News Google Authenticator: Passwort-Synchronisation überträgt Daten im Klartext

[mylight]

ich habe gerade herausgefunden das verschlüsselungen nur existieren damit der endanwender nicht erkennt welcher hersteller daten abzwagt

 

[Falc410]

Für die meisten Dinge funktioniert der in Bitwarden integrierte Authenticator ganz gut.

Ich frag mich halt immer wie sinnvoll es ist, beide Faktoren (TOTP und Passwort) im selben Passwortmanager zu speichern.

 

[Paddy0293]

Für die meisten Dinge funktioniert der in Bitwarden integrierte Authenticator ganz gut.

Selbst gehostet ? Wenn nicht, genauso sinnlos Bitwarden könnte ja auch von Sicherheitslücken betroffen sein

 

[h00bi]

Selbst gehostet ?

Yes
Aber selbstverständlich könnte es auch da Sicherheitslücken geben.
Ich vertraue meinem Vaultwarden nahezu uneingeschränkt.

 

[WoFNuLL]

Vor allem der Satz: Laut Google ist das abschalten der Funktion die Lösung, für die die selbst eine Backuplösung nutzen wollen wie bisher. Bringt mich dezent zum schmunzeln:
Wenn ich ein Backup meiner Auth Codes machen will, generiert mir das Teil einen QR Code, welchen ich aus mir NICHT NACHVOLLZIEHBAREN GRÜNDEN! nicht Screenshotten kann ( kompletter Screen Blackout ) sondern über Umwege ( anderes Gerät / Remote View mit Externer App ) ein Foto anfertigen muss damit ich es in meiner Privaten ( und verschlüsselten ) Cloudlösung ablegen kann ...

 

[nn|none]

Also wenn du es in der Praxis schaffst, eine MitM Attacke gegenüber Google Diensten zu fahren, hast du ganz andere Probleme.

Was hat das mit Google zu tun?

 

[machiavelli1986]

Meine Passwörter habe ich alle lokal gespeichert in einer KeyPass Datei. Für den 2FA nutze ich Google. Was gibt es für sinnvolle Varianten wo man dann wirklich sagen kann, dass ist besser und vertrauenswürdiger? Wenn ich jetzt, sobald aktualisiert, das Teil öffne und anwähle, dass ich nicht mit der Cloud syncen kann, dann stellt sich halt schon die Frage, ob ich da wirklich schlechter unterwegs bin als mit einem andere App wie z. B. das von Authy. Gerade Authy bietet ja auch etliche Optionen mit Synchronisationen an. Es ist eine Zwiespalt. Ich denke aber, wenn Passwörter und 2FA in zwei verschiedenen Containern hinterlegt sind, ist man schon mal nicht schlecht bedient.

Wie schaut es mit der App 2FA Authenticator (von 2FAS) aus? Sollte zumindest Open-Source sein.

 

[Lord Horu$]

Es is ja auch nicht eine kreuzdämliche Idee seine PASSWÖRTER in der der Cloud zu speichern...
Was, wenn die Cloud gehackt wird?
Da haste wegen solchen "Versäumnissen" dann die A-Karte.

Genau wegen solchen blödsinnigen Sachen benutz ich einen lokalen Passwort-Store (KeepassXC) und alles, was in die Cloud kommen muss, liegt in nem Truecrypt-Container.
Auch nicht 100%ig sicher (Was ist schon 100%ig sicher?), aber immer schön Lokal n Schloss vorhängen, bevor mans in die Cloud schiebt.

Ist genau das Gleiche, wie mit Cloud-basierten Smart-Home Geräten. Dümmer gehts echt nicht...

 

[DonDonat]

Überrascht mich eher weniger. Alles was über die Basics hinausgeht kostet ja Geld und das steckt man am Ende lieber in andere Dinge als sowas unwichtiges wie eine Verschlüsselung von Passwörten bei Synchronisation.

Schließe mich deswegen den meisten hier an: weil die Annahme, dass so ein Käse wie hier eher die Regel als die Ausnahme darstellt, hab ich nur lokale PW Speicherung. "Better safe than sorry" halte ich bei sowas für sinnvoll, gerade wenn es um Passwörter geht, wo ein Fehler einen potentiell viel Zeit/Stress/Geld kosten könnte.

 

[nn|none]

Es geht hier doch gar nicht um klassische Passwörter, wie man sie in Keypass und ähnlichen Tools speichert, sondern um dynamisch generierte 2FA OTPs, bzw. ganz konkret um die Seeds, die dazu dienen diese zu generieren.

 

[machiavelli1986]

...hab ich nur lokale PW Speicherung. "Better safe than sorry" halte ich bei sowas für sinnvoll, gerade wenn es um Passwörter geht, wo ein Fehler einen potentiell viel Zeit/Stress/Geld kosten könnte.

Die Aussage macht aber keinen Sinn. Denn ein zusätzlicher 2FA OTP wäre ja keine Minderung der Sicherheit zu deiner aktuellen lokalen PW Speicherung. Im Gegenteil. Den der Ort wo du dein Passwort eingibst kann genau so eine Schwachstelle sein. Ich habe meine verschlüsselte PW-Datei auch lokal auf dem NAS zusätzlich nochmals in einer TrueCrypt Datei verschlüsselt. Trotzdem würde ich deshalb niemals auf eine 2FA verzichten. Und ja, einloggen wird mühsamer mit 2FA, aber was solls? Lieber so als ein unnötiges Risiko eingehen, mit dem was man da mittlerweile auf Plattformen alles hinterlegt.

 

[User_0815]

Dafür gibt es ja dann den Google VPN, der macht die Übertragung wieder sicher

 

[Brink_01]

Selbst gehostet ? Wenn nicht, genauso sinnlos Bitwarden könnte ja auch von Sicherheitslücken betroffen sein

Spielt das eigentlich eine große Rolle? Außer mir hat doch niemand den Key.

@ news
Das ist schon echt schwach! Habe gestern erst wieder hier und da die 2FA aktiviert und war eigentlich kurz davor den Authenticator von Google zu verwenden.

 

[Bigeagle]

Google kann also sehen wo ihre Kunden Accounts haben und bei Bedarf Sicherheitsbehörden auch gleich noch das Passwort dazu liefern? Praktisch ...
Aus irgendeinem Grunde höre ich gerade im Hinterkopf die Prinzen singen, mit leicht abgewandeltem Text.
Ui, sowas findet sich sogar auf Youtube

Derweil hoffe ich dass niemand meine Platte durchsucht und die Anmeldedaten für Nexusmods findet die da immer noch unverschlüsselt rumliegen. Aber hey, wer auf meinem System ist kann auch die Zwischenablage und die Tastatur abgreifen. >.>

 

[AncapDude]

Dramamodus aktiviert

 

[Paddy0293]

Spielt das eigentlich eine große Rolle? Außer mir hat doch niemand den Key.

Klar wenn Hacker sich ins System klinken, wird es ein leichtes für die Hacker sein die Passwörter ect. auszulesen.

Das ist ein riesen Unterschied "privat hosten + VPN" im Gegensatz zu bitwarden direkt.
Das ist ja genau der Grund warum viele überhaupt privat hosten.

 

[LuminousVision]

Aktuell nutz ich Authy

Und wenn Authy irgendwann mal Scheiße baut, darfst du überall 2FA neu einrichten, weil du die Secrets nicht übertragen kannst.

 

[eSportWarrior]

Wow das ist Unentschuldbar.

Bin beim MS Authenticator + Offline Backupsmartphones.

Klar unrealistisch dass da was passiert aber mindestens ein Entwickler wusste genau was er da geschrieben hat. Schwachstelle ok egal, aber absichtlich eine Schwachstelle?!?

 

[Tobber83]

Wo kann man denn im Google Authenticator sehen, ob die Funktion aktiviert ist?
Mir ist nicht bewußt, dies aktiviert zu haben. Aber sicher bin ich mir nicht.

 

[Fegr8]

Wo kann man denn im Google Authenticator sehen, ob die Funktion aktiviert ist?
Mir ist nicht bewußt, dies aktiviert zu haben. Aber sicher bin ich mir nicht.

Naja das Update wird in Wellen verteilt. Ich habe es noch nicht erhalten, aber wenn ich so in den Foren lese wir nach dem Update gefragt ob du es Snchronisieren möchtest und da kann man es verneinen und es bleibt deaktiviert. Und vermutlich gibt es dann bei den Einstellungen ein zusätzlichen Punkt.