Cody: Zwei Faktor Authentifizierung

[Tutorialwork]

Hallo,

ich möchte euch meine App Cody vorstellen. Cody ist eine zwei Faktor Authentifikator App.
Mit einem zwei Schritte Login könnt ihr eure Accounts zusätzlich absichern da zwei Faktoren benötigt werden um sich in den Account einzuloggen (Passwort und Code aus der App).

Aktiviert dazu einfach in einem beliebigen Account die zwei Schritte Verifizierung und wählt Authenticator App. Die Seite zeigt einen QR-Code an der mit meiner App Cody gescannt werden kann. Wenn ihr euch dann das nächste Mal einloggen möchtet, müsst ihr einfach nur zusätzlich den Code aus der App mit einem Klick auf die Karte kopieren und eingeben.

Außerdem bietet Cody auch die Möglichkeit neue sichere Passwörter zu erstellen sowie zu überprüfen, ob ein vorhandenes Passwort sicher ist. Dazu wird überprüft, ob das eingegebene Passwort bereits in einem Datenleck gefunden wurde.

Außerdem werden die Accounts mit der eigenen iCloud synchronisiert und sind so auf allen Apple Geräten verfügbar.

📱Download: https://apps.apple.com/de/app/cody-two-factor-authenticator/id1580806194

 

[noodyn]

Da diese Funktion in den meisten Passwortmanager-Apps enthalten ist, sehe ich keinen Vorteil, dies als separate App zu haben.

 

[Tutorialwork]

Wenn du diese Funktion im Passwortmanager benutzt ist der Vorteil eines zweiten Faktors nicht gegeben. Wenn man nämlich Zugriff auf den Passwortmanager erhält hat man auch automatisch Zugriff auf die Codes, aber wenn das in einer extra App ist nicht da man dann das iPhone mit der App auch haben muss und nicht nur das Masterpasswort von dem Passwortmanager.

 

[nussratte]

Wenn ich im Besitz deines iPhones mit deiner cody App bin, kann ich auch alles machen.

ob ich jetzt Zugriff auf einen passwortmanager habe oder auf die 2faktor App ist dabei belanglos

da die 2FA auf Besitz, Wissen und/oder Inhärenz beruht und wenn deine App auf Besitz (das iPhone/App) und wissen (einen Code) beruht ist es genau so zu nutzen und sicher wie der PW Manager

 

[Tutorialwork]

Wenn du halt die Codes aus dem Passwortmanager verwendest hast du alles an einem Ort was zwar komfortabel klingt aber nicht der Sinn eines zweiten Faktors ist. Ich meinte das man wenn das Masterpasswort herausgefunden wird dann hat man zusätzlichen Schutz da in diesem Passwortmanager auch noch die 2FA Codes sind.

 

[nussratte]

Wenn ich mich hier bei Macuser einloggen will (mit meinem MacBook) und Zugriff auf dein iPhone mit deiner App habe, dann kann ich mich hier einloggen.

wenn ich das gleiche mit einem pw Manager machen will der auf meinem iPhone ist muss man im Besitz des iPhones sein UND das Master pw wissen

ich sehe keinen Vorteil deiner App

 

[gishmo]

Was ist der Unterschied zum Google Authentificator bzw. MS Authentificator?

 

[ruerueka]

Die Diskussion ist so alt wie der MFA-Ansatz (2FA ist ja nur eine Verkürzung). Aus meiner Sicht müssten die Geräte getrennt werden, also Password-Manager auf dem iPad oder Laptop, abgesichert über AuthenticatorApp am Smartphone oder andere getrennte Hardware (Fido Key, Chipkarte / Perso mit extra Lesegerät). Bin aber altmodisch und habe keine Ahnung, wie mir neulich ein Bankmitarbeiter gesagt hat, der unbedingt wollte, dass ich alle Bankingfunktionen auf einem Gerät habe (er hat es aber sehr diplomatisch ausgedrückt)...... er meinte, über die Apps hätten Sie keine Schäden, nur wegen unvorsichtiger Anwender (ich wollte wissen, wie es mit dem Backend aussieht, da war er etwas säuerlich)...
Aber egal, lieber @Tutorialwork, wir sind hier ja technisch interessiert:
- Was macht denn deine App anders als die AuthenticatorApps der großen Anbieter?
- Warum sollte ich bei einem so heiklen Thema lieber auf deine Lösung setzen als auf eine von Microsoft, Google?

 

[Tutorialwork]

Meine App verwendet als Cloud Sync nur die Apple iCloud welches den Vorteil hat das die Daten wirklich nur in der eigenen iCloud sind und ich als Entwickler kein Zugriff darauf habe. Der Google Authenticator hat gar kein Cloud Sync was etwas unbequem ist außerdem kannst du die App auch komplett offline verwenden es werden keine Daten an ein Backend von mir gesendet.

 

[GPTom]

@Tutorialwork hat natürlich absolut recht mit dem trennen von dem MFA Code und dem Kennwort. Die Bequemlichkeit wird trotzdem viele dazu verleiten dies im Kennwortsafe zu speichern. Ich beschaffe mich beruflich mit IT Sicherheit und kann euch sagen das MFA/2FA etwas vom besten ist was es in der letzten Zeit gab. Aber natürlich nur wenn es richtig verwendet wird.

Ausserdem muss man aber natürlich sagen das die Kennwortapps (1Password, Dashlane, Enpass, usw.) ja meistens mit FaceID oder ähnlichem geschützt sind. Zusätzlich kommt es dazu das es sehr schwierig ist ein iPhone zu entsperren welches nicht einem selbst gehört.

Die Authenticator Apps sind natürlich alle sehr ähnlich, jedoch sieht die App von dir ganz schön aus.

 

[SignorPfeffer]

Gehöre auch zu den Bequemen, die 2FA jahrelang "falsch" genutzt haben. Ist ja auch praktisch, wenn 1Password beim Ausfüllen des Passworts gleich noch den 2FA in die Zwischenablage packt. Und mMn ist das schon noch deutlich sicherer, als gar kein 2FA zu verwenden, es schützt einen ja immerhin bei einem einfachen Abgreifen des reinen Passworts z.B. per Keylogger oder Phishing. Bekäme jemand Zugriff auf meinen Passwortmanager hätte er sowieso auch Login-Daten zu meinen E-Mail-Adressen und könnte sich mehr oder weniger austoben. Nutze trotzdem mittlerweile Authy für meine 2FA-Codes und bin damit zufrieden. Wünsche dir aber natürlich viel Erfolg mit deiner App, lieber TE.

 

[nussratte]

Ich beschaffe mich beruflich mit IT Sicherheit

ja meistens mit FaceID oder ähnlichem geschützt sind

ähm, wenn du das beruflich machst, sollte dir aber klar sein das dies kein zusätzlicher Schutz ist sondern eine Bequemlichkeit.
Weil FaceID nicht die Eingabe eines PWs ersetzt sondern die Eingabe deines PWs für dich übernimmt.
Wenn FaceID nicht klappt oder man es weg drückt gibt man ganz normal das PW ein.
das auch jeder andere haben kann der nicht dein Gesicht hat

 

[GPTom]

Natürlich ist mir das klar. Ich wollte damit nur sagen das man nicht einfach auf Homepage oder APP XY geht und das Kennwort wird Automatisch ausgefüllt. Es braucht jedesmal entweder FaceID / TouchID oder eben das Master Kennwort. Wenn dieses natürlich 1234hallo ist na dann

Aber sind wir mal ehrlich, wie hoch ist die Chance das du an ein entsperrtes iPhone eines fremden kommst? Eines bekannten ja, aber das ist dann wohl Vertrauenssache. Aber das Handy eines fremden ist wohl so gut wie immer gesperrt und wenn man auf dem eigenen iPhone die Sicherheitsfunktionen (Code + FaceID / TouchID) sowie die Automatische Sperrung nicht einrichtet dann gehören da auch keine Kennwörter drauf.

Ich denke FaceID / TouchID ist für viele ein Sicherheitsgewinn, da Sie vorher aus bequemlichkeit einfach gar keine Sicherheit eingerichtet hatten. Jetzt ist es ja einfach dann nutze ich es auch.

Ich kann mich erinnern, bis zum iPhone 5 hatten sehr viele meiner Kollegen keinen Code auf dem iPhone, weil ist ja aufwändig, jetzt hat JEDER FaceID / TouchID aktiv. JEDER!