Passwortvorschläge von Apple...

[jteschner]

Ich hab nun auch Passkey-Login bei Amazon, ebay und Paypal eingerichtet - kein Problem.
Parallel habe ich (aus Unwissenheit) aber auch noch 2FA über die OTP-Funktion von Apple aktiv. Im Prinzip kein wirkliches Problem, aber wohl dann doppelt gemoppelt. Werde ich also wieder abschalten ...
Frage an die Wissenden: da ich hin und wieder Chrome verwende, nervt es mich ein wenig, dass Chrome die iCloud-Passworte nicht verwendet. Nun gibt es ja seit ein paar Monaten eine Chrome-Extension für den iCloud-Passwort-Zugriff. Ist es eigentlich "ratsam" bzw. "ungefährlich" diese Extension zu verwenden? Irgendwie habe ich bei Chrome immer ein wenig "Bauchschmerzen" was die Sicherheit betrifft ...

 

[lisanet]

Mit Passkeys Nutzung kann man sich 2FA also eigentlich sparen?

yep.

Ich wüsste nicht, was das an Mehr bringen könnte.

 

[BEASTIEPENDENT]

Die musst du schon selbst einrichtgen. Passkeys wird dir angeboten

Danke @lisanet. Passkeys hatte ich mitbekommen. Mir war/ist aber nicht klar, dass das mehr oder weniger das gleiche ist wie Authenticator. Ich werde heut Abend mal nachlesen!

 

[lisanet]

Nun gibt es ja seit ein paar Monaten eine Chrome-Extension für den iCloud-Passwort-Zugriff. Ist es eigentlich "ratsam" bzw. "ungefährlich" diese Extension zu verwenden? Irgendwie habe ich bei Chrome immer ein wenig "Bauchschmerzen" was die Sicherheit betrifft ...

wie bei allem was diese Art von Sicherheit betrifft, musst du Vertrauen zu den Entwicklern / Firmen aufbringen. Nur du kannst entscheiden, wem du mehr vertraust.

Wenn der Entwickler der extension das aus dem Schlüsselbund erhaltene Passwort nach Gebrauch weiter im Speicher hält (ja, sowas passiert) oder es auf ungeschützte Wesie übergibt (ja sowas passiert), dann ist das eher suboptimal. Beantworten kann das dir nur jemand, der den Code analysieren kann.

Wenn du aber Bedenken bei Chrome hast, nutze ihn nicht.

 

[jteschner]

yep.

Ich wüsste nicht, was das an Mehr bringen könnte.

Was ich nicht verstehe (ich habe gerade mal mit Amazon Logins rumgespielt):
Ich habe bei Amazon nun
1. einen Login mit email/PW
2. einen Passkey
3. 2FA mit Apple-OTP

Ich kann mich nun einloggen mit
- email/pw + OTP
- email, Passkey + OTP

Wenn ich nun 2FA ausschalte, dann geht
-email/PW
-email, Passkey

Heißt: ich hätte dann kein 2FA mehr für email/PW - stehe ich nun auf dem Schlauch??

 

[Kyoto]

yep.

Ich wüsste nicht, was das an Mehr bringen könnte.

Sorry wenn ich mich gerade dumm anstelle aber ich verstehe es gerade noch nicht. ich habe jetzt bei (Beispiel) Amazon einen Passkey eingerichtet. in meinem Sicherheitseinstellungen. Bei Amazon, sehe ich jetzt, dass ein Passkey eingerichtet ist aber parallel auch ein Passwort. Ich kann die Anmeldung per Passwort nicht löschen. Wenn ich jetzt 2FA ausschalte, verliere ich doch sogar eine Sicherheitsstufe da mein Passwort ja weiterhin funktioniert aber kein Code mehr abgefragt wird, wenn ich mich damit anstatt dem Passkey anmelde.

Irgendwie verstehe ich die Logik gerade noch nicht.

 

[Kyoto]

@jteschner zur selben Zeit denselben Gedanken.

 

[jteschner]

@jteschner zur selben Zeit denselben Gedanken.

Nicht nur ein Gedanke. Ich habe es soeben ausprobiert. 2FA deaktiviert und dann geht email-Adresse + PW, obwohl Passkey aktiviert ist.

 

[lisanet]

Danke @lisanet. Passkeys hatte ich mitbekommen. Mir war/ist aber nicht klar, dass das mehr oder weniger das gleiche ist wie Authenticator. Ich werde heut Abend mal nachlesen!

Nein Passkeys hat nichts, gar nichts mit 2FA oder eine Authenticator-Funktion zu tun. Null.

Systemeinstellungen - Passwörter - Account wählen und auf das i-Symbol klicken. So richtest du die Auth-Funktion für 2FA ein



Das ist ein Account mit 2FA und der integrierten Auth-Funktion



Das ist ein Account mit Passkeys



Ist das echt so schwer, das auseinander zu halten und einzurichten?

 

[lisanet]

Nicht nur ein Gedanke. Ich habe es soeben ausprobiert. 2FA deaktiviert und dann geht email-Adresse + PW, obwohl Passkey aktiviert ist.

... wenn die website das nicht anders anbietet ist es eben so. Da kann kein client was dran ändern.

 

[Kyoto]

Ok danke. Dann bleibe ich natürlich bei PW + 2FA

 

[BEASTIEPENDENT]

Nein Passkeys hat nichts, gar nichts mit 2FA oder eine Authenticator-Funktion zu tun. Null.

Dachte ich eigentlich auch.

Das ist ein Account mit 2FA und der integrierten Auth-Funktion

Das hatte ich tatsächlich nicht mitbekommen.

Ist das echt so schwer, das auseinander zu halten und einzurichten?

Eigentlich nicht. Ich hatte aber Dich weiter oben so verstanden, als ob es quasi das gleiche sei. Aber dann war mein ursprüngliches Verständnis offenbar doch richtig – und ich hatte bloß tatsächlich nicht mitbekommen, dass es eine integrierte Auth-Funktion bei Apple selber gibt. Cool!

 

[lisanet]

interessant ist, dass Google zu Passkeys schreibt, dass dann die 2FA deaktiviert wird, weil man sich ja mit Passkeys bereits identifiziert hat.

Wenn für Ihr Konto die 2-Faktor-Authentifizierung aktiviert ist oder Sie am erweiterten Sicherheitsprogramm teilnehmen, können Sie mit einem Passkey den zweiten Authentifizierungsschritt überspringen, weil damit bestätigt wird, dass Ihnen das Gerät gehört.

Amazon macht dies offensichtlich nicht.

 

[Kyoto]

interessant ist, dass Google zu Passkeys schreibt, dass dann die 2FA deaktiviert wird, weil man sich ja mit Passkeys bereits identifiziert hat.

Also auch hier geht es bei mir nicht.. ich habe jetzt auch bei Google Mal einen Passkey erstellt. Jetzt habe ich auch hier beim anmelden die Möglichkeit Passkey oder Passwort. Beim Passwort kommt weiterhin die 2FA-Abfrage. Wenn ich diese jetzt deaktiviere, besteht das gleiche Problem wie bei Amazon. Bei Anmeldung mit Passwort fällt die 2FA Sicherheit weg.

 

[jteschner]

Ja, ich denke auch, dass da die Implementierer noch etwas Arbeit haben.
So ist das jedenfalls inkonsistent und unverständlich - oder ich mache etwas falsch.
zZt wird es wohl das beste sein, zunächst OTP eingeschaltet zu lassen oder jeweils genau zu prüfen wie sich eine website bei Passkey verhält..

 

[lisanet]

Also auch hier geht es bei mir nicht.. ich habe jetzt auch bei Google Mal einen Passkey erstellt. Jetzt habe ich auch hier beim anmelden die Möglichkeit Passkey oder Passwort. Beim Passwort kommt weiterhin die 2FA-Abfrage. Wenn ich diese jetzt deaktiviere, besteht das gleiche Problem wie bei Amazon. Bei Anmeldung mit Passwort fällt die 2FA Sicherheit weg.

hmmm, seltsam.

Ich kriege auf dem MBA bei einloggen in Google gleich Passkeys angeboten. Kein 2FA mehr. Und auch beim einloggen auf dem Mac Studio kommt sofort Passkeys.

Edit:

ich habe mich testweise auf einem Windowsrechner mal bei Google eingeloggt mit Passwort. Auf dem Rechner ist kein Passkeys. Ergebnis: ich werde nach einer Bestätigung übers iPhone (Youtube) gefragt um dort den auf dem Rechner angezeigten Code auszuwählen und zu bestätigen, dass ich es bin.

Passt also, oder nicht? Einloggen mit PW ohne 2FA geht dann nur auf dem Rechner, auf dem Passkeys ist.

Edit:

ok. Die Sache ist echt strange und passt nicht zusammen. Definitiv nicht.

In einer Debian-VM kann ich mich bei Google mit PW ohne 2FA anmelden und ohne Bestätigung wie bei der Windows-VM.

 

[jteschner]

hmmm, seltsam.

Ich kriege auf dem MBA bei einloggen in Google gleich Passkeys angeboten. Kein 2FA mehr. Und auch beim einloggen auf dem Mac Studio kommt sofort Passkeys.

Edit:

ich habe mich testweise auf einem Windowsrechner mal bei Google eingeloggt mit Passwort. Auf dem Rechner ist kein Passkeys. Ergebnis: ich werde nach einer Bestätigung übers iPhone (Youtube) gefragt um dort den auf dem Rechner angezeigten Code auszuwählen und zu bestätigen, dass ich es bin.

Passt also, oder nicht? Einloggen mit PW ohne 2FA geht dann nur auf dem Rechner, auf dem Passkeys ist.

Bei Google geht es bei mir auch: 2FA deaktivert und Passkey erstellt. Dann geht login nur noch über Passkey.
2FA an, dann muss erst Passkey genommen werden und OTP kommt on top.
Also: 2FA aus, da Passkey reicht.

Korrektur: man kann "andere Option" wählen. Dann wird das PW abgefragt. Ohne 2FA geht das so durch.

 

[lisanet]

Also: 2FA aus, da Passkey reicht.

irgendwie nicht. Ich habe oben nochmals editiert. In einer Debian-VM kann ich mich mit PW ohne 2FA, ohne Bestätigung anmelden. Lediglich das iPhone gibt _nach_ der Anmeldung eine Mitteilung, ob ich das war....

Das passt einfach nicht zusammen.

 

[OmarDLittle]

Ich hab nun auch Passkey-Login bei Amazon, ebay und Paypal eingerichtet - kein Problem.

Bei Paypal lässt es mich nicht. Paypal wirft eine Fehlermeldung, dass ausschließlich Safari unterstützt sei, den ich eigentlich nicht verwende, aber selbst mit dem Safari konnte ich den gesteckten Yubikey nicht registrieren, gleiche Fehlermeldung. Bei allen anderen unterstützten Webseiten/Services hab ich den Yubikey natürlich längst registriert.

 

[jteschner]

irgendwie nicht. Ich habe oben nochmals editiert. In einer Debian-VM kann ich mich mit PW ohne 2FA, ohne Bestätigung anmelden. Lediglich das iPhone gibt _nach_ der Anmeldung eine Mitteilung, ob ich das war....

Das passt einfach nicht zusammen.

Ich habe auch nochmal editiert ... es muss bei Google auch 2FA an sein.