Apple-ID, seltsames Verhalten

[Grettir]

Wenn ich mich mit meiner Apple-ID bei Apple anmelde, erscheint im Browser-Fenster die Meldung, dass sich gerade jemand anmelden muss, und dass ich einen Code eingeben soll. Ich gebe diesen Code dann im selben Fenster ein, und alles ist gut. Kann mir jemand erklären, welchen Zweck dieses Spiel hat? Ich würde verstehen, wenn ich diesen Code auf einem anderen Gerät mitgeteilt bekäme, weil das die Wahrscheinlichkeit erhöht, dass ich es wirklich bin. Aber wenn auf demselben Gerät im selben Programmfenster ein Code erscheint, der in eben diesem Fenster eingegeben werden soll, ist dieser Effekt doch nicht gegeben. Welchen soll das also haben?

 

[MrChad]

Du irrst, wenn du annimmst, das Popup-Fenster mit der 6-stelligen Nummer werde vom Browser generiert.

In Wirklichkeit schickt Apple die Nummer über einen unabhängigen Kanal direkt an alle Geräte, von denen Apple weiß, dass sie zu dir gehören. Das Gerät erzeugt das Popup-Fenster ganz unabhängig und ohne Wissen des Browsers.

Das merkt man z.B. dann, wenn man den Browser nicht im Vollbild betreibt, sondern z.B. klein in eine Bildschirm-Ecke schiebt. Das Popup erscheint dann immer noch in der Mitte des Bildschirms und nicht im Browser.
Oder, wenn man mehrere Apple-Geräte besitzt, erscheint die Nummer z.B. auch auf allen, die gerade eingeschaltet sind.

 

[Grettir]

Aha. Gut. Dann ist es um eine Nuance anders, als ich dachte. Ich verstehe trotzdem nicht, welchen es hat, dass diese Meldung an eben das Gerät geschickt wird, mit dem ich mich anzumelden versuche. Mir scheint das vollkommen überflüssig. Zusätzliche Sicherheit bringt es jedenfalls nicht, nicht mehr jedenfalls, als wenn ich das Passwort auf die Tastatur klebe. Oder was verstehe ich da nicht?

 

[maba_de]

Aber wenn auf demselben Gerät im selben Programmfenster ein Code erscheint, der in eben diesem Fenster eingegeben werden soll, ist dieser Effekt doch nicht gegeben. Welchen soll das also haben?

das passiert nur auf Geräten, die bereits als vertrauenswürdiges Gerät eingerichtet sind:

Ein vertrauenswürdiges Gerät ist ein iPhone, iPad, iPod touch, eine Apple Watch oder ein Mac, bei dem du dich bereits mit der Zwei-Faktor-Authentifizierung angemeldet hast. Dieses Gerät ist als dein Eigentum registriert und kann zur Verifizierung deiner Identität genutzt werden. Das heißt, dass der Bestätigungscode von Apple, den du zur Anmeldung auf einem anderen Gerät oder in einem anderen Browser benötigst, auf diesem Gerät angezeigt werden kann.

Quelle: https://support.apple.com/de-de/HT204915

 

[Chriskr79]

Jap die 2 Wege Authentifizierung. Kommt auch gerne mal nach einer Neuinstallation Windows oder das löschen aller Cache Files

 

[MrChad]

Zusätzliche Sicherheit bringt es jedenfalls nicht, nicht mehr jedenfalls, als wenn ich das Passwort auf die Tastatur klebe. Oder was verstehe ich da nicht?

Apple überprüft 2 Faktoren:
- Wissen = dein Passwort
- Besitz = durch eine Nachricht an das Gerät, von dem Apple bereits weiß, dass es dein Gerät ist
und erfüllt so die Bedingungen der 2FA.

Wenn du mehrere Geräte hast, kommt die Meldung ja auch auf denen. Oder umgekehrt:
Geh zu einem fremden Gerät und logge dich dort per Browser ein. Da kommt der Popup nicht.

 

[Grettir]

Apple schickt an das Gerät, mit dem ich noch gerade anmelde, die Nachricht: »Bitte geben Sie das folgende Passwörter ein:...« Wie unterscheidet sich das vom auf die Tastatur gelebten Passwörter? Apple prüft, ob die Person, die an Computer sitzt, lesen und tippen kann. Und was sonst noch?

 

[Killerkaninchen]

Ich hab da irgendwie ein mulmiges Gefühl … sicher, dass du da auf kein Phishing hereinfällst?

 

[AgentMax]

Apple schickt an das Gerät, mit dem ich noch gerade anmelde, die Nachricht: »Bitte geben Sie das folgende Passwörter ein:...« Wie unterscheidet sich das vom auf die Tastatur gelebten Passwörter? Apple prüft, ob die Person, die an Computer sitzt, lesen und tippen kann. Und was sonst noch?

Nix. Das ist der zweite Faktor. Dein Gerät.
Hat jemand dein Gerät, dein Passwort und Gerätesperrecode wirkt es nicht. Und soll es da auch nicht.

 

[Grettir]

Wenn ich mich z. B. bei meiner Bank oder bei Paypal einlogge, erhalte ich den Code per SMS oder auf einem anderen Gerät. Aber nie auf dem Gerät, mit dem ich mich gerade einlogge. Dass das Passwort an das Gerät eben dasselbe Gerät geschickt wird, ist eine Spezialität von Apple. Und ich verstehe nicht, welchen Sinn das haben soll. Kann mir jemand erklären, wie das die Sicherheit erhöht?

Nix. Das ist der zweite Faktor. Dein Gerät.
Hat jemand dein Gerät, dein Passwort und Gerätesperrecode wirkt es nicht. Und soll es da auch nicht.

Das heißt: Wenn jemand Zugang zu meinem Computer hat, hat er auch Zugang zu meiner Apple-ID. Dann kann man den zweiten Schritt (diesen sagenhaft coolen »zweiten Faktor« auch weglassen, denn dieser Schritt wird auf jeden Fall funktionieren, wenn die erste Voraussetzung erfüllt ist. Da stimmt was nicht.

 

[orcymmot]

Aber nie auf dem Gerät, mit dem ich mich gerade einlogge.

Und wenn du dich mit deinem Handy bei der Bank einloggst, wo kommt dann deine 2FA SMS an? 😉

Die Möglichkeit für die 2FA auch deinen Mac zu nutzen ist eine Option. Du könntest das Gerät ebenso gut aus der 2FA entfernen, dann bekämst du die Anforderung bzw. den Code bspw. nur auf dem iPhone/iPad.

Es geht doch nur darum, dass man neben Benutzernamen/E-Mail + Passwort noch ein persönliches Gerät „nachweisen“ soll.

 

[AgentMax]

Das heißt: Wenn jemand Zugang zu meinem Computer hat, hat er auch Zugang zu meiner Apple-ID. Dann kann man den zweiten Schritt (diesen sagenhaft coolen »zweiten Faktor« auch weglassen, denn dieser Schritt wird auf jeden Fall funktionieren, wenn die erste Voraussetzung erfüllt ist. Da stimmt was nicht.

Wenn er Zugang zu deinem Computer UND Passwort hat. Ja.
Da stimmt alles. Der zweite Faktor ist somit Unwirksam.

 

[Grettir]

Das ist bei allen anderen Firmen und Webseiten, die dieses »Zwei-Faktor-Authentifizierung« (es ist immer wieder niederschmetternd, was der deutschen Sprache im IT-Zeitalter zu zugemutet wird) anbieten nicht so. Aber egal. Immerhin habe ich das richtig verstanden. (Warum bei Apple niemand merkt, dass das Blödsinn ist, kann meinetwegen ein Rätsel bleiben.)

 

[Grettir]

Und wenn du dich mit deinem Handy bei der Bank einloggst, wo kommt dann deine 2FA SMS an? 😉

Denk noch mal nach, dann wird Dir der Unterschied sicherlich auffallen.

 

[orcymmot]

Denk noch mal nach, dann wird Dir der Unterschied sicherlich auffallen.

Alles klar ich verstehe, du bist der einzig wahre schlaue Mensch und niemand außer dir erkennt die Sinnlosigkeit von Apples Vorgehensweise.

Viel Erfolg noch…

 

[Grettir]

Du irrst. Ich habe nicht erklärt, dass ich irgendetwas erkannt habe, sondern gefragt, was der Sinn dieses Verfahrens ist. Das Problem ist, dass diese Frage bisher niemand beantworten konnte oder jedenfalls niemand sie beantwortet hat. Dafür kann ich nun wirklich nichts.

 

[MacMac512]

Naja @MrChad in #2 und #6 und mehrere andere nochmals.
Wissen plus Besitz.

Es ist unabhängig von deinem Browser, aber ich erkläre es nicht zum x-ten mal nach all den anderen.

 

[aretiss]

Du irrst. Ich habe nicht erklärt, dass ich irgendetwas erkannt habe, sondern gefragt, was der Sinn dieses Verfahrens ist. Das Problem ist, dass diese Frage bisher niemand beantworten konnte oder jedenfalls niemand sie beantwortet hat. Dafür kann ich nun wirklich nichts.

Der Sinn des Verfahrens ist die Erhöhung der Sicherheit sowie das Erschweren des Zugangs Fremder zu Deiner Apple ID etc.

Hat jemand Dein Gerät UND Dein Wissen, so hat er beide Faktoren und somit Zugang zu Deinen Daten etc. Hat er nur eines von beiden, eben nicht!

 

[Grettir]

Ja. Stimmt. Wenn einer mein Gerät und das Passworts hat, hat er Zugang. Und wo ist nun die zusätzliche Sicherheit, wenn ihm ein weiteres Passworts gesagt wird, das er eingeben soll?

 

[lulesi]

Bei der Absicherung durch ein normales Passwort hat jeder Zugriff der das Passwort durch Phishing, Raten oder durch einen Datendiebstahl erfahren hat.

Durch die 2-Faktor Authentifizierung, nutzt das geklaute Passwort alleine gar nichts, da der zweite Faktor
an Dein Gerät oder Geräteverbund gebunden ist. Das ist eine massive Steigerung der Sicherheit.

Wenn einer dein Gerät und dein Password hat nützt ihm selbst das nichts,
da der Code auch noch durch deine biometrische Daten bzw. durch einen weiteren Pin
geschützt ist.

Erst wenn er deinen Pin auch noch hat, ist das System ausgehebelt.

Damit fallen schon einmal Millionen von Phisingverbrechern auf der ganzen Welt als erfolgreiche
Angreifer aus, und es bleiben nur noch eine Handvoll Angreifer aus dem persönlichen Umfeld übrig.