Wie verwende ich Trezor als FIDO2-Sicherheitsschlüssel? (Passwortlose Anmeldung)

Dual-Use-Fähigkeit der Hardware-Wallet

1. Trezor-Geräte unterstützen die FIDO2-Authentifizierung ab Firmware-Version 2.5.0 für Model T und 23.1.0 für Safe 3 und Safe 7.

2. Das Gerät muss physisch über USB verbunden oder über Bluetooth gekoppelt sein, abhängig von den Modellfunktionen und der Unterstützung des Host-Betriebssystems.

3. Auf modernen Betriebssystemen ist keine zusätzliche Softwareinstallation erforderlich – Windows 10/11, macOS 12+ und Linux-Kernel 5.10+ enthalten native FIDO2-Treiber.

4. Benutzer müssen die FIDO2-Funktion explizit in Trezor Suite unter Einstellungen > Sicherheit > FIDO2-Authentifizierung aktivieren.

5. Nach der Aktivierung erscheint das Gerät als WebAuthn-Authentifikator für kompatible Websites und Dienste wie GitHub, Google, Dropbox und Microsoft Entra ID.

Registrierungsprozess auf unterstützten Plattformen

1. Navigieren Sie zu den Kontosicherheitseinstellungen eines Dienstes, der Passkeys oder FIDO2 unterstützt, wie zum Beispiel den Abschnitt „Passwort und Authentifizierung“ von GitHub.

2. Wählen Sie „Sicherheitsschlüssel hinzufügen“ oder „Neuen Passschlüssel registrieren“ und setzen Sie dann das Trezor-Gerät ein oder aktivieren Sie es.

3. Bestätigen Sie die Registrierung auf dem Trezor-Bildschirm per Tastendruck oder biometrischer Verifizierung, sofern unterstützt.

4. Weisen Sie bei der Registrierung einen für Menschen lesbaren Spitznamen zu (z. B. „Trezor Safe 7 – Work“) – diese Bezeichnung wird lokal auf dem Host und nicht auf dem Gerät gespeichert.

5. Der Abschluss löst einen Austausch kryptografischer Bescheinigungen aus. Der Dienst speichert nur den öffentlichen Schlüssel und die Anmeldeinformations-ID, niemals den privaten Schlüssel.

Authentifizierungsablauf während der Anmeldung

1. Wenn Sie zur Zweitfaktor- oder passwortlosen Anmeldung aufgefordert werden, initiiert der Browser eine WebAuthn-Assertionsanforderung.

2. Trezor empfängt die Herausforderung über das CTAP2-Protokoll und zeigt den Domänennamen der vertrauenden Seite an (z. B. „login.microsoft.com“).

3. Der Benutzer bestätigt seine Absicht, indem er bei Safe 3 beide Tasten gleichzeitig drückt oder bei Safe 7 oder Model T auf den Bildschirm tippt.

4. Das Gerät signiert die Herausforderung mit seinem internen ECDSA-Schlüssel und gibt die Signatur zurück, ohne das private Material preiszugeben.

5. Die vertrauende Partei überprüft die Signatur mithilfe des zuvor registrierten öffentlichen Schlüssels und gewährt nach der Validierung Zugriff.

Sicherheitsgrenzen und -beschränkungen

1. Jeder FIDO2-Zugang ist an einen bestimmten Ursprung gebunden – ein Trezor, der bei „github.com“ registriert ist, kann sich nicht bei „gitlab.com“ authentifizieren.

2. Anmeldeinformationen werden nicht geräteübergreifend synchronisiert; Der Verlust des Trezor bedeutet den Verlust des Zugriffs, es sei denn, es sind Backup-Zugangsdaten (z. B. Wiederherstellungscodes oder alternative Schlüssel) vorhanden.

3. Der PIN-Schutz für FIDO2-Vorgänge wird nur erzwungen, wenn die Haupt-Wallet-PIN des Geräts aktiv ist. Durch Deaktivieren der Wallet-PIN wird die FIDO2-PIN-Erzwingung deaktiviert.

4. Trezor speichert keine biometrischen Vorlagen; Fingerabdruck- oder Gesichtsdaten verbleiben vollständig auf dem Hostsystem und berühren niemals die Hardware-Wallet.

5. Firmware-Updates können FIDO2-Anmeldeinformationen zurücksetzen – Benutzer müssen Schlüssel nach größeren Firmware-Upgrades erneut registrieren, es sei denn, die Migrationsunterstützung ist ausdrücklich dokumentiert.

Häufig gestellte Fragen

Q1. Kann ich denselben Trezor gleichzeitig für die Signatur von Kryptowährungen und die FIDO2-Anmeldung verwenden? Ja. Das Signieren von Kryptowährungen und FIDO2-Vorgänge nutzen separate Schlüsselableitungspfade und beeinträchtigen sich nicht. Das Gerät verarbeitet gleichzeitige Kontexte intern.

Q2. Unterstützt Trezor residente Schlüssel (erkennbare Anmeldeinformationen)? Ja. Trezor Safe 7 und Model T unterstützen residente Schlüssel, wenn sie mit aktivierter Benutzerüberprüfung konfiguriert sind. Safe 3 erfordert eine externe Benutzerverifizierung über das Hostsystem und speichert keine erkennbaren Anmeldeinformationsmetadaten.

Q3. Warum erscheint mein Trezor bei der FIDO2-Registrierung in Chrome nicht als Option? Dies tritt auf, wenn USB-Berechtigungen blockiert sind, der Site HTTPS fehlt oder sich das Gerät im Bootloader-Modus befindet. Stellen Sie sicher, dass Trezor Suite geschlossen ist, die Site ein gültiges TLS-Zertifikat verwendet und das Gerät den Startbildschirm anzeigt, bevor Sie die Registrierung starten.

Q4. Ist es möglich, FIDO2-Anmeldeinformationen von Trezor zu exportieren oder zu sichern? Nein. FIDO2-Anmeldeinformationen sind konstruktionsbedingt nicht exportierbar. Sie sind kryptografisch an das Gerät gebunden und können nicht extrahiert, geklont oder auf einen anderen Authentifikator migriert werden.