Jain.
Bei wichtigen Accounts (z.B. Email und Bitwarden) verwende ich 2FA (mit der App Aegis), für unwichtiges (Forenaccounts, etc.) bleibe ich nur bei einem (zufallsgenerierten) Kennwort.
this post was submitted on 06 Feb 2024
1 points (100.0% liked)
Frag Feddit
3705 readers
3 users here now
Wolltest du Der Leere™ schon immer einmal Fragen stellen? Tue dies hier.
founded 3 years ago
MODERATORS
Alles was geht mit yubikey abgesichert (pw manager, google accounts, PC), sonst authy für totp
Ja - überall wo es geht. Ich bevorzuge einen Yubikey als zweiten Faktor, anderenfalls benutze ich TOTP-Codes mit einer App, die sich optional auch im Browser integrieren lässt (2FAS). Mit Apple und Microsoft benutze ich deren Methode, bei Google benutze ich Yubikey + TOTP.
SMS ist auch ein zweiter Faktor. Ich verwende es bei den meisten Diensten, wann immer möglich. Es gibt aber Dienste mit App-Zwang. Das fällt für gewöhnlich raus. Leider gibt es auch viele, die alles auf demselben Gerät machen, also bspw. Banking-App + Banking-TAN-App. Oder ein Kollege speichert Passwort und OTP zusammen in Bitwarden. Das ist dann natürlich auch lost
sms ist aber kein sicherer 2faktor
Ich benutze überall wo möglich 2FA und generiere mittels Aegis (Android 2FA App) die Einmalpasswörter. Passwortmanager war erst KeepassXC, aber bin dann aufgrund des Cloud-Vorteils zu BitWarden gewechselt.
Um 2FA komm ich auch gar nicht rum, da die Uni das für die Verwendung der VPN zwangsläufig benötigt. Insgesamt bin ich bei 18 Websites bei denen ich 2FA verwende (+ Steam mittels eigener App).
Ich bin noch bei KeepassXC und lasse es über Cloud Storage synchronisieren. Momentan noch via iCloud, da Apple Infrastruktur, ich werde aber wechseln, da bald wieder ein Linux-Rechner ins Haus kommt. Klappt super mit dem nativen Client auf OS X (via Homebrew) und Linux und auf iOS via KeePassium.
Die Nutella-Frage ist glaub ich, welchen Passwortmanager man nutzt, wobei Bitwarden hier in der Kommentarsektion zu überwiegen scheint.
Bitwarden ist irgendwie kagge. Ist nicht leicht weil ich Keepass[DX/XC] und Syncthing (Syncthing-Fork, Syncthingy) benutze. Aber eine andere Person verwendet Bitwarden für Einfachheit, und deren Server waren down und mehr.
Ich hab vor einem Jahr mein digitales Leben über Kontrolle gebracht. Alle jahrelang gesammelten Firefox-Passwörter in KeePass importiert und dann durchschaut, sortiert und durch neue Zufalls-Passwörter mit 2FA ersetzt. Die Datei wird mit Syncthing auf mein Handy gebeamt. Hat ein zwei Tage gedauert aber jetzt fühlt sich das richtig gut an.
Für wichtige Accounts hab ich richtige 2fa mit yubikey und TOTP aufm Handy und für alles andere wo es geht hinterlege ich den TOTP (oder passkey) in bitwarden direkt. Damit ist der xusätzliche Schutz zwar geringer aber der comfort mit automatischem ausfüllen bleibt gleich
Ja, aber nur in geringem Maß. Ich sollte das in mehr meiner Accounts aktivieren. Ich hätter gerne WebAuthn.
Hättest du ein eli5 für WebAuthn für mich?
WebAuthn, Abkürzung für "Web Authentication" ist ein relativ neuer Standard für das Internet, der von Browser-Entwicklern und Technologieunternehmen geschaffen wurde um den Schutz von Online-Konten zu verbessern. Statt nur auf Passwörter zu setzen, erlaubt es Websites, Benutzer mittels sicherer Methoden zu überprüfen. Zum Beispiel dem Fingerabdruck und auf dem Gerät eingebauten Sicherheits-Chips, oder Chipkarten oder separaten kleinen Geräten die man wie einen Schlüssel in die USB-Buchse stecken kann oder kontaktlos an den Computer oder das Telefon hält.
Man kann damit unterschiedliche Sicherheitskonzepte umsetzen. Je nach Anforderungen kann der Besitz des Schlüssels ausreichen, oder zusätzlich zu einem Passwort verlangt werden. Es kann auch Schlüssel plus eine kurze PIN oder Fingerabdruck verlangt werden.
Der Trick dabei ist (wie bei anderen Methoden) ist der Hardware-Schlüssel. Passwörter können einfacher gestohlen oder geknackt werden und dann für Cyber-Angriffe genutzt werden. Selbst bei einigen anderen gängigen 2-Faktor-Methoden können beide Faktoren abgezapft werden. Beispielsweise indem sich Zugriff auf das verknüpfte E-Mail-Konto verschafft wird, SMS abgeleitet werden oder einfach beide Geheimnisse aus der Eingabemaske gestohlen werden. WebAuthn verdindert dies indem der Online-Dienst mittels kryptografischer Methoden direkt mit dem jeweiligen Benutzergerät spricht und nur genau den Browser auf diesem Gerät freischaltet.
Die Idee von WebAuthn ist hierbei, eine standardisierte technische Schnittstelle zu schaffen, die dann von möglichst vielen Online-Diensten unterstützt wird.
Dies. Webauthn (Nitrokey für zu haus am Rechner, solokey2 für unterwegs am Telefon über nfc) gehört verpflichtend… totp als backup meinetwegen..
Am schlimmsten sind aber die Dienste die im Hintergrund TOTP machen, das ganze aber nur über die eigene App geht. Weil wieso sollte man seine 2fa Tokens auch vom Handy backupen wollen. So ein Smartphone geht ja nie kaputt oder verloren.
Ich hoffe auch dass webauthn sich möglichst weit verbreitet. Leider funktioniert webauthn bei mir nicht aufm Handy weshalb ich trotzdem überall TOTP hinterlegt habe
Bin bei 31 TOTPs
Wer als „technisch versierter“ kein 2FA benutzt hat die Kontrolle über sein digitales Leben verloren. Bei den normalen Menschen muss man ja schon froh sein wenn sie nicht auf allen Diensten das gleiche Passwort benutzen. Also ja - vom Email-Account bis zur Anmeldung auf meinem NAS - was irgendwie möglich ist wird mit 2FA TOTP zusätzlich abgesichert.
Dito - es ist eine Sache bei einem altem Account kein 2FA zu haben, weil man das damals nicht konnte und die Möglichkeit zur 2FA später nicht mitbekommen hat. Es aber generell nicht zu machen?! Wenn ich die Option habe oder durch Zufall später finde, dann wird die angeschaltet.
Viele Passwortmanager u.ä. bieten ja sogar einen Scan ob man Accounts hat, deren Anbieter 2FA unterstützen, aber deren 2FA-secrets nicht im Passwortsafe stehen. Die Listen sind zwar auch nicht 100% vollständig, aber auch immer ein interessanter "Scan" der eigenen Accounts. Und selbst wenn man die secrets nicht im Passwortsafe speichert, dann kann man die Liste dort ja bequem mit den eigenen Accounts abgleichen...
Ja. Ich bin aber auch technisch versiert. Ich nutze, wie ich es gerne nenne, 1,5FA. Lass es mich erklären:
Ich verwende Bitwarden als Passwortmanager. BW ist in der Cloud gehostet, daher habe ich auf all meinen Geräten immer Zugang zu meinen Passwörtern. Bitwarden kann aber auch als 2FA Token Generator benutzt werden. Statt den Google Authenticator oder ähnliches scannt man mit Bitwarden den QR Code und lässt sich anschließend von Bitwarden die Tokens generieren. Vorteil: Alle meine Geräte haben neben den Passwörtern auch die Tokens zur Hand.
Ich bin mir dabei bewusst, dass dies sicherheitstechnisch nicht ideal ist. Wenn beide Faktoren aus einer Quelle kommen hat man irgendwie nur noch einen wirklichen Faktor. D.h. ich bin nicht dagegen geschützt gegen Angriffe auf meinen Passwortvault bzw Bitwardenaccount als wenn ich kein 2FA nutzen würde.
Dafür habe ich aber erhöhte Sicherheit gegenüber Passwortleaks oder Phishing. Und ich denke hier liegt bei weitem das größere Risiko.
Zudem ist es so komfortabel von Bitwarden sich Username/Passwort automatisch ausfüllen zu lassen und anschließend den TOTP Token gleich in der Zwischenablage zu haben, dass man sich überall sehr schnell anmelden kann ohne erstmal den E-Mailaccount zu öffnen oder sein Handy rauszukramen und zu entsperren. Da dies so komfortabel geht habe ich überall wo es geht TOTP aktiviert, mittlerweile bei 65 Websites.
Der Bitwarden Vault nutzt übrigens einen Yubikey als 2FA.
Auch wenn ich denke, dass jeder 2FA nutzen sollte, wäre ich erstmal dankbar wenn mehr Leute einen Passwortsafe verwenden. Ich kenne zu viele Leute die entweder ein Passwort für alles verwenden oder eine furchtbare Zettelwirtschaft pflegen und dann oft nicht in der Lage sind sich einzuloggen (Zettel nicht dabei, Handschrift kann nicht mehr gelesen werden). Ich habe meiner Schwester Bitwarden eingerichtet und sie ist mir unendlich dankbar dafür. In ihrer non-tech Bubble wird sie auch regelmäßig bewundert was sie da tolles hat, aber diese Leute setzen sich irgendwie trotzdem nicht mal hin und richten es sich selber ein.
Vielleicht sollte ich mich damit selbstständig machen.
Ich nutze Microsoft Authenticator, da bekomme ich Cloud Backups und ich bin noch zu faul alles zu Aegis umzuziehen. Diese Unbequemlichkeit (Handy raus, entsperren, App auf, wieder entsperren, Eintrag suchen, kurz warten, weil die Schlüssel in 3 Sek. erneuert werden) verhindert auch, dass ich das pauschal überall nutze. Muss vielleicht endlich mal die $10 im Jahr für Bitwarden Premium zahlen.
und dann oft nicht in der Lage sind sich einzuloggen
Bin ich leider mit keepass oft auch nicht, weil ich mich bisher nicht durchringen konnte, meine Passwortdatenbank außerhalb meines PCs abzulegen. Cloud ist noch immer ein Euphemismus für "der Rechner von jemand anderem", und Smartphones vertraue ich auch nur so halb.
Auf einer Skala von 1 bis 10, wie bescheuert bin ich?
Würd ich nicht als bescheuert werten. Ist halt eine Entscheidung.
Wie wärs mit nem Raspi der Owncloud/nextcloud hosted und wireguard auf dem raspi oder fritzbox. Dann könntest du im notfall immer noch drauf zugreifen.
Muss ich mich mal einlesen, danke für den Vorschlag.
Alternative wäre Syncthing. Damit kannst du auf jedem Gerät Ordner einrichten die dann synchron gehalten werden. Braucht dabei keine Cloud (nextcloud, Google, Dropbox, ...), funktioniert dafür aber halt nur wenn mal mehrere Geräte gleichzeitig online sind.
TOTP hilft auch nicht unbedingt bei passwortleaks da der token ja auch im Klartext (zumindest zum Zeitpunkt der Verifikation) beim Server vorliegen muss. Also wahrscheinlich in der gleichen Datenbank wie die Passwort hashes. Webauthn (passkey in bitwarden genannt) hat dat Problem nicht, da public-private Key Kryptographie genutzt wird. Wogegen TOTP aber helfen sind diverse Arten von replay attacks.
Ich mache das ähnlich mit Enpass. Ich gewinne Sicherheit durch die Verwendung von TOTP, aber verliere einen Teil davon wieder, indem Enpass beides (PW+TOTP) aus einer Hand serviert.
SMS versuche ich zu vermeiden, nicht weil die unsicher sind sondern weil ich meine Nummer nicht rausgeben will.
Vielleicht sollte ich mich damit selbstständig machen.
Nein, solltest du nicht. Der Bedarf ist da, ja. Aber es gibt einen Grund, dass immer mehr IT Dienstleister Klein- und Privatkunden ablehnen.
Wenn du den ganzen Overhead der "Brauche ich das? Was kostet das?" Gespräche nicht mit abrechnest ist es nicht rentabel zu machen, und wenn du es mit abrechnest, zahlt niemand für seine Privatgeräte das was du abrufst.
Die Leute, die die Dienstleistung am nötigsten hätten, sind leider auch genau die die dann nicht verstehen, warum die Absicherung ihrer Accounts 400€ kosten soll.
Nur da, wo es erzwungen wird (beim Bankkonto würde ich das aber durchaus auch freiwillig machen). Ich bin vor allem davon genervt, dass in den meisten Fällen das Handy (über SMS oder irgendwelche Apps) der zweite Faktor ist, obwohl ich den meisten Plattformen nicht einmal freiwillig meine Handynummer gebe.
Absolut. Als ITler bin ich natürlich auch vorbelastet. Benutze aber wo immer es geht 2FA. Dazu zufallsgenerierte Passwörter die im Bitwarden gespeichert werden. Überall das selbe Passwort ist eben auch nutzlos. Für 2FA am besten per security key (sowas wie YubiKey), ansonsten TOTP. SMS ist vergleichsweise unsicher aber besser als nix.
Für 2FA verwende ich Aegis.
Ich nutze exakt das gleiche Setup.
Also ich nutze es wo es geht und auch was es so gibt. TOTP, Hardwaretoken oder auch gerne Passkey.
Aktuell bin ich bei 52 TOTP's
Yes, nach Möglichkeit benutze ich das bei den meisten Services, gerade bei „kritischer Infrastruktur“ meines Alltags.