1. Foren
  2. Kommentare
  3. Internet-Forum
  4. Alle Kommentare zum Artikel
  5. › Neue Fido-Funktionen…

Nutzen/Vorteil?

Neue Foren im Freiraum! Raumfahrt und freie Software haben jetzt einen Platz, die Games tummeln sich jetzt alle in einem Forum.
  1. Thema

Neues Thema


  1. Nutzen/Vorteil?

    Autor: TheRabber 05.05.22 - 18:28

    Ich habe schon einmal überlegt mir sowas einzurichten/zuzulegen, allerdings verstehe ich den Nutzen/Vorteil davon irgendwie nicht oder falsch.

    Verstehe ich es richtig dass ich dann immer so einen kleinen Stick mit mir rumschleppen müsste und zum Anmelden dann entweder per USB/NFC/Bluetooth mit einem Gerät koppeln müsste?

    Falls ja wäre mir das aus Bequemlichkeitsgründen schon zu nervig, abgesehen davon dass man das Teil verlieren könnte und dann erstmal in die Röhre schaut.

    Was macht es denn so viel sicherer als einen PW-Manager mit vernünftigen Passwörtern?

  2. Re: Nutzen/Vorteil?

    Autor: dura 05.05.22 - 18:45

    TheRabber schrieb:
    --------------------------------------------------------------------------------
    > Was macht es denn so viel sicherer als einen PW-Manager mit vernünftigen
    > Passwörtern?

    Kommt ganz drauf an.
    Erstmal kann es nicht so einfach digital kopieren. Es ist für manche Leute bequemer als mit Passwortmanagern zu hantieren, denn auch heute nutzen noch viele Leute unsichere und/oder gleiche Passwörter. Und, wenn man auf Sicherheit Wert legt, kann es zusätzlich zu einem Passwort als 2. oder sogar 3. Faktor dienen (Besitz und Biometrie, bspw durch Fingerabdruck).
    Ansonsten kann es dann in sich selbst 2 Faktoren sein (eben dann ohne Passwort).

  3. Re: Nutzen/Vorteil?

    Autor: TheRabber 05.05.22 - 18:49

    Danke für die Antwort, damit hat sich das Thema eigentlich schon erledigt und ich bleibe wohl doch bei PW-Manager und 2 Faktor.

  4. Re: Nutzen/Vorteil?

    Autor: dura 05.05.22 - 18:53

    TheRabber schrieb:
    --------------------------------------------------------------------------------
    > Danke für die Antwort, damit hat sich das Thema eigentlich schon erledigt
    > und ich bleibe wohl doch bei PW-Manager und 2 Faktor.

    Naja, du kannst FIDO ja als 2. Faktor nutzen, so ist mein Plan für die Zukunft, wenn ich dafür mal Zeit hab um von OTP wegzukommen. Ich hätte gerne einen FIDO-Stick mit Fingerprint-Sensor, um eben so 3-Faktor für wichtige Komponenten umsetzen zu können.
    Passwordless ist für mich ehrlich gesagt auch nichts oder nur für Zugänge die mir egal sind.

  5. Re: Nutzen/Vorteil?

    Autor: TheRabber 05.05.22 - 19:37

    2 Faktor können Bitwarden oder 1Password halt auch, wobei da dann die Frage ist wie sinnvoll der 2 Faktor ist wenn man Passwort und 2Faktor in einer Applikation hat.
    Nutze aktuell den Google Authenticator als 2 Faktor und bin damit sehr zufrieden

  6. Re: Nutzen/Vorteil?

    Autor: dura 05.05.22 - 19:47

    TheRabber schrieb:
    --------------------------------------------------------------------------------
    > 2 Faktor können Bitwarden oder 1Password halt auch, wobei da dann die Frage
    > ist wie sinnvoll der 2 Faktor ist wenn man Passwort und 2Faktor in einer
    > Applikation hat.

    Genau, das halte ich auch für etwas zu wenig.

    > Nutze aktuell den Google Authenticator als 2 Faktor und bin damit sehr
    > zufrieden

    Habe ich auch, aber wenn ich wirklich alles auf 2-Faktor umstellen würde, dann wäre es noch nerviger. Jetzt schon nervt es mich dauernd zum Handy greifen zu müssen, die App zu öffnen, die Zahlen abzutippen usw. Da wäre einmal kurz den Finger auf den Stick tippen schon angenehmer. Wenn ich mir vorstelle das bei jedem Login zu haben, wäre ich sonst ja nur noch am Codes eintippen :D
    Das wäre halt als Backup ganz gut, weil man ja immer auch ein Backup des 2-Faktors haben sollte.

  7. Re: Nutzen/Vorteil?

    Autor: \pub\bash0r 05.05.22 - 20:17

    TheRabber schrieb:
    --------------------------------------------------------------------------------
    > 2 Faktor können Bitwarden oder 1Password halt auch, wobei da dann die Frage
    > ist wie sinnvoll der 2 Faktor ist wenn man Passwort und 2Faktor in einer
    > Applikation hat.
    > Nutze aktuell den Google Authenticator als 2 Faktor und bin damit sehr
    > zufrieden

    Kommt halt auf den Angriffsvektor an. Für mich ist der Hauptvorteil von TOTP, dass er nicht einfach so abgegriffen werden kann. Mein Password könnte gesnifft werden oder man könnte mich beim Eingeben beobachten. TOTP ist nach paar Sekunden wertlos. Aber ja, gegen einen Diebstahl meines Passworttresors hilft es nicht. Wobei ich glaube, dass ich da soviele Informationen drin hab, dass ich bei dessen "Abhandenkommen" ohnehin große Probleme hätte; egal, ob einzelne Dienste jetzt noch einen zweiten Faktor wollen. Vermutlich kann man sich dann über genügend Seitenkanäle die relevanten Informationen holen, um eine Recovery der einzelnen Dienste anzuleiern und damit TOTP eh auszuhebeln. Kurz um: mein Masterpasswort bleibt hoffentlich sehr sicher ...

    Randnotiz: ich hatte eine Weile mal eingerichtet, dass meine Linux Session per TOTP statt Passwort entsperrt wird. So kann ich meinen Bildschirm auch im Zug oder im Büro entsperren, ohne Angst haben zu müssen, dass mir jemand beim Passwort eingeben über die Schulter schaut. Quasi das Äquivalent zum Fingerabdruck-Sensor ... nur ohne Fingerabdruck-Sensor.

  8. Re: Nutzen/Vorteil?

    Autor: sigii 05.05.22 - 20:50

    Ich hab 3 yubikeys.

    Einen am Schlüsselbund, einem im PC und einen Backup key.

    Mir gibt das ein deutlich besseres Gefühl und nutz das seit fast 10 Jahren.

    Mein Gmail account hat halt soviele Daten und kann für das Wiederherstellen von soviele anderen Services benutz werden dass der Mehraufwand sich lohnt.

    Eigentlich fühlt es sich falsch an es nicht mehr zu nutzen.

  9. Re: Nutzen/Vorteil?

    Autor: JE 05.05.22 - 21:38

    Ich nutze Fido2 /webauthN am Android-Smartphone und Linux-PC. Bei dem Smartphone muss kein Stick verwendet werden, denn Android ab Version 7 ist selber ein Fido2-Authenticator. Bei dem Linux-PC muss der Stick ab und an angeschlossen werden, aber das ist auch eher selten.
    Dadurch, daß Android schon ein Authenticator ist, habe ich zwei- sollte also der Stick zerstört werden oder so, könnte ich das Smartphone nutzen, um einen neuen Stick anzumelden.
    Natürlich nutze ich zusätzlich noch ein sicheres Passwort (sicher heisst vor allem lang) und ein Gerätepasswort.

    Das ist insgesamt nicht umständlicher als ohne den zweiten Faktor, nur die einmalige Einstellung kommt dazu.
    Dafür gibt es aber kein Eingeben von irgendwelchen Nummern wie bei dem (im übrigen unsicheren) SMS-Verfahren.

  10. Re: Nutzen/Vorteil?

    Autor: Prof.Dau 06.05.22 - 07:52

    Das Hauptproblem sind doch immernoch die mangelnden Anbieter.
    Es wäre sehr begrüßenswert mehr mit 2FA zu arbeiten, sodass auch Leute, die sich nur zwei Passwörter im leben merken können, etwas mehr Sicherheit erhalten.
    T-Online konnte bei meinem letzten gucken noch kein Fido. Die Sparka, VIVA usw wissen damit auch nicht umzugehen.
    KeepassXC am PC kann mit Fido arbeiten, andere KeepassClients am Smartphone können das noch nicht.

    Die Idee ist gut, aber der Widerstand scheint leider auch noch immer sehr verbreitet.

  11. Re: Nutzen/Vorteil?

    Autor: nomorenoless 06.05.22 - 09:19

    Prof.Dau schrieb:
    --------------------------------------------------------------------------------
    > Das Hauptproblem sind doch immernoch die mangelnden Anbieter.

    Wieso?

    Wann brauchst du wirkliche 2FA und es wird noch nicht angeboten? Hier im Forum?

  12. Re: Nutzen/Vorteil?

    Autor: treysis 06.05.22 - 10:07

    sigii schrieb:
    --------------------------------------------------------------------------------
    > Ich hab 3 yubikeys.
    >
    > Einen am Schlüsselbund, einem im PC und einen Backup key.
    >
    > Mir gibt das ein deutlich besseres Gefühl und nutz das seit fast 10
    > Jahren.
    >
    > Mein Gmail account hat halt soviele Daten und kann für das Wiederherstellen
    > von soviele anderen Services benutz werden dass der Mehraufwand sich
    > lohnt.
    >
    > Eigentlich fühlt es sich falsch an es nicht mehr zu nutzen.


    D.h. du musst jedes Mal den Key mit dem Handy verbinden, wenn du deine Gmail-Mails abrufen willst?

  13. Re: Nutzen/Vorteil?

    Autor: Prof.Dau 06.05.22 - 12:30

    nomorenoless schrieb:
    --------------------------------------------------------------------------------
    > Prof.Dau schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Das Hauptproblem sind doch immernoch die mangelnden Anbieter.
    >
    > Wieso?
    >
    > Wann brauchst du wirkliche 2FA und es wird noch nicht angeboten? Hier im
    > Forum?

    Anbieten != zwang == du kannst wählen
    Kein Angebot == keine Wahl

  14. Re: Nutzen/Vorteil?

    Autor: JE 06.05.22 - 13:47

    treysis schrieb:
    --------------------------------------------------------------------------------
    > D.h. du musst jedes Mal den Key mit dem Handy verbinden, wenn du deine
    > Gmail-Mails abrufen willst?

    Das ist nicht nötig, weil Android und iOS selbst als Authenticator fungieren können.

  15. Meine 2 ct zum Thema Vorteile:

    Autor: senf.dazu 06.05.22 - 17:48

    TheRabber schrieb:
    --------------------------------------------------------------------------------
    > Ich habe schon einmal überlegt mir sowas einzurichten/zuzulegen, allerdings
    > verstehe ich den Nutzen/Vorteil davon irgendwie nicht oder falsch.
    >
    > Verstehe ich es richtig dass ich dann immer so einen kleinen Stick mit mir
    > rumschleppen müsste und zum Anmelden dann entweder per USB/NFC/Bluetooth
    > mit einem Gerät koppeln müsste?

    Das eben gerade nicht - die großen Anbieter bauen den Fido Stick wohl in ihren Sicherheitschips nach. Sprich das Smartphone/Computer selbst bzw. deren Sicherheitschips werden zum Fido Dongle.

    In Zukunft wird das möglicherweise dann sogar richtig praktisch - weil man sich dann mit einem der Geräte bei einem Webdienst (Bank, Behörde, Supermarkt, ..) anmeldet (wobei sich der eingebaute Fido Stick im Prinzip einen neuen Schlüssel für den Dienst ausdenken - der wird durch verschlüsselte Kommunikation auch via Cloud mit den übrigen Sicherheitschips der eigenen angemeldeten Devices ausgetauscht - sprich mit denen kann man sich dann auch beim Dienst anmelden. Sicherlich kann man die Schlüssel auch auf einen herkömmlichen Fido Key verfrachten - und den so als Backup/Zweitschlüssel nutzen. Oder vielleicht auch statt der Cloud um das Fido Schlüsselbund zwischen den Geräten hin- und herzutransportieren.

    >
    > Falls ja wäre mir das aus Bequemlichkeitsgründen schon zu nervig, abgesehen
    > davon dass man das Teil verlieren könnte und dann erstmal in die Röhre
    > schaut.
    >
    > Was macht es denn so viel sicherer als einen PW-Manager mit vernünftigen
    > Passwörtern?

    "Dein" PW Manager ist ne App die auf dem Systemprozessor läuft und das OS benutzt. Alle drei Dinge sind angreifbar z.B. durch die berüchtigten Zero-Days. Des weiteren werden die Passworte über's Netz an die Webseiten geschickt - sprich sie sind im Prinzip abzuhören und mißbrauchbar - oder auch mal von mangelhaft implementierten Webseiten klaubar. Gephisht werden können sie natürlich genau deswgen auch. Die eigentlich privaten Schlüssel beim Fido Key bleiben immer auf demselben - der einzige Prozessor der sie zu Gesicht bekommt ist der Prozessor auf dem Sicherheitschip des Fido Keys. Die kann man deshalb auch nicht phishen weil man sie selbst nicht in die Hand kriegt.

    Möglicherweise könnte eine falsche Anmeldung eines fremden Gerätes in den eigenen Gerätezoo Probleme verursachen. Die müßte man dann aber wie beim Phishing üblich selbst über ein eigenes Gerät bestätigen .. und nicht rechtzeitig wieder aus dem eigenen Gerätezoo löschen ..

    Grundsätzlich ist zu sagen das Prozessor, OS und Apps durch regelmäßige Funktionsupdates die wir ja alle unbedingt wollen (neben den Sicherheitsupdates) regelmäßig eine neue Ladung von Sicherheitslücken dazubekommen - sprich die noch nicht behobenen neuen Softwarefehler/schwächen. Die Systemprozessoren sind auf Geschwindigkeit gezüchtet - was dann in Sicherheitslücken wie Meltdown&Co resultiert.

    Bei Sicherheitschips sieht die Welt anders aus - in erster Näherung bekommen die gar keine Funktionsupdates (denn ihre Funktion bleibt auf Sicherheistprozeduren wie sie mal waren beschränkt) nur Sicherheitsupdates - und die Prozessoren brauchen nicht besonders leistungsfähig zu sein - vielleicht brauchen sie nicht nur kein Hypherthreading und dicke Caches sondern auch nicht mal Multithreading. Und erst recht kein komplexes OS.

    Sprich mit ein wenig Glück konvergiert die Sicherheit des Sicherheitsprozessors im Laufe der Zeit gegen die Grundsicherheit die die z.B. 2048 Bit Verschlüsselung bietet - brute force Angriffe brauchen auch auf den dicksten Eisen Jahre um geknackt zu werden. Und wenn die Eisen mal dicker werden steigt man halt auf 4096 Bit Schlüssel um ..



    10 mal bearbeitet, zuletzt am 06.05.22 18:06 durch senf.dazu.

  16. Re: Nutzen/Vorteil?

    Autor: LASERwalker 09.05.22 - 09:25

    Stell dir FIDO einfach als Passwortmanager vor. Nur verwendest du statt Passwörtern Zertifikate, hast ein klares API dafür, hast ihn immer dabei, kannst nicht versehentlich ein Passwort löschen, kannst es auch als zweiten Faktor verwenden und hast einen Schutz gegen Phishing.

    Den Stick muss man nicht "schleppen", der ist nämlich ganz klein und passt an den Schlüsselbund. Koppel muss man auch nichts, nur einstecken und drücken ob per NFC ans Gerät halten.

    Auch Passwörter kann man verlieren. Bei FIDO kann man immerhin mehrere Sticks/Geräte registrieren (zB. dein Telephon und einen Hardwarestick). Ansonsten kommts auf den Anbieter an wie man das Konto wiederherstellen kann.
    Andererseits: Wie oft verliert man schon seine Hausschlüssel (wo dann auch der Stick dran hängt)? Eben.



    1 mal bearbeitet, zuletzt am 09.05.22 09:26 durch LASERwalker.

  17. Re: Nutzen/Vorteil?

    Autor: treysis 09.05.22 - 09:46

    LASERwalker schrieb:
    --------------------------------------------------------------------------------
    > Den Stick muss man nicht "schleppen", der ist nämlich ganz klein und passt
    > an den Schlüsselbund. Koppel muss man auch nichts, nur einstecken und
    > drücken ob per NFC ans Gerät halten.

    Natürlich. Genauso wie der Haustürschlüssel, Büroschlüssel, Zeiterfassungschip, Fahrradschlüssel, Autoschlüssel, Briefkastenschlüssel, Laborschlüssel, USB-Stick, Garagenschlüssel...was macht da schon ein zusätzliches Ding am Schlüsselbund aus, der sowieso nicht mehr in die Hosentasche passt und daher jedes Mal dann umständlich aus dem Rucksack oder so rausgekramt werden muss.

  18. Re: Nutzen/Vorteil?

    Autor: LASERwalker 09.05.22 - 10:07

    Dann musst du aber Zuhause, im Büro, vor dem Auto, vor dem Fahrrad, vor dem Briefkasten ... auch immer ganz umständlich den Schlüsselbund aus dem Rucksack (hast du den immer dabei?!?) rauskramen. Sehe jetzt nicht was das mit FIDO zu tun hat.

    Da Android / iOS / Windows bereits FIDO implementieren musst du da gar nichts mehr hervorkramen. Und relevant ist das ja eh nur bei Neuanmeldungen. Ein Passwortmanager ist da einiges aufwändiger.

    Ich würde vorschlagen: Probier aus aus! Wenns dir nicht gefällt kannst es wieder abschalten.

  19. Re: Nutzen/Vorteil?

    Autor: treysis 09.05.22 - 10:36

    LASERwalker schrieb:
    --------------------------------------------------------------------------------
    > Dann musst du aber Zuhause, im Büro, vor dem Auto, vor dem Fahrrad, vor dem
    > Briefkasten ... auch immer ganz umständlich den Schlüsselbund aus dem

    Das Auto hat zum Glück KeylessGo - ein Segen! Fahrrad auf Zahlenschloss umgerüstet. Briefkastenschlüssel hängt am Schlüsselbrett und ist somit in Briefkastennähe. Bleiben nur noch Büro, Haustür und Zeiterfassung. Zeiterfassung könnte ich aber auch mal auf Fingerabdruck umstellen.

    > Rucksack (hast du den immer dabei?!?) rauskramen.

    Ne, eben nicht immer. Deswegen muss der Hauptschlüsselbund so klein wie möglich sein.

    > Sehe jetzt nicht was das
    > mit FIDO zu tun hat.

    Nix. Es ging darum, dass die separaten USB-Keys trotz kleiner Größe einfach unpraktisch sind. Ausgenommen vielleicht Firmenumfeld, aber da können die Rechner das eigentlich auch alle über TPM.

    > Da Android / iOS / Windows bereits FIDO implementieren musst du da gar
    > nichts mehr hervorkramen. Und relevant ist das ja eh nur bei
    > Neuanmeldungen. Ein Passwortmanager ist da einiges aufwändiger.
    >
    > Ich würde vorschlagen: Probier aus aus! Wenns dir nicht gefällt kannst es
    > wieder abschalten.

    Werde ich. Gerade gesehen, dass der aktuelle Samsung-Browser seit ein paar Tagen endlich WebAuthn unterstützt, wobei das Android-Gerät als Key herhalten kann (alternativ Bluetooth, USB oder NFC). Leider irgendwie noch nicht so richtig passwordless? Zumindest konnte ich das beim Microsoft-Konto nicht einstellen. Bei Github kann es irgendwie auch nur für 2FA verwendet werden, ich finde 2FA aber zu umständlich. Immerhin der Test über WebAuthn.io hat so funktioniert, wie ich es mir ungefähr vorstelle (naja, wenn dort der Login-Test ohne Nutzername ginge, wäre das noch besser).

  1. Thema

Neues Thema


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Sie müssen ausserdem in Ihrem Account-Profil unter Forum einen Nutzernamen vergeben haben. Zum Login

Stellenmarkt
  1. Software Entwickler (m/w/d) Backend
    Captana GmbH, Ettenheim
  2. SAP SD/MM Berater (m/w/x)
    über duerenhoff GmbH, Raum Ennepetal
  3. SAP BW / 4HANA Berater (m/w/x)
    über duerenhoff GmbH, Raum München
  4. Data-Analysts (w/m/d)
    Bundeskriminalamt, Wiesbaden, Berlin, Meckenheim

Detailsuche


Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. (stündlich aktualisiert)
  2. 15,99€
  3. (u. a. Humankind für 27,99€, Two Point Hospital für 7,50€, Endless Legend für 6,50€)
  4. 11,99€


Haben wir etwas übersehen?

E-Mail an news@golem.de