Eine Welt ohne Passworte? Wäre das nicht wunderbar? Einfach auf allen Webseiten sich anmelden und nichts eingeben, weder Benutzernamen noch Kennwort? Und es sieht so aus, als würde das so werden. Dazu arbeiteten verschiedene große IT-Firma zusammen, unter dem Dach des sogenannten FIDO Konsortiums. (Links dazu weiter unten).
Das Problem mit den Kennworten ist groß und wird immer größer: Die Empfehlung von Sicherheitsforschern ist, für jede Webseite ein langes Kennwort und nach Möglichkeit auch gleich den Schutz durch einen zweiten Faktor einzurichten. Um das zu machen, muss man allerdings (fast) zwingend einen Passwort-Manager nutzen, es sei denn, Sie können sich 1000 unterschiedliche, komplizierte Kennworte merken – Glückwunsch. Das mit dem Passwort-Manager ist den meisten Menschen aber schon viel zu kompliziert, und entweder benutzen sie dann nur ein Kennwort für alles – GANZ GEFÄHRLICH oder nur wenige wieder benutzen Kennworte – auch gefährlich.
Wie soll das aber nun genau funktionieren mit der kennwortlosen Zukunft?
Die Idee dahinter ist die, dass mittlerweile fast jeder Mensch ein digitales Endgerät hat, was eine sogenannte biometrische Identifikation ermöglicht, also FaceTime oder Fingerabdrucksensor, Windows Hello oder tatsächlich einen festen Schlüssel wie den YubiKey. Damit ist der Mensch sicher und eindeutig identifiziert, und diese Voraussetzung ist die Basis für einen interessanten Ablauf zur Anmeldung an Webseiten.
Wie geht das genau?
1.) Sie richten sich einen Account auf einer neuen Webseite ein. Wenn die Webseite Passkeys unterstützt (es werden immer mehr) dann schickt Ihnen der Server ein Bündel an Informationen, z.B. auch die genaue URL – das wird bei Phishing wichtig mit sehr ähnlich aussehenden URLs.
2.) Mit diesen Informationen erzeugt Ihr Rechner/iPhone lokal ein Schlüsselpaar, einen zum Zuschließen (den öffentlichen Schlüssel) und einen zum Aufschließen (den privaten Schlüssel). Der öffentliche Schlüssel wird dann an die Webseite geschickt, die den abspeichert, der private Schlüssel verläßt Ihren Rechner NIE.
3.) Wenn Sie sich später auf dieser Webseite anmelden, dann fragt der Rechner/das iPhone, ob sie den gespeicherten Passkey nutzen wollen. Und hier kommt schon mal der Schutz vor Phishing ins Spiel: Dies Abfrage kommt NICHT, wenn die URL nicht exakt so ist wie bei der Anmeldung.
4.) Stimmen Sie zu, werden Sie aufgefordert, sich zu identifizieren: Per Facetime oder Fingerabdruck z.B.
5.) Die Webseite schickt Ihrem Gerät jetzt einen Code, verschlüsselt mit Ihrem öffentlichen Schlüssel.
6.) Ihr Gerät entschlüsselt diese Nachricht, wenn das klappt ist gesichert, dass der Code von der richtigen Webseite kommt.
7.) Ihr Gerät schickt eine Antwort, die es mit einer Signatur markiert, die mit dem privaten Schlüssel erstellt wird. Diese Signatur ist NICHT der private Schlüssel, das ist lediglich eine Art verschlüsseltes Etikett.
8.) Die Webseite prüft mit dem hinterlegten öffentlichen Schlüssel, ob das Etikett passt, wenn ja, sind sie drin – um mal einen bekannten Tennisspieler zu zitieren.
Passkeys können über verschiedene Geräte hinweg synchronisiert werden, am Export und Import wird grad noch gearbeitet. Und der oben geschilderte Ablauf ist aus Gründen der Verständlichkeit stark vereinfacht dargestellt.
Nachtrag
Nachtrag: Man kann alle diese Passkeys und Kennworte im Schlüsselbund auf dem Mac oder dem iPhone speichern, wir würden aber aus Gründen zu einem anderen Kennwortmanager raten. 1Password wäre da unsere Empfehlung, die Unterstützung für Passkeys angekündigt haben. Und das wollen sie am 6.06.2023 bekannt geben, was ja bekanntlich einen Tag nach der WWDC von Apple ist.
Und das ist etwas, was ich mir von Apple auf der WWDC erwarte: Eine noch mehr erweiterte Unterstützung für Passkeys, zum Beispiel auf der Seite für die AppleID. Und wenn sie – also Apple – schon mal dabei sind, dann könnten sie doch vielleicht auch gleich das Problem mit der viel zu einfachen Accountübernahme lösen. Dazu haben wir hier schon was geschrieben, auch, wie sie sich dagegen schützen k önnen.
Von wegen. Wenige Worte sind ein Bild. Das Feld der AI-befeuerten Bildgeneratoren hat einen neuen Teilnehmer bekommen. Adobe hat seine eigene Intelligenz an den Start gebracht.
Die ersten Auswirkungen kann man im unten verlinkten Video sehen.
Bisher warf man Stable Diffusion einige Worte hin, und daraus entstand irgend ein – meist etwas schräges – ein Bild. Korrekturen konnte man in Grenzen nachbauen. Adobe geht jetzt einen anderen, furchterregenden Weg.
Man nehme ein eigenes Bild in Photoshop, erzeuge eine Auswahl und tippe in das Textfeld von HAL-9000 (sorry, Firefly) z.B. wie im Video „50er Jahre Auto“. Und zack – steht ein Auto im Bild, an der ausgewählten Stelle und komplett korrekt beleuchtet und beschattet.
Beeindruckend, so richtig gut oder furchtbar wird es, wenn man Sachen einbauen läßt, die zum Kontext des Bildes passen. Das Video gibt in den letzten Minuten mit dem perfekt integrierten See eine Vorahnung, welche Massen an irrrealen Bildern über und hereinbrechen werden. Jeder Schwurbler kann sich seine wirre Gedankenwelt jetzt mit passenden Bildern auspolstern – ein Abo von Adobe vorausgesetzt.
Warum? Nur so ein Gefühl, genährt von der Vorstellung von Final Cut Pro und Logic für das iPad. Das ist ein großer Schritt, um die iPad-Platform weiter zu etablieren und zu verbreitern, und Apple würde sich normalerweise nicht nehmen lassen, das ausführlich zu besprechen.
Nur 90 Minuten…
Die WorldWideDevelopersConference (WWDC) im Juni dauert 90 Minuten, es gab ganz wenige, die sich 120 Minuten hinzogen. Danach ist die Aufmerksamkeitsspanne für die vielen „magischen, unglaublichen“ neuen Produkte vorbei. Es gibt also ein klares Zeitkontingent, und Apple hat jetzt grad für 10-15 zusätzliche Minuten gesorgt.
Dass Apple jetzt die Vorstellung von Logic und FCP eher so im Nebenbei erledigt, könnte ein Indikator sein, dass die 90 Minuten im Juni gut gefüllt und sehr spannend sein könnten…
In der aktuellen c‘t ist das Schwerpunktthema die „Zwei-Faktor-Autorisierung“. Die gilt aktuell als Königsweg zur Sicherung von Zugängen, aber auch hier lauern Fallstricke.
Zur Auffrischung: „Zwei-Faktor-Autorisierung“ (oder 2FA) erfordert zur Anmeldung neben dem Benutzernamen und dem Kennwort noch einen zusätzlichen, unabhängigen Faktor. Das kann sein eine dann von der Webseite gesendete SMS, eine App, auf der man den Zugang bestätigen muss oder ein Sicherheitsschlüssel.
SMS hat die Schwachstelle, dass jemand mit einer ergaunerten SIM-Karte die SMS abfängt.
Der Artikel der c‘t beschreibt sehr schön, wie man mit gefälschten Webseiten, die sich nur durch ein falsches „i“ unterscheiden, das Opfer dazu bringt, diese falsche Seite zu nutzen
Der Angreifer schreibt dann über einen sogenannten „Reverse Proxy“ so allerlei mit, unter anderem speichert er sich einen „Session Cookie“ ab. Das schicken Webseiten dem Browser und der zeigt das wie eine Eintrittskarte bei jedem neuen Seitenaufruf vor – der User muss sich nicht jedesmal abmelden.
Der Angreifer warten jetzt ab, bis der User nichts mehr tut. Dann kopiert er sich den „Session Cookie“ (die Eintrittskarte) in seinen eigenen Browser, geht zur Webseite, zeigt die Eintrittskarte vor und ist drin – trotz 2FA!
Schutz davor: 1.) niemals auf Links in Mails klicken, immer über gespeicherte Bookmarks oder direkten Aufruf auf die angeblich betroffene Webseite gehen und 2.) nach Benutzung z.B. der Banking-Seite sich abmelden, nicht einfach Fenster schließen oder Browser beenden. Beim Abmelden wird der „Session Cookie“ annuliert (die Eintrittskarte wird entwertet).
Neben den bekannten und erwarteten Dingen, wie neuen Betriebssystemen für Mac, iPhone und Uhr taucht immer öfter ein Gerücht zu neuer Hardware auf, und das ist mal wieder sehr interessant.
Augenscheinlich plant Apple, die Produktpalette etwas weiter aufzuteilen. Das neue MacBook Air mit seinem 13,6“ großen Bildschirm bekommt einen größeren Bruder:
MacBook Air mit 15“ Bildschirm
Angetrieben noch vom aktuellen M2-Prozessor. Und da gilt, was wir schon seit der Einführung des M1 sagen: Leistung ausreichend für das Tagesgeschäft inklusive Bildbearbeitung und Video.
Für Leute, die gern leicht unterwegs sind aber gern einen etwas größeren Bildschirm hätten.
Vielleicht wird aber ja auch mein Wunsch erhört:
MacBook Air mit 12“ Bildschirm
Ich habe immer noch ein MacBook 12“, das ich hege und pflege. Diese kleine Größe mit einem M1 oder meinetwegen auch mit einem M2?
