Passkeys – Don't panic

Für den alleinigen Zweck des sicheren und bequemen Zugangs zum ACOnet-Webportal muß man nicht viel über Passkeys wissen und auch die meisten Kritikpunkte zu Passkeys sind hier irrelevant: Am Authentifizierungsserver login.portal.aco.net gibt es keine relevanten Daten, von denen man sich aussperren könnte: Bei Zugriffsproblemen reicht ein E-Mail an das ACOnet-Team, um den Account dort wieder zurückzusetzen bzw. eine neue Registrierung durchführen zu können – problem solved!

• Auf aktuellen Systemen mit macOS, MS-Windows, Andoid und iOS braucht es keine zusätzliche Hardware oder Investition, um Passkeys zu nutzen.
• Auf allen diesen Systemen sowie auf GNU/Linux mit Firefox oder Chrome/Chromium funktionieren auch FIDO2 Security Keys (z.B. Yubikey 5 oder Yubico Security Key) als authenticator für Passkeys. Diese Security Keys sind völlig unabhängig und daher eine optionale Alternative zu den erstgenannten, im System eingebauten, platform authenticators.)
• Je nach System/Webbrowser wird man ggfs. angeleitet, im Zuge der Registrierung erzeugte Passkeys auf herstellerspezifischer Weise zu speichern – das kann man entweder akzeptieren oder bei der Frage zum Speichern sehr gut aufpassen und eine andere Art der Speicherung wählen: Dazu muß man ggfs. nach angebotenen "Optionen" oder Mögichkeiten zum "Ändern" Ausschau halten: Speichern im Windows Passwort-Manager, im Google Passwortmanager, in der Apple iCloud Keychain, auf einem Security Key, etc.
• Ein Passkey reicht zum Zugang zum ACOnet-Webportal, ist aber ggfs. (siehe oben) an ein Gerät gebunden – vielleicht will man aber von mehreren Geräten aus auf das ACOnet-Webportal zugreifen können? Dann hat man im Prinzip drei Optionen:
  1. Speichert man Passkeys in der Apple iCloud Keychain oder im Google Passwortmanager, können diese Passkeys auch auf anderen Geräten benutzt werden, die man darüber synchronisiert – meist aber eben nur innerhalb der herstellerspezifischen Welt. (Chrome auf macOS und Android also z.B. über Google-Passwortmanager, nicht über iCloud Keychain.) Damit kann man zufrieden sein, muß es aber nicht.
  2. Möchte man einen (oder mehrere) Passkeys auch über die von den Herstellen aktuell gesetzten Grenzen hinweg auf andere Systeme synchroniseren, kann man dazu unabhängige Passwortmanager-Software verwenden: Aktuell gibt es 4 solcher Programme, die auf den 5 meistgenutzten Plattformen (macOS, MS-Windows, GNU/Linux, Android, iOS) laufen und damit recht universell einsetzbar sind. Diese unterscheiden sich bezüglich Funktionsumfang und Kosten, mehr dazu  etwa in diesem Video.
  3. Hat man sich einmal über den Link aus dem Einladungs-E-Mail am Authentifizierungsserver registriert und einen Passkey irgendwo gespeichert, kann man jederzeit auf https://login.portal.aco.net (dort "Account" wählen, nicht "Admin", wird man danach gefragt) weitere Passkeys mit anderen Systemen/Geräten registrieren bzw. die weiteren Passkeys dann auf andere Weise speichern: Mit dieser Methode stellt sich die Frage der Synchronisierung und des vendor lock-in der cloud-basierten Synchronisation erst garnicht! Ein Beispiel:
     Auf einem Notebook mit MS-Windows könnte man einen Passkey in "Windows Hello" speichern und mit einem PIN sichern. Am selben Notebook könnte man dann einen weiteren Passkey registrieren und diesen dann in einem (z.B. Yubico) Security Key speichern. Der erste Passkey ist an dieses konkrete Notebook gebunden, der zweite funktioniert aber auf jedem anderen Gerät, wo der Security Key benutzt werden kann (etwa über USB oder NFC, in Firefox oder Chrome/Chromium).
• Das persönliche worst case scenario ist in dem hier relevanten Fall von denkbar beschränkter Auswirkung: Hat man sich irgendwie selbst komplett ausgesperrt oder alle registrierten Passkeys "verloren", kann mit Hilfe des ACOnet-Teams unkompliziert wieder der Zugang hergestellt werden. Der Authentifizierungsserver login.portal.aco.net wird eben nur zur sicheren Authentifizierung verwendet und der Accounts dort kann jederzeit vom ACOnet-Team zurückgesetzt werden. Mit einem neuen Einladungs-E-Mail kann dann erneut die Registrierung eines (oder mehrerer) Passkey(s) durchgeführt werden.