Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch.

[florik@social.cologne]

@kuketzblog Ich habe das alles irgendwann aufgegeben, da ich die Technik und Funktionsweise (Anwendung) nicht verstehe.

Irendwann hiess es, Yubikeys erlauben passwortloses anmelden. Pustekuchen, nein.

Dann hiess es, OTP sei toll, dann ist OTP wieder unsicher.

Und dann meldet sich auch noch der Browser, ob irgendwas hinterlegt werden soll.

Ich durchschaue das einfach alles nicht mehr.

[elisabethk@mastodontech.de]

@kuketzblog
Vor Passkey habe ich zu viel Respekt.
Ich nutze cloudfrei mein iPhone-Schlüsselbund, mache Back-ups lokal auf meinem Mac Air und habe noch Notizbuch und Bleistift. (Old Fashion).

[dd0ul@mastodon.radio]

@kuketzblog privat: keepass, bisher Sync via ownCloud zwischen Notebook und Mobiltelefon.
Beruflich: keepass, Sync zwischen mehreren Umgebungen gelegentlich von Hand.

[momo@social.linux.pizza]

@kuketzblog
Ich muss gestehen, Passkeys gingen komplett an mir vorbei, bis mir Microsoft das auf der Arbeit letztes Jahr mit Gewalt reingedrückt hat.

Ich nutze Fido-USB-Keys als U2F und fahre damit ganz gut. Passkey wirkt auf mich als hätten Apple, Google und Microsoft sich zusammengesetzt und versucht, U2F nachzuahmen und das Ganze als Softwarelösung in ihre Devices zu integrieren. Und das nutzen sie dann... als single factor-Ersatz für Passwörter?

Es spielt in meinem Leben als Linux-Poweruser keine Rolle, ich befürchte langfristig wird U2F aber keine weitere Verbreitung finden, insofern fraglich wie lange ich Passkey noch ignorieren kann...

[b_rain@troet.cafe]

@momo @kuketzblog Sind an mir ebenfalls vorbei gegangen, U2F allerdings auch, muss ich gestehen.

[martinrust@infosec.exchange]

@thaodan
Unrühmlich finde ich, dass der bekannte Micropayment-Dienst #Steady #SteadyHQ E-Mail-Token als einziges Verfahren zur "Authentifizierung" anbietet. @truhe @joinsteady

[joinsteady@mstdn.social]

@martinrust Für uns ist das der beste Kompromiss zwischen Usability und Sicherheit. Passwörter gehen verloren oder werden wiederverwendet und sind somit anfällig. Passkeys wären eine bessere Alternative, allerdings in der Breite noch nicht gut angenommen, sieht man ja auch im Thread oben.

Wir beobachten das und überlegen, weitere Möglichkeiten anzubieten. Was wäre dir am liebsten?

[lukasrotermund@social.tchncs.de]

@publicvoit @kuketzblog Same but not same. Ich mag den Passkey Begriff einfach nicht, weil er so unkonkret ist.

Wo ich kann nutze ich ebenfalls FIDO2 mit Hardware Tokens, ob in KeePassXC oder bei Platformen die es anbieten. Ich mag all meine real-world Keys einfach lieber als die digitalen "Passkeys"

[thaodan@mastodon.social]

@martinrust @truhe @joinsteady Bitbucket macht das leider auch so..

[thaodan@mastodon.social]

@joinsteady @martinrust Lass die Option Passwörter zu verwenden aber erzwinge TOTP. Meiner Meinung nach der beste Kompromiss. Ich mag Email aber Authentifizierung Nein danke.
Mit Passwörtern kann ich nebenbei mich auch immer schnell anmelden ohne irgendwelche Kekse oder ähnliches zu speichern.

[lothar@social.tchncs.de]

@thaodan @joinsteady @martinrust
+1

Wirklich: Ich war schon ernsthaft am Überlegen, ob ich bestehende Abos überhaupt weiterführen soll, weil ich nur noch mit dieser extrem umständlichen E-Mail-Anmeldung ran komme (u. a. bei @Krautreporter). Der Artikel z.B. aus einem Newsletter (Full RSS gibt es ja auch nicht mehr …) muss mich schon _sehr_ interessieren, damit ich das auf mich nehme.

[linoge@fosstodon.org]

@kuketzblog
Ich habe bisher genauso wie du nur Passwörter und OTPs

[acn@fedi.imzadi.de]

@kuketzblog
Ich fange jetzt langsam damit an und speichere sie per Bitwarden in meiner selbst betriebenen Vaultwarden-Instanz.

[martinrust@infosec.exchange]

@joinsteady Danke für die Frage. Ich hab ja nichts dagegen, dass ihr denjenigen Usern, denen das bei Passwörtern nötige Problembewusstsein fehlt, E-Mail-Tokens (oder meinetwegen per Messaging-App versendete Tokens) als Default nahelegt.
Für meinen Teil verwende ich #Passwortmanager und damit Passwörter, die ausreichend komplex sind, nicht wiederverwendet werden, und in meine Datensicherung einbezogen sind. Sicherheit m.E. viel höher als E-Mail-Token, Usability erste Sahne, da Anmeldung weitgehend automatisierbar und nicht von einem Dritt-Dienst abhängig. Zusätzlich verwende ich, wenn es um wichtige Daten geht und der Dienst es unterstützt, #TOTP., mit einem separaten Gerät. Das würde ich auch bei Steady machen, schließlich geht es um meine Kontodaten.

[domkat@troet.cafe]

@kuketzblog
Ich hab immernoch nicht verstanden wo der Vorteil von Passkeys in keePass gegenüber Passwörtern in keePass liegt. Daher verwende ich auch bis auf einem yubikey in einem Kundensystem sonst halt (lange zufallsgenerierte) Passwörter (die ich nie gesehen habe).

[toorero@troet.cafe]

@leckse @kuketzblog Das sieht bei mir anders aus. Wenn ich mich auf einer Webseite mit U2F oder Passkeys anmelde, öffnet sich die DB in welcher ich einen Passkey Eintrag auswählen soll. In den Einstellungen kann ich keine Alternativen erlaube.

[willy_wuff@troet.cafe]

@bjoern @kuketzblog die Kunst ist sich ein paar Kunstworte zu schaffen, die man sich merken kann.
Wenn man hingegen nen Dutzend krüptische Passworte nutzen muss.....
Stellt sich die Frage ob sie in einem Passwordmanager eines möglicherweise kompromittieren Systems sicherer sind, als im Berühmten kleinen schwarzen Büchlein.
Zu letzterem braucht man physischen Zugriff, grenzt die Zahl möglicher Diebe kollosal ein.

[schimmelreiter@digitalcourage.social]

@kuketzblog Ich hatte es auf einer Webseite mal ausprobiert. Aber beim nächsten Login bekam ich eine Fehlermeldung, der Key passe nicht zum Gerät, stimmte aber nicht! Damit war das Thema für mich durch. Ich habe auch gesehen, dass einige Webseiten es sowieso nur fürs Handy anbieten (und bei iOS habe ich auch noch keine Möglichkeit gefunden, sowas nicht bei iCloud abzuelegen). Nö, sowas muss auch auf dem Rechner funktionieren. Also für mich ist Passwort plus OTP die eindeutig bessere Wahl.

[tusk@troet.cafe]

@kuketzblog Ich versteh den Scheiß nicht. Daher keine Nutzung.

[micket@swiss.social]

@kuketzblog
Ich nutze auch keepass. Ich habe mittlerweile alle Dienste die gehen auf Passskey umgestellt. Und fahre sehr gut damit. Auf Android mit KeepassDX und auf Linux mit KeepassXC.

Ich hatte nur einmal das Problem, dass ich einen Passkey und somit den Zugriff auf einen Dienst verloren hatte.
Leider kann man dann gar nichts mehr machen. Zumindest auf discourse basierende Foren bieten keine Möglichkeiten zum zurücksetzen an.