Definition Passkey Was ist ein Passkey?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

asskey ist eine auf FIDO2 basierende Authentifizierungstechnologie. Sie ermöglicht eine sichere, passwortlose Anmeldung und verwendet das Public-Key-Verfahren mit privaten und öffentlichen Schlüsseln. Zahlreiche Webdienste, Betriebssysteme und Webbrowser unterstützen die Anmeldung per Passkey. Passkey ist offen und herstellerunabhängig. Das Anmeldeverfahren schützt vor Cyber-Bedrohungen wie Phishing.

Passkey ist der Name einer passwortlosen Authentifizierungstechnologie, die die Authentifizierung per Username und Passwort ersetzen soll. Das Passkey-Verfahren wurde von der FIDO Alliance und dem World Wide Web Consortium entwickelt und basiert im Kern auf FIDO2. Es ermöglicht eine sichere, passwortlose Anmeldung. Passwörter werden durch kryptographische Schlüsselpaare, bestehend aus öffentlichen und privaten Schlüsseln ersetzt. Zusätzlich nutzt das Verfahren zur Bestätigung der Benutzeridentität Sicherheitsmerkmale wie biometrische Merkmale (Fingerabdruck, Gesichtserkennung), PINs oder Wischmuster. Passkey ist ein offenes, herstellerunabhängiges Verfahren und schützt vor Cyber-Bedrohungen wie Phishing. Es wird bereits von zahlreichen Betriebssystemen und Webbrowsern wie iOS, Android, Windows, macOS, Chrome, Edge und Safari unterstützt. Auch viele Webseiten wie PayPal, eBay, Google und viele mehr erlauben inzwischen die Anmeldung per Passkey.

Prinzipielle Funktionsweise der Authentifizierung mit Passkeys

Passkey basiert auf der asymmetrischen Verschlüsselung. Bei der ersten Anmeldung wird ein Schlüsselpaar bestehend aus einem privaten Schlüssel und einem öffentlichen Schlüssel erzeugt. Der private Schlüssel verbleibt auf dem Endgerät des Users, der öffentliche Schlüssel wird von der Gegenseite zum Beispiel einem Webservice oder einer App gespeichert. Passkey erweitert FIDO2 und macht die Authentifizierung nutzerfreundlicher, indem die privaten Schlüssel nicht mehr fest an ein bestimmtes Gerät gebunden sind und sich auf mehreren Geräten speichern oder über die Cloud synchronisieren lassen. Ein Schlüsselpaar ist immer nur für einen Service oder ein Konto gültig.

Bei der Anmeldung per Passkey an einem Server sendet der Server zunächst eine Challenge an das Gerät des Users. Die Challenge wird gelöst, indem sie mit dem auf dem Gerät gespeicherten privaten Schlüssel digital signiert wird. Lokal auf dem Gerät authentifiziert sich der Benutzer per biometrischem Merkmal, PIN oder Wischgeste. Der Server überprüft die ihm übermittelte Lösung der Challenge und kann mithilfe des ihm bekannten öffentlichen Schlüssels zweifelsfrei feststellen, dass die Lösung vom Besitzer des zugehörigen privaten Schlüssels stammt. Der Server benötigt niemals Kenntnis über den privaten Schlüssel und es müssen auch keine sensiblen Daten über das Netzwerk übertragen werden. Eine geräteübergreifende Authentifizierung wird ebenfalls unterstützt. Zum Beispiel kann ein QR-Code von einem Gerät mit gültigem Passkey gescannt werden, um die Anmeldung abzuschließen, oder Passkeys werden per Cloud über mehrere Geräte hinweg synchronisiert.

Vorteile durch die Anmeldung per Passkey-Verfahren

Eine Anmeldung mit Passkeys anstatt Username/Passwort bietet viele Vorteile. Zu diesen Vorteilen zählen:

• Der User muss sich keine Passwörter mehr ausdenken und merken.

• Die Anmeldung ist nutzerfreundlicher, da kein Passwort eingegeben werden muss und biometrische Merkmale genutzt werden können.

• Die Zwei-Faktor-Authentifizierung über biometrische Merkmale macht die Anmeldung sicherer.

• Für jeden Service, jede Seite oder jede App werden eigene Passkeys verwendet. Sie funktionieren nicht bei anderen Services, Seiten oder Apps.

• Die Passkeys sind immer komplex und einzigartig.

• Das Verfahren schützt vor Angriffsmethoden wie Phishing.

• Es werden bei der Anmeldung keine geheimen Informationen übertragen und es können keine Passwörter abgefangen werden.

• Server, an denen man sich anmelden möchte, müssen keine Passwörter speichern und benötigen keine Kenntnis über private Schlüssel. Wird ein Server kompromittiert, gelangen keine Passwörter oder private Schlüssel in die Hände des Angreifers.

(ID:49671212)