Frage zu 2 Auth

[Zapfel]

Hallo,

ich habe 2 Auth aktiviert, aber der Sinn erschließt sich mir nicht, da der Sicherheitscode immer auch an das Gerät gesendet wird, wo er eingegeben werden soll.

 

[win2mac]

dann gib halt ne andere Telnr. an

 

[Dextera]

Dann erschließt sich dir der Sinn von 2FA wirklich nicht … es soll ja mittels zweitem(!) Faktor authentifiziert werden. Heißt halt auch, dass du da natürlich nicht das gleiche Gerät verwenden sollst.

 

[Zapfel]

Anfangs kamen die Codes auch nur aufs iPhone bzw. iPad. Nun landen sie zusätzlich auch auf dem MB.

 

[ruerueka]

Selbst wenn du zb nur ein iPhone hast, schützt du mit 2FA deinen iCloud Zugang über das iPhone. D.h. Um den Besitz zu über, benötigt man Nichtsnutzen dein Passwort, sondern auch dein Telefon.

 

[AgentMax]

Nun landen sie zusätzlich auch auf dem MB.

Die landen auf jedem vertrauenswürdigen Gerät von dir. So soll es sein.

Hat jemand dein Gerät, dein Gerätekennwort und auch dein Passwort hast du andere Probleme. Davor schützt 2 Faktor natürlich nicht.

 

[magfoo]

Hat jemand dein Gerät, dein Gerätekennwort und auch dein Passwort hast du andere Probleme. Davor schützt 2 Faktor natürlich nicht.

Eigentlich soll der 2. Faktor genau davor schützen und deswegen nutzt man auch einen zweiten Kanal für diesen oder gleich einen HW-Tokengenerator.

Besser: er schützt natürlich nicht davor, aber davor, dass der neue "Besitzer" deines Passwortes und/oder Gerätes dieses auch nutzen kann.

 

[AgentMax]

Nein. 2FA schützt davor dass jemand deinen Usernamen und Passwort hat und so in deinen Account kommt. ZB durch Pishing.

Hat er zusätzlich dein Gerät + Gerätepasswort ist das nichts was 2FA schützen kann/soll.

 

[Killerkaninchen]

Nein. 2FA schützt davor dass jemand deinen Usernamen und Passwort hat.

Genau gesagt: vor den Folgen, falls jemand Usernamen und Passwort kennt.

 

[magfoo]

Nein. 2FA schützt davor dass jemand deinen Usernamen und Passwort hat und so in deinen Account kommt. ZB durch Pishing.

Hat er zusätzlich dein Gerät + Gerätepasswort ist das nichts was 2FA schützen kann/soll.

eh. doch.
es geht darum, dass eben ein Faktor immer noch geheim ist. Das ist entweder dein Passwort, oder dein OTP.
Mit dem Gerät und dem Passort kann er nämlich ohne dem 2. Faktor nichts machen.
Nutzt du natürlich dein Smartphone als Tokengenerator (OTP, Gesichtserkennung, Fingerabdruck) und hast dein Passwort gespeichert, dann ist der Schutz natürlich weg.
Sas Gerät mit dem Gerätepasswort nutzt dem Dieb nichts, wenn man den 2.Faktor davon getrennt hat, da er auf nichts zugreifen kann.
Deswegen trennt man den OTP-Generator von dem Endgerät, auf welchen er eingegeben werden soll.

 

[AgentMax]

eh. doch.
es geht darum, dass eben ein Faktor immer noch geheim ist. Das ist entweder dein Passwort, oder dein OTP.
Mit dem Gerät und dem Passort kann er nämlich ohne dem 2. Faktor nichts machen.
Nutzt du natürlich dein Smartphone als Tokengenerator (OTP, Gesichtserkennung, Fingerabdruck) und hast dein Passwort gespeichert, dann ist der Schutz natürlich weg.
Sas Gerät mit dem Gerätepasswort nutzt dem Dieb nichts, wenn man den 2.Faktor davon getrennt hat, da er auf nichts zugreifen kann.
Deswegen trennt man den OTP-Generator von dem Endgerät, auf welchen er eingegeben werden soll.

Bei dem 2 Faktor geht es nicht ums Gerät, sondern darum dass man zum Passwort einen zweiten Faktor nimmt falls dieses abhanden kommt.
Wenn dein vertrautes Gerät geklaut wird, wird dein zweiter Faktor mit geklaut.
Im Bezug auf das Eingangsposting passt alles da das Gerät zum zweiten Faktor wurde.
Und das kann und soll sie eben nicht auffangen.

 

[magfoo]

Wenn dein vertrautes Gerät geklaut wird, wird dein zweiter Faktor mit geklaut.
Im Bezug auf das Eingangsposting passt alles da das Gerät zum zweiten Faktor wurde.
Und das kann und soll sie eben nicht auffangen.

Deswegen darf das Gerät ja nicht der zweite Faktor sein.
Genau das Abhandenkommen des Passwortes geschieht doch, wenn das Gerät inklusive Gerätepasswort bei jemand anderem landet.
Wenn dann natürlich das Gerät auch noch der zweite Faktor ist, dann hat man etwas falsch gemacht, da die beiden Faktoren "Wissen" und "Besitz" vermischt wurden zu einem gemeinsamen Token.

Tokengeneratoren gibt es für sehr wenig Geld.
Aber selbst die Banken "verkaufen" ihren Kunden ja eine Banking-app und einen OTP-App für das selbe Endgerät und stellen parallel die Smartcard-Funktion ein.