macOS Keychain Passwörter in Lokale Objekte schützen?

[Kir3k]

Hallo zusammen,

ich möchte für meine Passwörter die macOS (11.3) Keychain verwenden, vorerst noch ohne iCloud Sync. Das habe ich testweise ausprobiert. Die Passwörter werden in der Keychain unter Lokale Objekte gespeichert. Wenn ich die Passwörter einsehen möchte muss ich mein Anmeldepasswort eingeben. Allerdings kann ich die Passwörter auf den entsprechenden Seiten in Safari direkt einsetzen lassen ohne das Anmeldepasswort einzugeben.

Ist das so beabsichtigt bzw. kann ich das ändern? In der Schlüsselbundverwaltung ist der Menüpunkt "Einstellungen" für Lokale Objekte ausgegraut. Lässt sich konfigurieren, dass auch bei Verwendung eines Passworts in Safari zuerst das Anmeldepasswort eingegeben werden muss? Das wäre mir zumindest bei sensible Passwörtern lieber. Oder mache ich mir hier zu viele Gedanken?

VG, Kir3k

 

[noodyn]

Ist das so beabsichtigt bzw. kann ich das ändern?

Der Schlüsselbund wird mit der Anmeldung deines Benutzers entsperrt, daher kann Safari die Objekte direkt einsetzen. Du kannst aber als Benutzer nicht sehen, wie die Passworte lauten. Damit ist es nicht möglich, die Anmeldungen vom jeweiligen System ohne Admin-Rechte auszulesen oder zu übertragen.

 

[masta k]

du wirst am mac einen 2. benutzer einrichten müssen oder auf einen anderen browser umsteigen (FF zb. hat ein masterpasswort)

 

[walfreiheit]

Wenn du nicht am Rechner bist, sperre ihn. Jeder Nutzer des Rechner hat grundsätzlich seinen eigenen Benutzerzugang.

 

[Kir3k]

Vielen Dank für die schnellen Antworten.

Heißt das, dass die Keychain für sensible Zugänge wie z.B. Online Banking nicht optimal geeignet ist? Mein Rechner wird gesperrt wenn ich ihn nicht nutze. Ich dachte vor allem an Angriffe durch Malware oder unberechtigtem Fernzugriff. Ein Angreifer könnte dann zwar die Passwörter nicht direkt einsehen (sofern er das Anmeldepasswort nicht kennt) könnte aber in Safari die Logins benutzen. Muss ich mir hier Sorgen machen?

Was mich halt irritiert: macOS verlangt bei vielen Aktionen wie dem Ändern von bestimmten Systemeinstellungen das Anmeldepasswort, aber ausgerechnet bei der Verwendung der in der Keychain gespeicherten Passwörter geht's dann ohne.

VG, Kir3k

 

[walfreiheit]

Doch, die Passwörter sind sehr gut geschützt. Du machst dir unnötig einen Kopf.

 

[noodyn]

die Passwörter sind sehr gut geschützt

Naja, ich finde das Konzept auch etwas löchrig. Klar ist ein erfolgreicher Angriff sehr unwahrscheinlich, aber ich setze trotzdem lieber 1Password ein.

 

[walfreiheit]

Jetzt aber rein und nur wegen hypothetischen Angriffsmöglichkeit auf eine andere Software zu wechseln ist doch Unsinn.

 

[Kir3k]

Habe wegen der Sache noch mal weiter recherchiert: mit einem Touch-ID Mac würde das von mir gewünschte Verhalten wohl funktionieren. Dort kann Touch-ID für die Freigabe des Autofill in Safari benutzt werden. Und wenn es sich um ein Notebook handelt und das Display zugeklappt ist wird laut Apple dann stattdessen das Anmeldepasswort verlangt. Da mein Mac leider kein Touch-ID hat komme ich hier wohl nicht weiter

 

[walfreiheit]

Aber nochmal: Welches Szenario fürchtest du? Dass jemand einbricht, und deinen ungesperten Mac bedient? Und auch dann kann er sich nur mit Safari irgendwo anmelden, nicht das Passwort lesen. Klar, mit TouchID hast du eine Stufe mehr, aber es ist jetzt nicht so, dass du komplett ungesichert bist oder deine Passwörter offen irgendwo für jederman einsehbar wären.

 

[Kir3k]

Aber nochmal: Welches Szenario fürchtest du? Dass jemand einbricht, und deinen ungesperten Mac bedient?

Nein, keinen lokalen Angriff. Aber für mich sieht es so aus als hätte Safari die Möglichkeit, ohne weiteren Schutz auf die Keychain Passwörter zuzugreifen. Sorgen mache ich mir hier was die Ausnutzung möglicher Schwachstellen in Safari selbst angeht. Also kurz gesagt: Hack in Safari = Zugriff auf die Web-Passwörter

 

[walfreiheit]

Wenn diese Lücke wirklich vorhanden wäre, bzw. so bedeutend, dann hätte man da sicherlich schon etwas von gehört.

Aber, wie du magst.

 

[dg2rbf]

Hi,
da ist mal wieder ein besonders paranoischer "User" aktiv .
Franz

 

[bernie313]

Stell doch Autofill für Passworte und Benutzernamen aus, dann sollte das "Problem" doch erledigt sein.

 

[walfreiheit]

Wichtig: Safari füllt die Informationen automatisch für jeden aus, der den Mac mit deinen Anmeldedaten verwendet. Er füllt deine Informationen auch für jeden aus, der deine anderen Geräte verwendet, wenn auf dem Mac und deinen Geräten der iCloud-Schlüsselbund eingerichtet ist.
Zu deiner Sicherheit und zum Schutz deiner persönlichen Daten solltest du deinen Mac so einrichten, dass beim Einschalten des Geräts das Anmeldefenster angezeigt wird und beim Beenden des Ruhezustands oder des Bildschirmschoners das Passwort eingegeben werden muss. Richte dein iPhone, dein iPad und deinen iPod touch so ein, dass zum Aufheben der Bildschirmsperre der persönliche Code eingegeben werden muss.

Tipp: Wenn du auf deinem Mac und anderen Geräten die App „iCloud-Schlüsselbund“ verwendest, um Informationen zu schützen, kannst du zuvor auf diesen Geräten gesicherte Benutzernamen und Passwörter mit der Option „Automatisch ausfüllen“ eingeben lassen.
Benutzernamen und Passwörter werden verschlüsselt in deinem macOS-Schlüsselbund gesichert. Sie werden auch in deinem iCloud-Schlüsselbund verschlüsselt, wenn du ihn auf dem Mac eingerichtet hast.

Wenn du in Safari Benutzernamen und Passwörter entfernst, werden diese aus dem macOS-Schlüsselbund entfernt. Außerdem werden sie auch von allen anderen Geräten entfernt, wenn der iCloud-Schlüsselbund auf deinem Mac und anderen Geräten eingerichtet ist.