Passwörter sind tot. Es leben Passkeys!

Was sind Passkeys?

Passkeys sind im Wesentlichen ein Ersatz für herkömmliche Passwörter, da sie moderne kryptografische öffentliche/private Schlüssel (key) anstelle eines gemeinsamen geheimen Wortes verwenden. Anstatt ein gemeinsames Geheimnis über das Netzwerk auszutauschen, wird eine Anfrage mit einem privaten Schlüssel signiert und an den Dienst gesendet, der die Authentifizierung anfordert (auch als die „vertrauende Partei“ [Relying Party] bezeichnet). Die Relying Party verifiziert die Signatur mittels des öffentlichen Schlüssels, den sie bei der Registrierung erhalten hat. Der private Schlüssel bleibt dabei geheim. Er verlässt niemals das Gerät (gerätegebundener Passkey [Device-Bound Passkeys]) oder das herstellerspezifische Ökosystem (synchronisierter Passkey [synced passkey]). Dieses Authentifizierungsparadigma verändert die Sicherheit der verwendeten Zugangsberechtigungen signifikant, da sie die definierten Perimetergrenzen niemals verlassen. 

Das Benutzererlebnis mit Passkeys ist für alle Geräte einheitlich ausgelegt. Abbildung 1 zeigt, wie ein Passkey durch die einfache Angabe des Benutzernamens oder der E-Mail-Adresse erstellt wird. Abbildung 2 zeigt das Interaktionsmuster beim Einloggen: eine einfache Fingerabdruck- oder Gesichtsverifizierung oder eine Geräte-PIN, mit der die Benutzer vertraut sind und der sie häufig begegnen. Bevor ein Authenticator in Form einer Hardware- oder Software-Komponente eine an in gestellte Anfrage signiert, wird bestätigt, dass die Relying Party mit der Domäne übereinstimmt, für die der Schlüssel erstellt wurde. Den Passkeys wird folglich eine sogenannte „Verifier Impersonation Resistance“ verliehen, also ein Verifizierungs- und Identitätsdiebstahlschutz. Sie werden dadurch resistent gegen Phishing. Außerdem erhalten Unternehmen durch Passkeys die Gewissheit, dass die Zugangsberechtigungen ihrer Benutzer auch dann sicher bleiben, wenn ihre Datenbank kompromittiert wird, da eine Relying Party lediglich das öffentliche Zertifikat eines Benutzers speichert. Passkeys können nicht vergessen oder falsch eingegeben werden, was die Anzahl der Passwortrücksetzungs-Tickets um 95% reduziert. Dadurch entfallen teure und potenziell unsichere Passwortwiederherstellungsverfahren.

Weil Passkeys von Browsern entdeckt werden können, ergeben sich neue und einzigartige Möglichkeiten der Interaktion mit den Benutzern. Bald müssen Benutzer vielleicht nur noch den Authenticator (Plattform, Passwortmanager, USB-Gerät usw.) auswählen, anhand dessen sie sich mit ihrem gespeicherten Passkey authentifizieren wollen. Dazu müssen Unternehmen jedoch ihren Authentifizierungsprozess anpassen.

Was sind Synced Passkeys?

Im Mai 2022 kündigten Apple, Google und Microsoft Pläne zur Unterstützung von Synced Passkeys an. Wie oben beschrieben, können Synced Passkeys im Gegensatz zu Device-Bound Passkeys zwischen Geräten innerhalb des Ökosystems desselben Herstellers, wie zum Beispiel iCloud für Apple-Geräte, oder innerhalb eines Cloud-basierten Passwortmanagers synchronisiert werden. Obgleich diese Zugangsberechtigungen einen anderen Schutz erfordern als Device-Bound Passkeys, weisen sie dieselben Sicherheits- und Anwendungsmerkmale auf und bieten aufgrund ihrer ausgewogenen Balance zwischen Komfort und Sicherheit sowohl Endnutzern als auch Unternehmen signifikante Vorteile.

Die folgende Abbildung fasst die Unterschiede zwischen Synced Passkeys und Device-Bound Passkeys zusammen:

Aber das ist noch nicht alles ...

Die Entwicklung endet nicht mit Synced Passkeys. CTAP2 unterstützt Verbindungen zu externen Authenticators über USB, NFC oder Bluetooth Low Energy (BLE). Im März 2023 wurde eine Erweiterung des Protokolls vorgeschlagen, um geräteübergreifende Authentifizierungsflüsse zu ermöglichen. Dieser Vorschlag wird bereits von Apple und Android unterstützt und erlaubt es den Benutzern, sich auf einem gemeinsam genutzten Computer (zum Beispiel in einer Bibliothek) sicher in ihre Konten einzuloggen, ohne die Preisgabe von privatem Passkey-Material zu riskieren. 

Abbildung 4 zeigt den geräteübergreifenden Fluss: (1) Der Client verlangt eine Authentifizierung (2) und präsentiert einen QR-Code, der dann (3) von einem Authenticator gescannt werden kann. Als Nächstes interagiert der Authenticator (4) mit dem Server, der eine Authentifizierung über das Internet verlangt, und (5) signiert die präsentierte Anfrage, um (6) den Besitz eines gültigen Passkeys nachzuweisen. Das Gerät, das den QR-Code präsentiert, prüft ständig, ob ein Authenticator die Anfrage signiert hat (6). Wenn ja, wird eine gültige Sitzung empfangen.

Der geräteübergreifende Authentifizierungsfluss erlaubt die Verwendung von Authenticators mit Kameras zum Authentifizieren von Benutzern. BLE wird verwendet, um die physische Nähe zu bestätigen, damit der Authentifizierungsprozess sicher und unterbrechungsfrei bleibt.