Passkeys & 2FA/MFA_sec4dev_Dialogues2025

© condignum GmbH 2025 – all rights reserved
Passkeys
(in 2025)
Matthias Neumayr

Passwörter
&
2FA/MFA

Passwörter
Probleme mit Passwörtern …
• Unsichere Passwörter
• Wiederverwendung
• Muster
• Dumps/Collections
• Phishing
• Wie merken?

2nd/Multi-Faktor
“Let’s add another thing or two”
• Zweiter/zusätzliche Faktor(en)
• Passwort nicht mehr Single Point of Failure
• Resultat: Security vs. Usability (& Kosten)
• Echtzeit-Phishing i.d.R. weiterhin Thema

FIDO(2)

FIDO ("Fast IDentity Online")
• 2012 U2F (Google, Yubikey) / 2013 FIDO Alliance
• 2014: Release of FIDO Universal 2nd Factor (U2F) and FIDO
Universal Authentication Framework (UAF)
• 2015: Release of FIDO 2.0
• 2019: FIDO2 added support for discoverable credentials
and user verification

FIDO2
FIDO2
=
WebAuthn
+
CTAP

W3C Web Authentication (WebAuthn)
• “An API for accessing Public Key Credentials”
• W3C Standard für JavaScript API in Clients (Browser)
navigator.credentials.create()
navigator.credentials.get()
• WebAuthn Level 2 – W3C Recommendation (2021)
• WebAuthn Level 3 – W3C Working Draft (2025)

Client-to-Authenticator Protocols (CTAP)
• CTAP1 (aka FIDO U2F)
• Authenticators: FIDO U2F devices / security keys
• USB, NFC, BLE
• 2FA
• CTAP2
• Authenticators: FIDO2 (== WebAuthn) Authenticators
• USB, NFC, BLE
• 2FA / MFA / Passwordless (/ Usernameless)
• v2.1 (2021) Cred. Management, PIN Length, Retry/Lockout, etc.
• v2.2 (2025) PIN Complexity, largeBlob, Attestation Präferenz, etc.

FIDO2 Overview
User Authenticator Client Relying Party
(RP)
REST/…
CTAP
WebAuthn
JS

FIDO2 Credential Typen
Discoverable Non-Discoverable
FIDO2 v2.0 Bezeichnung “resident keys” “non-resident keys”
Speicherort Authenticator Relying Party
Speicherlimit
Hardware: limitiert
Software: unlimitiert
unlimitiert
Anzeige/Suche nach Origin

Passkeys

Passkeys
FIDO2 discoverable (syncable) credentials

FIDO2 Credentials
Discoverable Non-Discoverable
FIDO2 v2.0 Bezeichnung “resident keys” “non-resident keys”
Speicherort Authenticator Relying Party
Speicherlimit
Hardware: limitiert
Software: unlimitiert
unlimitiert
Anzeige/Suche nach Origin

Enrollment
(RP)
Click “Passkey registrieren”
/passkey/register (username)
PublicKeyCredentialCreationOptions
{
“rp”: …,
“user”: …,
“challenge”: …,
“pubKeyCredParams”: …,
“authenticatorSelection”: …,
…,
}
credentials.create(options)
User verification (uv)
( id, signature, pub_key,
“metadata”, …)
{
“id”,
“username”,
“rp”, #(origin)
“keypair”
}
Verify &
Save

Login
(RP)
Click “Login mit Passkey”
/passkey/login
PublicKeyCredentialRequestOptions
{
“rpId”: …,
“challenge”: …,
“userVerification”: …,
…,
}
credentials.get(options)
User Verification (uv)
( & Credential Selection )
(id, signature, “metadata”,
…)
Verify &
Login

Authenticator Typen
Roaming
(Hardware)
Platform Software

Authenticator x Passkey Types
Authenticators
Passkeys
Platform(/Software)
Authenticator
Cross-Platform/Roaming
Authenticator
Single-Device / Device-Bound
Passkeys
Multi-Device / Syncable
Passkeys
--

Passwörter vs. Passkey
Passwörter Passkey
Unsichere Passwörter (Public Key + Challenge
Response)
Wiederverwendung
(einzigartige Credentials)
Dumps/Hacks von RP (Credentials nur in
Authenticator)
Phishing (Credentials an Origin
gebunden)
Netzwerkangriffe (HTTPS enforced,
Challenge Response)

Probleme
• Definition “Passkey”
• Standardisiert, aber in Praxis sehr unterschiedlich
• Syncable vs. Device-Bound Passkeys
• Unterschiedliches Verhalten der Authenticators
• UI/UX in Browser/OS/…
• Unterstützte Features
• MFA vs. Passwordless vs. Usernameless
• Wie viele User “verstehen” Passkey?

Probleme
• Lock-In (by Design)
• Verfügbarkeit von Features aus Standard von einigen
wenigen Herstellern diktiert (Chrome bei Browsern)
• Umfang/Komplexität des Standards steigt (+ Legacy
Artefakte)
• “Draft” Features schon in Einsatz

Passkeys in
2025

New: CTAP 2.2 & WebAuthn Level 3
• CTAP 2.2 - Status ‘Proposed Standard’(02.2025)
• WebAuthn Level 3 - Status ‘Working Draft’ (01.2025)
• viele “Neuigkeiten” schon seit Jahren im Einsatz

Hybrid Transport
• Cross Device Authentication (CDA)
• QR Code mit FIDO:/ URL
• Pairing & Proximity via BLE
Announcements
• Weitere Kommunikation via Tunnel
Service (Google, Apple)

JSON Serialization
• Vereinfachung Entwicklung & Darstellung
• Identische JSONs für WebAuthn und Native APIs (zumindest
Android)
• CTAP2 weiterhin CBOR

UV/PIN Enhancements
• PIN Complexity Policy
• Statt PIN-Länge auch Zeichensatz, Blocklist, Komplexität, …
• PersistentPinUvAuthToken State
• Persistentes Caching der UV, gebunden an Session/Origin

Attestation
• Authentizität und Integrität des
Authenticators
• AAGUID identifiziert Authenticator
Modell
• Privacy Preserving: kein
Rückschluss auf einzelnen
Authenticator
• Enterprise: unique AAGUIDs
Enterprise
AttCA /
AnonCA
Basic
Self
Privacy
preserving

Passkey Credentials Exchange
• Security: Passkeys nicht exportierbar
• Lock-In/Backup: Passkeys nicht exportierbar
• Credential Exchange Protocol (CXP) & Credential
Exchange Format (CXF) (Draft Specification)
• “Exchange” != “Export”

PRF Extension / hmac-secret
• HASH(HMAC($input, $key)) = Pseudo-Random Function
• Ableiten von Secret (symmetrischer Schlüssel) von FIDO2
Credential (Priv/Pub Key)
• Use cases:
• Key für symmetrische Verschlüsselung
• Login in PW Manager (Master-Key)

Passkeys für Entwickler
• Verwendung einer etablierten Implementierung statt DIY
• Authenticator/Browser/OS Support?
• Was passiert mit dem Passwort?
• Passkeys-First
• Setup und Verwendung von Passkeys vorschlagen
• Passkey-only/Passwordless Registrierung
• Passkey Autofill/Conditional UI

Passkeys für Entwickler
• Passkey Demo/Playgrounds/Debugger
• https://passkeys.eu
• https://www.passkeys.com/playground
• https://learnpasskeys.io
• https://www.passkeys-debugger.io
• …
• Chrome Passkey Emulator
• Dev Tools (F12) -> Ctrl-Shift-P -> “webauthn”
• “echte” Authenticators

Passkeys für Anwender
• Grobes Verständnis von Passkeys (?)
• Grundsatzentscheidung: welche Art von Passkey(s)?
• Hardware Authenticator
• für sensible Accounts
• Kosten/Limitierungen
• Backup/Account Recovery
• Platform/Software Authenticator
• Sicherheitsniveau < Hardware Authenticator (aber > Passwörter)
• Convenience
• Lock-In/Migration/Export

Passkeys im Unternehmen
• Auswahl zulässiger Authenticators + Attestation
• “strict mode”
• Zentrales Identity Management / SSO
• Passkey Backup / Account Recovery Konzept

NIST/BSI/…
NIST
• Device-Bound Passkeys können AAL3 erreichen
• Syncable Passkeys können AAL2 erreichen (NIST SP 800-63Bsup1 / 04.2024)
BSI • “BSI empfiehlt die Nutzung von Passkeys“ (10.2024)
ENISA
• Keine direkten Aussagen/Empfehlungen zu Umsetzung
• Digital Identity Standards (Stand 07.2023) erwähnt “Passkey” nicht
• FIDO(2) wird im Kontext eIDAS und eIDAS2/EUID Wallet als “LoA High geeignet” eingestuft
NCSC
• Keine direkten Aussagen/Empfehlungen zu Umsetzung
• Unterstützt Passkey roll-out für UK Government Services und ist FIDO Alliance beigetreten
(05.2025)

Have fun
with
Passkeys!

Passkeys & 2FA/MFA_sec4dev_Dialogues2025

Passkeys & 2FA/MFA_sec4dev_Dialogues2025

Weitere ähnliche Inhalte

Mehr von SBA Research

Passkeys & 2FA/MFA_sec4dev_Dialogues2025