? https://www.heise.de/news/Chrome-nutzt-Passkeys-im-iCloud-Schluesselbund-9307027.html
https://chromewebstore.google.com/detail/icloud-passwörter/pejdijmoenmkgeppbflobdenhhabjlaj?pli=1

 

[jteschner]

Wieso denn nicht? https://www.heise.de/news/Chrome-nutzt-Passkeys-im-iCloud-Schluesselbund-9307027.html
https://chromewebstore.google.com/detail/icloud-passwörter/pejdijmoenmkgeppbflobdenhhabjlaj?pli=1

Ist doch eher brandneu und erfordert eine Erweiterung wenn ich das richtig sehe. Meine letzten Erinnerungen an Chrome sind ca 1 Jahr alt und da konnte er das noch nicht (glaube ich)
Firefox kann auf den iCloud Schlüsselbund auch nur per Erweiterung zugreifen.

 

[jteschner]

So, und nun habe ich getestet, die Fido-Keys wieder aus dem System zu entfernen: kein Problem - alles wieder wie zuvor.

 

[Cassiuzz]

Ich wette, käme ich in 5 Jahren wieder, würden die selben YPS Geheimagenten hier immer noch munter weiterdiskutieren und fachsimpeln, ob und wie man Passkeys aktiv nutzen kann

 

[jteschner]

Ich wette, käme ich in 5 Jahren wieder, würden die selben YPS Geheimagenten hier immer noch munter weiterdiskutieren und fachsimpeln, ob und wie man Passkeys aktiv nutzen kann

Kann sein ... ;-)
Obwohl ich Passkeys nutze und mich eher über die uneinheitliche und halbherzige Umsetzung bei den Anbietern "wundere". Na ja, schaun wir mal ...
Mir ging es in den letzten Beiträgen eher um die FidoKeys und die Sonderbarkeiten und gar nicht um Passkeys.
Grüße, YPS-Agent 0815

 

[OmarDLittle]

warum kann bei dir Chrome auf die iCloud-Keychain zugreifen?

Kann Chrome nicht, das ist dem Safari vorbehalten. Chrome reicht mit dem QR-Code nur die Anfrage ans iPhone durch und das iPhone kann dann den Login authorisieren. Deswegen muss man den QR-Code auch am iPhone scannen.

Und: ich vermute auch, dass du einen Yubikey 5 hast, richtig? Und eine PIN darauf?

Nein ich hab den gleichen security key wie du und natürlich mit PIN.

 

[BEASTIEPENDENT]

Kann Chrome nicht, das ist dem Safari vorbehalten.

Doch, kann Chrome mit der Erweiterung, siehe Beitrag #291: https://www.macuser.de/threads/vorteil-von-passkeys-kann-noch-keinen-erkennen.939869/post-12280849 – zumindest für Passwörter. Da ich das selber nutze, kann ich sagen, es funktioniert auch (wenn auch nicht ganz so geschmeidig wie mit Safari).

 

[jteschner]

Doch, kann Chrome mit der Erweiterung, siehe Beitrag #291: https://www.macuser.de/threads/vorteil-von-passkeys-kann-noch-keinen-erkennen.939869/post-12280849 – zumindest für Passwörter. Da ich das selber nutze, kann ich sagen, es funktioniert auch (wenn auch nicht ganz so geschmeidig wie mit Safari).

OK. Sag ich doch. Allerdings würde _ich_ niemals einem Google-Produkt Zugriff auf meine iCloud geben - schon gar nicht der Keychain.
Gruß an die Paranoia.

 

[BEASTIEPENDENT]

Allerdings würde _ich_ niemals einem Google-Produkt Zugriff auf meine iCloud geben

Da war/bin ich ehrlich gesagt auch recht skeptisch, ob das so klug ist. Ich denke/hoffe, dass es keinen Zugriff in dem Sinne bekommt, sondern nur das aktuelle PW übergeben wird. Ansonsten würde ich nämlich bei Bitwarden als Alternative für andere Browser als Safari bleiben.

 

[jteschner]

Da war/bin ich ehrlich gesagt auch recht skeptisch, ob das so klug ist. Ich denke/hoffe, dass es keinen Zugriff in dem Sinne bekommt, sondern nur das aktuelle PW übergeben wird. Ansonsten würde ich nämlich bei Bitwarden als Alternative für andere Browser als Safari bleiben.

Ich will da auch gar nichts unterstellen - es kann ja alles sicher sein - nur kann ich das nicht beurteilen. Und daher: lieber Vorsicht als Nachsicht und bei mir bekommt niemand Zugriff jedweder Art auf die Keychain - und Google bzw. ein Entwickler von der Erweiterung schon gar nicht.