Citrix Workspace App 2307 und FIDO2 Keys

Ich war überaus erfreut, als ich begann, die neue Citrix Workspace App 2307 (noch in der Beta-Phase) zu testen und feststellte, dass Citrix das Verhalten des FIDO2-Schlüssels in der Workspace App für Mac deutlich verbessert hatte. Bisher war die Handhabung des FIDO-Schlüssels unter macOS nur begrenzt möglich, während sie unter Windows besser umgesetzt wurde. Die Release-Notes der neuen Workspace App zeigten tatsächlich, dass in dieser Version an den FIDO-Implementierungen gearbeitet wurde:

Quelle: https://docs.citrix.com/en-us/citrix-workspace-app-for-mac/ear.html (Stand 21.7.23)

Früher habe ich einfach meinen USB-YubiKey in die Session eingebunden und ihn so verwendet. Doch nun ist das nicht mehr nötig. Die Funktion selbst wird nun auf dem Mac abgefragt und weitergeleitet. Wenn ein FIDO-Schlüssel angefordert wird, erscheint der entsprechende Dialog auf meinem Mac, um das Passwort einzugeben.

Ich besitze mehrere YubiKeys und habe auf jedem von ihnen mehrere Passkey-Identitäten – eine für den privaten Gebrauch und eine für geschäftliche Zwecke. Allerdings habe ich festgestellt, dass die neue Funktion mit einem meiner Schlüssel nun Probleme verursacht. Das Problem besteht darin, dass nicht abgefragt wird, welche Identität ich innerhalb der Citrix Session verwenden möchte. Der eine Schlüssel verwendet immer die “richtige” geschäftliche Identität, aber mit dem anderen YubiKey versucht das System, mich mit meiner Gmail-Adresse an den Unternehmensressourcen anzumelden.

Offensichtlich ist die Entwicklung hier noch nicht zu 100% korrekt und abgeschlossen. Deshalb habe ich nach einer Konversation mit Citrix den Befehl erhalten, um diese neue Funktion wieder zu deaktivieren. Bis ich die Passkey-Identität verwenden kann – da ich mehrere Identitäten auf dem Schlüssel habe – werde ich abwarten müssen und meinen USB YubiKey wieder per USB-Passthrough in die Citrix Session einbinden müssen.

Falls du vor dem gleichen Problem stehst, kannst du die FIDO-Funktion mit diesem Befehl im Mac Terminal deaktivieren:

defaults write com.citrix.receiver.nomas Fido2Enabled -bool NO

Update vom 28.08.23: Citrix hat schnell reagiert!

Ab Citrix Workspace App Version 2308 ist es möglich, mehrere Identitäten auf einem FIDO2-Schlüssel zu verwenden und innerhalb des Betriebssystems in der VDA-Maschine auszuwählen, welche verwendet werden soll.