Authentifizierung mittels Passkey-Verfahren ist nicht neu, dass dies mit einem Ledger Nano funktioniert für mich allerdings schon. Wer mehr über das Verfahren wissen möchte, dem sei Punkt 2 dieses Kommentars von @moecki empfohlen.
Legen wir los...
1.) Ledger Security Key App mittels Ledger Live installieren
Als Erstes in Ledger Live unter "My Ledger" die Security Key App installieren. Das ist im Grunde schon der ganze Zauber.
Ein paar Links:
- Quellcode der App: Github
- Liste von Websites die Passkeys unterstützen: passkeys.directory
- Artikel mit Infos zur Sicherheit: ledger.com
2.) Test
Um den Ledger gleich auszuprobieren, rufen wir diese Demoseite https://webauthn.me auf.
Wichtig: Ledger Live muss jetzt geschlossen sein!
Nach Klick auf "Register" wird ein Hinweisfenster eingeblendet...
...und am Ledger geht es weiter. Falls nicht geöffnet, jetzt die Security Key App aufrufen.
Am Ledger kommen jetzt der Reihe nach die Infos zum Login, wird "Register" angezeigt, kann das wie üblich durch drücken beider Tasten bestätigt werden.
Was passiert, wenn der Ledger verloren geht?
Dies ist eine Frage die mir im Kopf umgeht: Was passiert, wenn der Ledger kaputt geht oder aus irgendeinem anderen Grund nicht mehr verfügbar ist?
Auf der oben bereits verlinkten Seite steht:
Just like a Bitcoin or Ethereum address, the credentials you create with the Security Key app are derived from your seed without revealing anything about it.
If you set up a Ledger device using the same 24 words, you can log in using the Security Key app to the same websites using the same credentials. This aligns with the FIDO 2 specification and uses standard cryptography, such as digital signatures. Keep in mind that this doesn't apply to resident keys.
Ah ja, wenn ein Ledger mit denselben 24 Wörtern eingerichtet wird, sollte man sich bei den Websites wieder anmelden können.
Für residente Schlüssel gilt das allerdings nicht. Ups, Hilfe - was ist das denn? Alles gut, die Funktion ist standardmäßig deaktiviert, somit werden keine residenten Schlüssel gespeichert und wo nichts gespeichert wird, kann auch nichts verloren gehen.
Zum Test habe ich die Security Key App vom Ledger de- und danach wieder neu installiert. Das hat geklappt und ich konnte mich auf den vorher angemeldeten Seiten ohne Probleme einloggen. Also gehe ich davon aus, dass dies so funktioniert wie es Ledger beschreibt. D.h. falls der Ledger seinen Geist aufgeben sollte, kann man sich ein neues Gerät holen und so wieder Zugriff erhalten.
Dicker Pluspunkt für Ledger, denn so mache anderen Geräte können das wohl nicht.
Erfahrungswerte gesucht!
Trotzdem werde ich den Ledger vorerst nicht für wichtige Seiten verwenden. Ich suche noch nach Erfahrungswerten, ob das mit der Wiederherstellung tatsächlich so funktioniert, wie Ledger das schreibt. Vielleicht kann jemand dazu mehr sagen?
