heise+ | Warum Passkeys keine Falle sind: Passkey-Attestation kurz erklärt

Was geschehen ist – die Kernmeldung

Im Zentrum der aktuellen Debatte steht ein Blogbeitrag mit dem provokanten Titel „Passkeys are a trap. Do not use them.“, der Mitte Oktober auf dem bekannten Technik-Diskussionsforum Hacker News für erhebliches Aufsehen sorgte. Der Autor des Beitrags behauptete, dass die sogenannte Attestation bei Passkeys ein Sicherheitsrisiko darstelle und Nutzer in eine Falle locke. Diese Warnung verbreitete sich innerhalb kürzester Zeit viral und löste eine lebhafte Diskussion aus, die innerhalb weniger Stunden mehr als 500 Kommentare nach sich zog. Die Kernaussage des Blogposts suggerierte, dass die Technologie hinter den Passkeys, speziell der Aspekt der Attestation, Nutzer gefährden könnte. Doch Sicherheitsexperten, die sich intensiv mit der Materie auseinandergesetzt haben, widersprechen dieser Darstellung entschieden. Sie kommen zu dem Schluss, dass die im Internet kursierenden Warnungen auf falschen Annahmen basieren und die Funktionsweise der Technologie grundlegend missverstehen. Die Debatte verdeutlicht, wie schnell sich technische Halbwahrheiten verbreiten können, wenn komplexe Sicherheitsmechanismen für ein breites Publikum nicht ausreichend transparent oder verständlich erklärt werden.

Die Einzelheiten der Debatte

Der Blogpost, der die Welle der Kritik auslöste, stieß auf breite Ablehnung durch anerkannte Experten auf dem Gebiet der IT-Sicherheit und Authentifizierung. Zu den Fachleuten, die den Beitrag analysierten und als inhaltlich falsch einstuften, gehören bekannte Namen wie Ricky Mondello und Scott Helme. Diese Experten wiesen darauf hin, dass die im Blogpost aufgestellten Thesen zur Attestation technisch nicht haltbar sind. Die FIDO-Alliance, ein zentraler Akteur in der Entwicklung und Verbreitung von Passkeys, betont unterdessen die Vorteile der Technologie. Andrew Shikiar, der CEO der FIDO-Alliance, bekräftigte in einem Interview mit dem c’t-Magazin die Vision des Verbands: Das Ziel sei es, Passwörter als Login-Methode im Internet vollständig zu ersetzen. Die Allianz, der namhafte Technologieunternehmen wie Apple, Google und Microsoft angehören, sowie staatliche Institutionen wie das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI), treibt die Verbreitung von Passkeys seit der offiziellen Vorstellung durch Apple auf der WWDC 2022 massiv voran. Die Resonanz ist laut einer von der FIDO-Alliance in Auftrag gegebenen Studie, die 11.000 Nutzer aus zehn Ländern befragte, beachtlich: 90 Prozent der Befragten kennen Passkeys, 75 Prozent nutzen sie bereits für einige Konten, und 49 Prozent setzen sie regelmäßig ein.

Hintergrund der Technologieentwicklung

Der Weg hin zu passwortlosen Logins ist das Ergebnis einer langjährigen Bemühung der IT-Industrie, die Sicherheit im Netz grundlegend zu verbessern. Passwörter gelten seit Langem als das schwächste Glied in der Sicherheitskette, da sie anfällig für Phishing, schwache Wahl durch Nutzer oder Datendiebstahl bei Server-Hacks sind. Die FIDO-Alliance hat es sich zur Aufgabe gemacht, diesen Standard abzulösen. Mit der Einführung von Passkeys wurde ein System geschaffen, das auf kryptografischen Verfahren basiert. Dabei wird ein privater Schlüssel auf dem Gerät des Nutzers gespeichert, während der öffentliche Schlüssel beim Dienstleister hinterlegt ist. Die Attestation, der Punkt, an dem sich die Kritik entzündete, ist ein technischer Prozess, bei dem das Gerät gegenüber dem Dienstleister nachweist, dass es sich um ein echtes, sicheres Authentifizierungsgerät handelt. Dieser Prozess wurde konzipiert, um sicherzustellen, dass die Sicherheitsstandards eingehalten werden. Die aktuelle Aufregung um die vermeintliche „Falle“ ist somit ein Missverständnis eines Prozesses, der eigentlich dazu dient, die Sicherheit der gesamten Authentifizierungskette zu erhöhen und nicht zu untergraben.

Die Beteiligten und ihre Rollen

In dieser Debatte stehen sich verschiedene Akteure gegenüber. Auf der einen Seite stehen die Kritiker, die durch den viralen Blogpost ihre Bedenken äußerten und damit eine große Forengemeinschaft auf Hacker News erreichten. Auf der anderen Seite stehen die Experten wie Ricky Mondello und Scott Helme, die als Korrektiv fungieren und die technischen Behauptungen fachlich einordnen. Die FIDO-Alliance agiert als treibende Kraft und Interessenvertretung für die breite Einführung von Passkeys. Zu den Mitgliedern der Allianz zählen die großen Tech-Giganten Apple, Google und Microsoft, deren Produkte die Basis für die tägliche Nutzung von Passkeys bilden. Zudem sind Hersteller von Passwortmanagern involviert, die ihre Software an die neuen Standards anpassen. Auf staatlicher Seite spielt das BSI eine wichtige Rolle, da es als Institution die Sicherheit der digitalen Infrastruktur bewertet und die Entwicklung hin zu sichereren Authentifizierungsmethoden unterstützt. Die Nutzer selbst sind die Adressaten dieser Technologie, deren Sicherheit und Komfort durch diese Entwicklungen direkt beeinflusst werden sollen.

Einordnung der Sicherheitsaspekte

Einzuordnen ist die Debatte als ein klassisches Beispiel für die Diskrepanz zwischen technischem Detailwissen und der öffentlichen Wahrnehmung. Den Berichten zufolge ist die Kritik an der Attestation unbegründet, da sie die Sicherheitsmechanismen von Passkeys missversteht. Die Technologie bietet bei korrekter Implementierung durch den Webdienst ein deutlich höheres Sicherheitsniveau als herkömmliche Passwörter. Ein wesentlicher Punkt ist hierbei die Unterscheidung zwischen dem, was technisch möglich ist, und dem, was in der Praxis implementiert wird. Sicherheitsexperten betonen, dass Passkeys nicht nur komfortabler sind, sondern auch das Risiko von Phishing-Angriffen drastisch reduzieren. Die Behauptung, die Attestation sei eine Falle, ignoriert den Nutzen dieser Funktion für die Integrität der Authentifizierung. Den Berichten zufolge ist die Technologie robust und darauf ausgelegt, die Privatsphäre zu wahren, während sie gleichzeitig die Identität des Nutzers gegenüber dem Dienstleister verifiziert. Die Aufregung spiegelt eher die Skepsis gegenüber neuen, komplexen Systemen wider, als eine reale Gefahr für die Anwender darzustellen.

Offene Fragen und technische Lücken

Obwohl die Experten die Kritik am Blogpost als unbegründet zurückweisen, bleiben in der öffentlichen Wahrnehmung Fragen bestehen, die der Quelltext nicht im Detail adressiert. So wird zwar deutlich, dass die Attestation sicher ist, doch wie genau verschiedene Webdienste diese Funktion implementieren, bleibt oft intransparent. Es stellt sich die Frage, inwieweit Nutzer nachvollziehen können, welche Daten bei der Attestation tatsächlich übertragen werden und wie diese Informationen von den Betreibern der Webdienste genutzt werden. Der Quelltext beleuchtet zwar die Rolle der FIDO-Alliance und die allgemeine Funktionsweise, lässt aber offen, wie die Akzeptanz bei kleineren Webdiensten gesteigert werden kann, die nicht über die Ressourcen der großen Tech-Konzerne verfügen. Auch die Frage, wie sich die Sicherheit bei einer langfristigen Ablösung von Passwörtern verändert und welche neuen Angriffsvektoren möglicherweise entstehen könnten, wird in der aktuellen Diskussion nur am Rande gestreift. Die Lücke zwischen der theoretischen Sicherheit des FIDO-Standards und der praktischen Umsetzung in der Breite ist ein Punkt, der weiterhin Aufmerksamkeit erfordert.

Wie es weitergeht

Die FIDO-Alliance verfolgt weiterhin konsequent ihr Ziel, Passwörter als Standard-Login-Methode im Internet abzulösen. Angesichts der hohen Akzeptanzraten, die in der Umfrage unter 11.000 Nutzern ermittelt wurden, scheint die Entwicklung in Richtung passwortloser Logins unaufhaltsam. Es ist davon auszugehen, dass weitere Webdienste die Implementierung von Passkeys vorantreiben werden, um den Sicherheitsanforderungen der Nutzer gerecht zu werden. Die Diskussion um die Attestation hat zwar kurzzeitig für Verunsicherung gesorgt, dürfte aber langfristig eher zu einer besseren Aufklärung über die Funktionsweise der Technologie führen. Die Experten und die FIDO-Alliance werden weiterhin daran arbeiten, Transparenz zu schaffen und die Vorteile der Technologie zu kommunizieren. Es bleibt abzuwarten, welche weiteren Schritte die Allianz unternimmt, um die Implementierung für Webseitenbetreiber noch einfacher zu gestalten. Die technologische Entwicklung ist in vollem Gange, und die kommenden Monate werden zeigen, wie schnell sich Passkeys als neuer Standard etablieren und ob die Kritikpunkte durch eine bessere Dokumentation und Aufklärung vollständig entkräftet werden können.