Die Evolution der Authentifizierung: Von Passwörtern zu Passkeys
Tauchen Sie ein in die Welt der neumodernen Identitätsüberprüfung mit Passkeys: Erfahren Sie, wie Passkeys die Online-Welt revolutionieren können und entdecken Sie die technischen Backgrounds jener innovativen Sicherheitsmethode. Tschüss Passwörter, tschüss Phishing. Hallo neuartiger und innovativer Login via Passkey! Einfach, schnell und sicher.
In 2012 wurde die FIDO-Alliance erschaffen. Das Ziel: Einen lizenzfreien neuen Standard für die Identitätsüberprüfung im Web entwickeln (FIDO = Fast IDentity Online). Der amerikanischen Organisation gehören viele „Big Player“ der Tech-Industrie an, zum Beispiel Google, Microsoft, Apple, Samsung, Alibaba wie auch Amazon. Die Einrichtung hat eine neue Technologie entwickelt, welche wir in dem Artikel unter die Lupe nehmen möchten: Identitätsüberprüfung mittels Passkeys. Die Absicht der FIDO: Rasche Online-Ausweisung. Passwörter sollten abgeschafft plus Logins zwar bequemer, jedoch gleichzeitig auch safer gemacht werden. Aber wie soll das bloß gelingen?!
Vom Passwort zum Passkey: Was steckt dahinter?
In einer gegenwärtigen Analyse von 1Password gab jeder (!) Befragte an, bereits einmal direkt oder indirekt mit Phishing in Berührung gekommen zu sein. Insofern verwundert es nicht, dass der Großteil der Befragten eine sichere Login-Methode für ihre Online-Accounts für äußerst wichtig hält. Die Zwei-Faktor-Authentifizierung (2FA) erscheint hier zwar in der Theorie nach einer guten Option, hat jedoch einen größeren Haken: Man kann sich unheimlich leicht selbst aussperren aus seinen persönlichen Konten. Von dem zeitlichen Aufwand mal ganz zu schweigen. Einfach und „smooth“ ist der 2FA-Login mitnichten. Darüber hinaus werden selbstverständlich auch Hacker immerzu klüger: Cyber-Kriminelle haben in der Vergangenheit bereits Maßnahmen gefunden, SMS abzufangen sowie auf diese Weise an den zweiten Faktor für eine Authentifizierung zu kommen. Wirklich sicher wäre ein Login demnach nur, wenn es gar keine Zugangsdaten gäbe, die man ausspionieren könnte. Und exakt an jener Stelle kommen Passkeys auf den Radar!
Passkeys, ebenso bekannt als Sicherheitsschlüssel oder Authentifizierungsschlüssel, werden immer mehr zu einem elementaren Glied moderner Sicherheitsinfrastrukturen. Im Gegensatz zu herkömmlichen Passwörtern eröffnen diese eine zusätzliche Sicherheitsebene, indem selbige eine physische Komponente in die Authentifizierung integrieren. Die Eingebung hinter Passkeys ist, dass der Nutzer Zugang zu all den eigenen Online-Konten im Internet hat, ohne dass man sich jedes Mal mit Benutzernamen sowie Kennwort einloggt. Erklärtes Ziel der sogenannten Passkey-Technologie ist es, ohne Zugangsdaten auszukommen, die ausspioniert werden könnten. Sie wurden entwickelt, um eine passwortlose Registrierung bei Homepages und Apps zu ermöglichen und das Benutzererlebnis einfacher wie auch phishing-sicher zu gestalten.
Doch wie gelingt das?
Nun, bei der Erstellung eines Profils bei einem Online-Dienst, der Passkeys fördert, werden zwei Schlüssel generiert, welche untereinander mathematisch verknüpft sind:
- Ein öffentlicher Schlüssel – jener wird mit dem Dienst, beispielsweise einer Webseite oder einer App geteilt und fungiert dazu, Infos zu codieren, die lediglich der private Schlüssel entschlüsseln kann.
- Einen privaten, asymmetrischen Krypto-Schlüssel – dies ist eine sehr lange, vollkommen beliebig generierte Abfolge von Zeichen. Jener private Schlüssel ist einzig auf dem Gerät des Anwenders abgespeichert. Auf sämtlichen verknüpften Geräten, beispielsweise dem Laptop bzw. Smartphone, ist somit via Passkey-Login kein Benutzername und ebenfalls kein Zugangswort mehr nötig.
Um Passkeys benutzen zu können, sind zwei Punkte technisch nötig: Das Endgerät muss das „Client to Authenticator Protocol“ (CTAP2) unterstützen, um sicher mit dem Webbrowser im Austausch stehen zu können. Der Online-Dienst, bei dem man sich einloggen will, muss hierüber hinaus die „WebAuthentication standard API“ unterstützen (WebAuthn). Dies ist eine Schnittstelle, welche nötig ist, um sich mit dem Schlüsselprinzip, welchem sich Passkeys bedienen, beglaubigen zu können.
Da Passkeys also auf den entsprechenden Endgeräten gelagert werden, drängt sich natürlich sofort eine wesentliche Frage auf: Wie lassen sich die Geräte vor unbekannten Zugriffen bewahren? Weil in jenem Fall stünden einem Hacker Tür wie Tor offen, in dem Moment wo er ein fremdes Gerät in der Hand hat. Aber glücklicherweise gibt es hierzu schon Lösungen: Weil die modernen Modelle von Geräten – ob Laptop, Smartphone oder auch Smart-TV – bieten Geräte- sowie auch App-Entsperrung über biometrische Scans an. Die populärsten sind Fingerabdruckscan sowie Face ID. So entsteht durch die Kombination aus Passkey plus biometrischen Daten eine extrem sichere Form der Identitätsüberprüfung.
Gibt es Passkey nur bei Amazon?
Die Verwendung von Passkeys bietet eine gesamte Reihe von Vorteilen für Nutzer und Unternehmen. Dazu gehören eine erhöhte Sicherheit durch eine physische Authentifizierungskomponente, eine verbesserte User Experience durch nahtlose Anmeldung und eine Verkleinerung des Risikos von Phishing-Attacken sowie Passwortdiebstahl. Manche Technologiereisen haben aus diesem Grund ebenfalls schon Passkeys eingeführt – zuletzt mit allerhand Aufsehen der Online-Marktplatz Amazon. Und dies wird voraussichtlich erst der Anfang sein – Experten gehen hiervon aus, dass Passkeys sich zunehmend am Markt ausbreiten und als Norm eingesetzt werden.
Was denken Sie: Ist die Zukunft der Authentifizierung passwortlos plus physisch?
Bei Anliegen zum Thema 2FA sowie Passkeys schreiben Sie uns gerne an.
Wir beraten und unterstützen Sie auf Ihrem Weg hin zu einem sicheren Unternehmen!
Alle Artikel ansehen