So funktionieren Passkeys
Die Schlüssel, die eine Vela-Wallet steuern, sind Passkeys: WebAuthn-Anmeldedaten auf der Kurve P-256. Dein Gerät oder Sicherheitsschlüssel erzeugt jeden davon, verwahrt den privaten Schlüssel und benutzt ihn erst, wenn du mit Face ID, Fingerabdruck, Geräte-PIN oder Berührung und PIN am Sicherheitsschlüssel bestätigst. Vela erhält den privaten Schlüssel nie; synchronisiert ihn ein Passwortmanager, verwahrt der Manager ihn verschlüsselt für dich.
Was ein Passkey ist
Ein Passkey ist ein Schlüsselpaar aus öffentlichem und privatem Schlüssel, erzeugt für
eine einzige Website – bei Vela getvela.app. Eine App erhält den privaten Schlüssel
nie; sie kann den Authentifikator nur bitten, etwas zu signieren, und der fragt vorher
dich.
Wo der private Schlüssel liegt, hängt von der Schlüsselart ab:
| Schlüsselart | Wo der private Schlüssel liegt | Auf andere Geräte synchronisiert? |
|---|---|---|
| Dieses Gerät – Face ID, Touch ID, Fingerabdruck, Windows Hello | Im Passwortmanager deiner Plattform (iCloud-Schlüsselbund, Google Passwortmanager) oder in einem Passwortmanager wie 1Password | Meist ja, Ende-zu-Ende-verschlüsselt, wenn die Synchronisierung an ist. Windows-Hello-Schlüssel bleiben auf dem PC |
| Ein anderes Handy, verbunden per QR-Code | Im Passwortmanager dieses Handys | Wie oben |
| Ein Hardware-Sicherheitsschlüssel (YubiKey und andere FIDO2-Schlüssel, per USB oder NFC) | Im Sicherheitsschlüssel selbst | Nie |
Eine Vela-Wallet kann bis zu sieben Schlüssel in beliebiger Mischung nutzen, gewählt beim Erstellen; Signaturschlüssel und Sicherheitsschlüssel behandelt diese Wahl.
Kein Geheimnis zum Abfischen
Phishing funktioniert, indem man dich dazu bringt, ein Geheimnis herauszugeben. Eine
Seed-Phrase sind zwölf Wörter, die man dir abschwatzen kann, bis du sie irgendwo
eintippst. Ein Passkey hat kein Geheimnis, das du eintippen könntest: Es gibt
nichts zu verraten, nichts einzufügen, und eine gefälschte Seite kann nicht danach
fragen. Und weil ein Passkey für eine einzige Website erzeugt wird, bietet dein
Browser einen getvela.app-Passkey nur Seiten auf getvela.app und ihren Subdomains
an.
Damit fällt eine ganze Klasse von Verlusten weg, die bei der Selbstverwahrung häufig ist: die gestohlene Wiederherstellungsphrase.
Wovor ein Passkey dich nicht schützt
Er schützt auch nicht vor jemandem, der dein entsperrtes Handy hat und dessen Prüfung bestehen kann, oder der das Konto kontrolliert, über das dein Passkey synchronisiert wird. Richte einen Gerätecode ein, sichere dein Apple- oder Google-Konto und zieh einen Hardware-Sicherheitsschlüssel in Betracht, der nirgends synchronisiert wird.
Wie sich das Signieren anfühlt
- Du bestätigst eine Transaktion in Vela, nachdem du gelesen hast, was sie tut.
- Dein Gerät oder Sicherheitsschlüssel verlangt Face ID, einen Fingerabdruck, deine PIN oder Berührung plus PIN.
- Es signiert, und nur die Signatur geht zurück an die App.
- Die App übergibt die signierte Operation an das Relay, das sie einreicht; dein Wallet-Vertrag prüft die Passkey-Signatur on-chain, bevor er irgendetwas tut.
Wohin der öffentliche Schlüssel geht
Die öffentlichen Hälften deiner Schlüssel werden in einem öffentlichen Register auf der Gnosis Chain festgehalten, damit ein neues Gerät deine Wallet finden kann. Darum geht es in Wiederherstellung und Anmeldung.