bsdforen.de Passkey Login

[medV2]

Hatten wir nicht mal ein eigenes Unterforum für Forendinger? Naja, dann halt hier

Ich habe bei bsdforen.de 2 Passkeys hinterlegt (beides HW Token). Bei Passkeylogin kommt bei beiden keine PIN Anforderung -> ich drücke auf den Key und bin sofort mit meinem User angemeldet. Überall sonst, wo ich passwordless Passkey habe, benötige ich davor noch meinen PIN für das HW Token. Ist hier im Forum irgendwas komisch? Eigentlich sollte das ja auf keinen Fall sein. Oder liegt es an einer Einstellung bei mir? Beim Yubikey (da kann ich mir die resident credentials anzeigen) ist bsdforen auch als normales resident geführt - und ich kanns mir auch nur nach PIN Eingabe anzeigen lassen

Natürlich ist das ganze hier im Forum eher spielerei und "weil ichs halt kann" - also jetzt nicht die Feiertage mit Problemanalyse beschäftien

 

[medV2]

Vermutlich ist das "userVerification" Flag auf "DISCOURAGED", mE sollte das aus Sicherheitsgründen auf "REQUIRED".

 

[Yamagi]

Tja, was soll ich sagen. Mit Passkeys ist es wie damals mit 2FA, man kann dazu exakt gar nichts einstellen:

Ich kann gerne ein Ticket aufmachen, aber mit der Geschwindigkeit, mit der offensichtliche Bugs im Moment (nicht) abgearbeitet werden, wird das wohl auf keine allzu große Resonanz stoßen.

 

[medV2]

Wenns keine Arbeit ist, kann mans ja machen, wie schon gesagt wirklich wichtig ist es jetzt nicht. Werde dann halt mein "Schlüsselbund-Token" wieder rauslöschen.

Prinzipiell stelle ich gerade einiges auf Passwordless und Passkey only um (wo möglich) und mir ist eben aufgefallen, dass es hier als einziges keine PIN Abfrage, also UserVerification gibt. Gerade bei ner Website sehe ich da keinen Grund zu (im Gegensatz zu zB IoT wo ev. keine Eingeabemöglichkeit vorhanden ist).