Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch.

[leckse@social.leckse.net]

@toorero @kuketzblog Ich bekomme da die Option, einen anderen Credential Provider zu nutzen.

Der muss natürlich in den Einstellungen als Alternative aktiviert sein.

Beim Einloggen ist das ganz analog.

[bjoern@social.sengotta.net]

@Willy_Wuff ich glaube wenn man wirklich komplexe unterschiedliche Passwörter jeden Dienst verwendet dann wird das schwer ausser man ist Sheldon Cooper.  @kuketzblog

[thaodan@mastodon.social]

@truhe @kuketzblog@social.tchncs.de.Immerhin besser als einloggen mit Link aus der Email. Mein Password Manager kann leider noch kein Passkey.

[leckse@social.leckse.net]

@maunzCache @kuketzblog Viele Ansichten kann ich überhaupt nicht teilen, wie etwa die Ablehnung von Residence Keys. Ich benutze etwa für jeden Dienst eine separate Mailadresse und oft auch Benutzernamen. Soll ich mir die alle merken? Da kann ich auch gleich bei einem Passwort Manager bleiben.

Auch sehe ich keinen Grund, wieso Passkeys exportierbar sein sollten. Sinnvollerweise hat man Ersatzschlüssel. Nicht irgendwo ein Backup, das genauso wie ein Passwort gestohlen werden kann.

[dida@social.strato.campfire-zone.de]

@kuketzblog Habe bisher auch die Finger davon gelassen. Heißt: ich nutze keepassxc /dx, allerdings nur normale user/pass Kombinationen.

[betterlife@social.tchncs.de]

@kuketzblog

Ich nutze KeePassXC und synchronisiere meine Passwortdatei über eine eigene Managed Nextcloud mit meinen Geräten. Für fast alle Anmeldungen nutze ich zudem 2FA mit OTP-App auf dem Handy.

Passkeys vertraue ich nicht.

[florik@social.cologne]

@kuketzblog Ich habe das alles irgendwann aufgegeben, da ich die Technik und Funktionsweise (Anwendung) nicht verstehe.

Irendwann hiess es, Yubikeys erlauben passwortloses anmelden. Pustekuchen, nein.

Dann hiess es, OTP sei toll, dann ist OTP wieder unsicher.

Und dann meldet sich auch noch der Browser, ob irgendwas hinterlegt werden soll.

Ich durchschaue das einfach alles nicht mehr.

[elisabethk@mastodontech.de]

@kuketzblog
Vor Passkey habe ich zu viel Respekt.
Ich nutze cloudfrei mein iPhone-Schlüsselbund, mache Back-ups lokal auf meinem Mac Air und habe noch Notizbuch und Bleistift. (Old Fashion).

[dd0ul@mastodon.radio]

@kuketzblog privat: keepass, bisher Sync via ownCloud zwischen Notebook und Mobiltelefon.
Beruflich: keepass, Sync zwischen mehreren Umgebungen gelegentlich von Hand.

[momo@social.linux.pizza]

@kuketzblog
Ich muss gestehen, Passkeys gingen komplett an mir vorbei, bis mir Microsoft das auf der Arbeit letztes Jahr mit Gewalt reingedrückt hat.

Ich nutze Fido-USB-Keys als U2F und fahre damit ganz gut. Passkey wirkt auf mich als hätten Apple, Google und Microsoft sich zusammengesetzt und versucht, U2F nachzuahmen und das Ganze als Softwarelösung in ihre Devices zu integrieren. Und das nutzen sie dann... als single factor-Ersatz für Passwörter?

Es spielt in meinem Leben als Linux-Poweruser keine Rolle, ich befürchte langfristig wird U2F aber keine weitere Verbreitung finden, insofern fraglich wie lange ich Passkey noch ignorieren kann...

[b_rain@troet.cafe]

@momo @kuketzblog Sind an mir ebenfalls vorbei gegangen, U2F allerdings auch, muss ich gestehen.

[martinrust@infosec.exchange]

@thaodan
Unrühmlich finde ich, dass der bekannte Micropayment-Dienst #Steady #SteadyHQ E-Mail-Token als einziges Verfahren zur "Authentifizierung" anbietet. @truhe @joinsteady

[joinsteady@mstdn.social]

@martinrust Für uns ist das der beste Kompromiss zwischen Usability und Sicherheit. Passwörter gehen verloren oder werden wiederverwendet und sind somit anfällig. Passkeys wären eine bessere Alternative, allerdings in der Breite noch nicht gut angenommen, sieht man ja auch im Thread oben.

Wir beobachten das und überlegen, weitere Möglichkeiten anzubieten. Was wäre dir am liebsten?

[lukasrotermund@social.tchncs.de]

@publicvoit @kuketzblog Same but not same. Ich mag den Passkey Begriff einfach nicht, weil er so unkonkret ist.

Wo ich kann nutze ich ebenfalls FIDO2 mit Hardware Tokens, ob in KeePassXC oder bei Platformen die es anbieten. Ich mag all meine real-world Keys einfach lieber als die digitalen "Passkeys"

[thaodan@mastodon.social]

@martinrust @truhe @joinsteady Bitbucket macht das leider auch so..

[thaodan@mastodon.social]

@joinsteady @martinrust Lass die Option Passwörter zu verwenden aber erzwinge TOTP. Meiner Meinung nach der beste Kompromiss. Ich mag Email aber Authentifizierung Nein danke.
Mit Passwörtern kann ich nebenbei mich auch immer schnell anmelden ohne irgendwelche Kekse oder ähnliches zu speichern.

[lothar@social.tchncs.de]

@thaodan @joinsteady @martinrust
+1

Wirklich: Ich war schon ernsthaft am Überlegen, ob ich bestehende Abos überhaupt weiterführen soll, weil ich nur noch mit dieser extrem umständlichen E-Mail-Anmeldung ran komme (u. a. bei @Krautreporter). Der Artikel z.B. aus einem Newsletter (Full RSS gibt es ja auch nicht mehr …) muss mich schon _sehr_ interessieren, damit ich das auf mich nehme.

[linoge@fosstodon.org]

@kuketzblog
Ich habe bisher genauso wie du nur Passwörter und OTPs

[acn@fedi.imzadi.de]

@kuketzblog
Ich fange jetzt langsam damit an und speichere sie per Bitwarden in meiner selbst betriebenen Vaultwarden-Instanz.

[martinrust@infosec.exchange]

@joinsteady Danke für die Frage. Ich hab ja nichts dagegen, dass ihr denjenigen Usern, denen das bei Passwörtern nötige Problembewusstsein fehlt, E-Mail-Tokens (oder meinetwegen per Messaging-App versendete Tokens) als Default nahelegt.
Für meinen Teil verwende ich #Passwortmanager und damit Passwörter, die ausreichend komplex sind, nicht wiederverwendet werden, und in meine Datensicherung einbezogen sind. Sicherheit m.E. viel höher als E-Mail-Token, Usability erste Sahne, da Anmeldung weitgehend automatisierbar und nicht von einem Dritt-Dienst abhängig. Zusätzlich verwende ich, wenn es um wichtige Daten geht und der Dienst es unterstützt, #TOTP., mit einem separaten Gerät. Das würde ich auch bei Steady machen, schließlich geht es um meine Kontodaten.