Wie werden Passkeys generiert?

Passkeys werden mithilfe von asymmetrischer Kryptografie generiert, bei der ein Paar kryptografischer Schlüssel – ein öffentlicher Schlüssel und ein privater Schlüssel – erstellt wird. Der private Schlüssel bleibt sicher auf dem Gerät des Benutzers gespeichert, während der öffentliche Schlüssel mit dem Server geteilt wird. Wenn sich ein Benutzer registriert oder anmeldet, erstellt sein Gerät dieses Schlüsselpaar, das dann zur sicheren Authentifizierung seiner Identität verwendet wird, ohne den privaten Schlüssel jemals preiszugeben.

---

Passkeys basieren auf asymmetrischer Kryptografie, einer Methode, die zwei unterschiedliche, aber mathematisch miteinander verbundene Schlüssel verwendet – einen öffentlichen Schlüssel und einen privaten Schlüssel. Hier ist ein genauerer Blick auf den Prozess:

• Schlüsselpaargenerierung: Wenn ein Benutzer die Erstellung eines Passkeys initiiert, generiert sein Gerät ein Paar kryptografischer Schlüssel. Der private Schlüssel wird sicher auf dem Gerät des Benutzers gespeichert (z. B. in einer Secure Enclave auf einem Smartphone), und der öffentliche Schlüssel wird an den Server gesendet, wo er gespeichert wird.

• Registrierungsprozess: Bei der erstmaligen Registrierung bei einem Dienst erstellt das Gerät des Benutzers das Schlüsselpaar. Der private Schlüssel wird niemals geteilt und bleibt auf dem Gerät geschützt. Der öffentliche Schlüssel wird jedoch an den Server übertragen und zusammen mit dem Benutzerkonto gespeichert.

• Authentifizierungsprozess: Wenn der Benutzer versucht, sich anzumelden, sendet der Server eine Challenge an das Gerät des Benutzers. Das Gerät verwendet den privaten Schlüssel, um diese Challenge zu signieren. Der Server überprüft dann diese Signatur mit dem entsprechenden öffentlichen Schlüssel und authentifiziert so den Benutzer, ohne dessen privaten Schlüssel jemals preiszugeben.

Die Public-Key-Infrastruktur (PKI) ist grundlegend für die Sicherheit von Passkeys. Die PKI verwaltet die öffentlichen Schlüssel und die digitalen Zertifikate, die sie authentifizieren. Die PKI stellt sicher, dass die Kommunikation zwischen dem Gerät des Benutzers und dem Server sicher ist und verhindert Man-in-the-Middle-Angriffe während des Authentifizierungsprozesses.

---