@Karl Voit @Kuketz-Blog 🛡 @padeluun ⁂

Danke. Den Typo hab ich ausgebessert.

Ich hab leider von Android zu wenig Ahnung. Aber bei USB fragt er mich jedesmal nach dem Pin... bei NFC nie.

Ok - also keine Verfälschung durch irgendwie gecachede Pin-Eingabe.

Jetzt könnte es natürlich noch immer ein gewünschtes Design-Feature sein - sollte aber gut dokumentiert sein und auf Wunsch umschaltbar.
(USB Security Token bleiben öfters doch am Gerät stecken - also PIN Abfrage notwendig da sonst ein Fremder direkt am Gerät evlt. mit offenem Passwordmanager zugreift. NFC klebt man eher nicht ans Smartphone oder anderen NFC Reader somit minimal geringeres Risiko das ein Fremder nutzt)

@GNTHR
Ich hab keine Ahnung... Im Firefox am Laptop geht ein Popup auf, wo der Pin abgefragt wird.
Wenn ich auswähle "Passkey" dann blinkt der Token einmal kurz auf.
Dann geb ich in dem Popup den Pin ein, bestätige mit Enter und der Token beginnt zu blinken.
Berühr ich ihn dann, werde ich im Browser weitergeleitet.

Wenn ich USB am Smartphone auswähle, ist es so ähnlich, nur dass sich da eine Google-App dazwischen schaltet, welche zuerst einen Passkey am Gerät sucht, nicht findet, dann anbietet ein anderes Gerät auzuwählen. Dann blinkt der Token einmal kurz (USB) und ich werde gefragt ob ich per NFC oder USB will.
Wähle ich USB, blinkt der Token kurz auf, dann geht ein Fenster auf, wo ich den Pin eingebe. Dann werde ich aufgefordert, den Token zu berühren und weiter gehts.

Wähle ich NFC sagt die Google-App nur "Bitte den Token an die Rückseite halten"... halte ich ihn hin, wird er gelesen und schon bin ich drin.

Denke nicht, dass der Pin gehashed und dann weitergegeben wird.

While Android support is declared, please note that there are some limitations around it. First of all, FIDO2.1's passkey support (namely PIN-protected resident keys) has been introduced as a part of Google Play Services v23 and only via USB transport method.

Android supports PIN-protected FIDO credentials only if Google Play Services is present.
Android does not support PIN-protected FIDO credentials over NFC.

token2.com/site/page/understan…

@GNTHR
Ok... also tatsächlich eine Lücke per Design... puh.

Danke für den Link.

@GNTHR
Und wenn es möglich ist, dass man für NFC keinen Pin braucht, kann man mit einer manipulierten App das auch für USB anstellen.

Also "passwordless authentication" mit FIDO-Token ist defacto für die Fische. Das ist maximal als 2nd oder 3rd Factor gut. Dafür scheint es aber sehr gut.

sei vorsichtig was du schreibst und was du meinst:
authentication im ursprünglichen IT Sinn bedeutet ja nur anhand eines oder mehrerer Merkmale ein Bit zu stellen (Berechtigung ja/nein)
passwordless bedeutet ohne Passwort

Zusammengenommen wird aus deiner passwordless authentication somit dass der Vorweis eines passenden FIDO Tokens als Zugriffs Berechtigung ausreicht.

@GNTHR
Ich schrieb, dass "Passwordless Authentication mit Fido-Token für die Fische ist"...

und so mein ich das auch. Wenn ich mein Haus mit einem supersicheren Schließsystem verriegle, und den Schlüssel neben die Haustür auf die Straße hänge... funktioniert das Schließsystem zwar, wie es soll... es lässt jeden rein, der den Schlüssel hat... und wenn der vor der Haustür hängt... kann halt jeder rein.

Und so ist es mit dem Fido-Token mit NFC... jeder der den Schlüssel hat, kann rein. Also jeder Dieb auch. Klar, muss so ein Mensch einmal an den Fido-Token kommen. Aber gestohlen ist schon viel geworden.

Ich verstehe das Ansinnen in Keycloak und von Fido, dass man "passwortlose Authentifizierung" anbietet. Wenn ich heute ein Smartphone oder ein Tablet oder einen Laptop habe, so kann ich dieses Gerät ebenfalls für diese Authentifizierung einsetzen. Auch ein Passkey in einem Passwortmanager. Alles gut. Da muss ich mein Gerät entsperren, anschließend besuche ich ein Service, welches mit Keycloak die Authentifizierung macht... und ich bin "passwortlos" drin. Aber ich hab zuvor mein Smartphone/Tablet aber irgendwie mehr oder weniger sicher entsperrt.

Ein Fidotoken per NFC ist nicht "vorher zu entsperren", sondern der sperrt gleich direkt. Wie der Haustürschlüssel vor dem Haus aufgehängt.

Und das sehe ich als Designfehler. Und zwar genau den Fall NFC in diesem Kontext.
Für mich sieht es so aus, als wäre es vorerst einmal zu kompliziert gewesen, eine PIN-Abfrage per NFC zu implementieren... also hat man es einmal weggelassen... dann kommt sowas dabei raus.

Wenn ich mir die Implementierung von PAM in Linux ansehe, dann gebe ich vor, mit welchem Passkey ist die Pin-Abfrage haben will. Mangels NFC-Reader kann ich das nicht testen, ob das auch bei NFC ziehen würde... Aber so stelle ich mir eine saubere Authentifizierungs-implementierung vor.

Ich lege mir einen User-Account an, füge einen Fido-Token für die Authentifizierung hinzu und lege fest, ob ich für diesen Token nun die PIN-Abfrage will oder nicht. Und der Client MUSS dann den Pin abfragen (oder eben nicht). Egal wie der Token präsentiert wird.

Aber so wie es hier mit NFC realisiert wurde, ist es für die Fische.

Yepp!
Das Schöne ist:
Man muss es ja nicht verwenden.
(Oder kann es absichern indem man den FIDO-Token in den Safe legt😜 und hofft das dieser ein sicheres Sperrsystem hat)

Du hast vollkommen Recht:
FIDO Token ist kein Äquivalent zu einem Passkey auf einem abgesicherten Smartphone.

Sind Passkeys auf einem Smartphone ohne Sperrfunktion einrichtbar?

@GNTHR

Das weiß ich nicht.

Die Idee der Passkeys ist... ich bin mir ja noch nicht sicher.

Im Prinzip ist es eine Public-Private-Key Authentifikation, wo der Privatekey über die verschiedenen Geräte hinweg gesynct wird.
Damit verletzt man eigentlich die Regel, dass der Privatekey das Gerät nie verlässt.

Und wenn man dann noch einen Keystore mit einem Google- oder Microsoft-Konto nutzt, um die Keys über die Geräte hinweg zu verteilen... kann ich gleich das Passwort 123456 nehmen...
Ich trau diesen Unternehmen keine Millimeter über den Weg. US-Cloud-Act und so...

Also selfhosted... da bietet sich Vaultwarden/Bitwarden an. Ja sogar pass kann das mittlerweile, wenn ich mich nicht täusche.

Aber ich bin bei Fido dennoch der Meinung, dass Identity-Services wie Keycloak vorgeben können müssen, ob der Fidotoken einen Pin verlangen muss. Sonst ists für die Würscht.

authentrend.com/de/atkey-card-…
youtube.com/watch?v=0YRswg96_C…

Da liegt der Finger in Position beim NFC-Scan.

cpl.thalesgroup.com/de/access-…

Yubi hat bei den biometrischen Keys kein NFC.

SafeNet IDPrime FIDO Biometric Smart Card

SafeNet IDPrime FIDO Biometric Smart Card ist eine hochsichere und benutzerfreundliche Authentifizierungslösung, die vor dem Diebstahl von Zugangsdaten, Phishing-Angriffen und menschlichen Fehlern schützt.

^{Thales Group (Thales Cloud Security Products)}