Ledger Nano als Passkey nutzen, so geht's
Authentifizierung mittels Passkey-Verfahren ist nicht neu, dass dies mit einem Ledger Nano funktioniert für mich allerdings schon. Wer mehr über das Verfahren wissen möchte, dem sei Punkt 2 dieses Kommentars von @moecki empfohlen.
Legen wir los...
1.) Ledger Security Key App mittels Ledger Live installieren
Als Erstes in Ledger Live unter "My Ledger" die Security Key App installieren. Das ist im Grunde schon der ganze Zauber.
Ein paar Links:
- Quellcode der App: Github
- Liste von Websites die Passkeys unterstützen: passkeys.directory
- Artikel mit Infos zur Sicherheit: ledger.com
2.) Test
Um den Ledger gleich auszuprobieren, rufen wir diese Demoseite https://webauthn.me auf.
Wichtig: Ledger Live muss jetzt geschlossen sein!
Nach Klick auf "Register" wird ein Hinweisfenster eingeblendet...
...und am Ledger geht es weiter. Falls nicht geöffnet, jetzt die Security Key App aufrufen.
Am Ledger kommen jetzt der Reihe nach die Infos zum Login, wird "Register" angezeigt, kann das wie üblich durch drücken beider Tasten bestätigt werden.
Was passiert, wenn der Ledger verloren geht?
Dies ist eine Frage die mir im Kopf umgeht: Was passiert, wenn der Ledger kaputt geht oder aus irgendeinem anderen Grund nicht mehr verfügbar ist?
Auf der oben bereits verlinkten Seite steht:
Just like a Bitcoin or Ethereum address, the credentials you create with the Security Key app are derived from your seed without revealing anything about it.
If you set up a Ledger device using the same 24 words, you can log in using the Security Key app to the same websites using the same credentials. This aligns with the FIDO 2 specification and uses standard cryptography, such as digital signatures. Keep in mind that this doesn't apply to resident keys.
Ah ja, wenn ein Ledger mit denselben 24 Wörtern eingerichtet wird, sollte man sich bei den Websites wieder anmelden können.
Für residente Schlüssel gilt das allerdings nicht. Ups, Hilfe - was ist das denn? Alles gut, die Funktion ist standardmäßig deaktiviert, somit werden keine residenten Schlüssel gespeichert und wo nichts gespeichert wird, kann auch nichts verloren gehen.
Zum Test habe ich die Security Key App vom Ledger de- und danach wieder neu installiert. Das hat geklappt und ich konnte mich auf den vorher angemeldeten Seiten ohne Probleme einloggen. Also gehe ich davon aus, dass dies so funktioniert wie es Ledger beschreibt. D.h. falls der Ledger seinen Geist aufgeben sollte, kann man sich ein neues Gerät holen und so wieder Zugriff erhalten.
Dicker Pluspunkt für Ledger, denn so mache anderen Geräte können das wohl nicht.
Erfahrungswerte gesucht!
Trotzdem werde ich den Ledger vorerst nicht für wichtige Seiten verwenden. Ich suche noch nach Erfahrungswerten, ob das mit der Wiederherstellung tatsächlich so funktioniert, wie Ledger das schreibt. Vielleicht kann jemand dazu mehr sagen?
Danke wieder einmal für die interessante Anleitung.
Ich habe deinen Artikel gerade zufällig entdeckt, als ich die mittlerweile fertige Bookmarks-Implementierung testete,... und natürlich auch ein Lesezeichen für den Artikel angelegt :-)
Zurück zum Thema:
Einen Ledger habe ich bisher nicht. Allerdings finde ich es wichtig, dass sich die Verwendung der Passkey-Anmeldung weiter verbreitet, einfach weil es viel weniger Angriffsfläche bietet als die Passwort-Anmeldung. Daher ist es wichtig, dass viele "Geräte" für die Passkey-Anmeldung zur Verfügung stehen und es den Usern so einfach wie möglich gemacht wird.
Die Wiederherstellung ist genauso wichtig. Auch das muss entsprechend einfach für den User sein. Nur eine Kombi zwischen einfacher und sicherer Anwendung wird letztlich dazu führen, dass sich das Verfahren etabliert.
Damit kann ich auch nichts anfangen. :-)
Bei Ledger steht:
Rein theoretisch, Ledger wird nur die Keys vom Memonic ableiten können, nicht aber Usernamen etc. - diese Daten liegen dann in Speicher vom Ledger und gehen daher bei einer Wiederherstellung verloren. Nur eine Interpretation...
Dann noch frohes testen deiner Bookmarks. Ich leg mich jetzt auf's Ohr, is eh schon wieder später als geplant. Das kommt bei dir bestimmt nicht vor :-))
Ah - noch ganz kurz, was macht dein Zahn?
In drei Stunden ist er raus... hoffentlich 😳
Oh doch, leider. Das muss eine Programmiererkrankheit sein: "Nur noch diesen Fehler ergründen... ", "Nur noch diese Funktion erstellen..."
Dabei wirkt ein frischer Blick meist Wunder. 😇
Normal kein Ding, einfach derweil über eine neue Funktion nachdenken, dann merkst es kaum. Alles Gute, möge dir die Weisheit trotzdem erhalten bleiben ;-)
Und ab ins Lesezeichen!
Ich besitze nämlich einen Ledger - allerdings seit drei Jahren OVP, da ich nie die Muße hatte, mich damit auseinanderzusetzen... 🫣
Hab schon an dich gedacht, als ich den Beitrag geschrieben habe.
Oh, drei Jahre, da hätt ich eine Idee: So rein theoretisch, wenn du ihn dieses Jahr auspackst, nächstes Jahr die Anleitung liest, dann könntest in drei Jahren ans Werk gehen. Aufteilung ist alles :-)
Du hast an mich gedacht? Habe ich den Besitz des Ledger in einem Anflug von Aktionismus schon mal erwähnt?
Deine Theorie gefällt mir - passt absolut zu meiner chronischen Aufschieberitis... ;-)
Ja, hast du - und in einem Anflug von Aktionismus habe ich sogar den in meinem Hinterkopf schlummernden Kommentar gefunden :-)
Au fein. Dann habe ich als ersten Schritt jetzt den Link des Videos gespeichert... ;-)
Definitely I will visit the link
What a good idea to ensure passkey
I always know I’ll get the opportunity of learning something new from you whenever you post..
Well, I’ve always heard of this hardware wallet as the best way to save your cryptocurrency but I’ve never really seen one before in Nigeria. The few Nigerians that have it, they shipped it from overseas.
I also love the vital question you answered… and judging from your answer the nano ledger seems more safer features in case of any damages