Passcode-Sicherheitslücke? Schwachstelle Wiederherstellungsschlüssel?

  • Gefällt mir
Reaktionen: MOM2006
@lunchbreak Diese Diskussion ist so alt wie biometrische Verfahren. Jetzt langsam entwickelt sich die Rechtssprechung genau so wie schon vor Jahren gewarnt wurde. Ein ausgedachtes Passwort ist als geistiges Eigentum geschützt, aber ein Fingerabdruck oder ein Gesicht nicht.
 
  • Gefällt mir
Reaktionen: lunchbreak
MOM2006 schrieb:
edit: das mag zwar etwas abdriften, aber Dienste wie ApplePay oder GooglePay kommen mir nicht ins Haus. Das ist im Kontext ja gleich der nächste Security SuperGAU.
Zum Vergrößern anklicken....

erkläre doch mal technisch, warum Apple Pay ein Security Super Gau sein soll? So mit Fakten. Bin gespannt.
 
  • Gefällt mir
Reaktionen: BEASTIEPENDENT und jteschner
Habe es nun selbst getestet. Tatsächlich kann der 4-stellige Bildschirmzeit-Code genutzt werden um Änderungen an Passcode und Cloud-Passwort zu sperren. Allerdings nur für den Hauptnutzer, für die Kinder in der Familiengruppe kann das iCloud-Passwort auch ohne Bildschirmzeit-Code geändert werden. Diese kann also ein Eindringling aussperren.

Was passiert wenn der Bildschirmzeit-Code falsch eingegeben wird? Das Löschen des Geräts nach 10 Fehleingaben gilt nur für den 6-stelligen Passcode oder auch hierfür? Dann wäre dies die sicherste Variante GEGEN VERLUST eines iPhones (nur dafür):

1) iCloud-Passwort OHNE Wiederherstellungsschlüssel und ohne 2FA
2) 6-stelliger Passcode
3) aktivierter Sperre in Bildschirmzeit, Schutz durch 4-stelligen Bildschirmcode, KEINE Resetmöglichkeit durch iCloud-Passwort auswählen, dann würde ich im Verlustfall das iPhone aus der Ferne löschen können. Sollte der Dieb oder ich den Code 10x falsch eingeben würde das iPhone gelöscht. Der Dieb oder ich könnten es dann neu aufsetzen > d.h. das iPhone wäre ab diesem Zeitpunkt für mich verloren, mein iCloud-Account aber zumindest nicht

Oder?
 
  • Gefällt mir
Reaktionen: lunchbreak und dg2rbf
martincho schrieb:
Der Dieb oder ich könnten es dann neu aufsetzen > d.h. das iPhone wäre ab diesem Zeitpunkt für mich verloren, mein iCloud-Account aber zumindest nicht
Zum Vergrößern anklicken....
Wenn du FIND MY IPHONE aktiviert hast, dann muss der Dieb zum aktivieren des iPhone das iCloud-Passwort des vorherigen Besitzers eingeben...ansonsten hat der Dieb nur einen Briefbeschwerer...so habe ich das verstanden.
 
  • Gefällt mir
Reaktionen: dg2rbf
martincho schrieb:
1) iCloud-Passwort OHNE Wiederherstellungsschlüssel und ohne 2FA
2) 6-stelliger Passcode
3) aktivierter Sperre in Bildschirmzeit, Schutz durch 4-stelligen Bildschirmcode, KEINE Resetmöglichkeit durch iCloud-Passwort auswählen, dann würde ich im Verlustfall das iPhone aus der Ferne löschen können. Sollte der Dieb oder ich den Code 10x falsch eingeben würde das iPhone gelöscht. Der Dieb oder ich könnten es dann neu aufsetzen > d.h. das iPhone wäre ab diesem Zeitpunkt für mich verloren, mein iCloud-Account aber zumindest nicht
Zum Vergrößern anklicken....

1) sollte du definitv so nicht machen und weiterhin für den Account einen Wiederherstellungsschlüssel und 2FA nutzen.

Grund:

2FA schützt den Acount wenn jemand über die Website versucht in deinen Account einzudringen, weil er dein Account-Passwort entweder kennt oder hacken will. 2FA hat hier also gar nichts mit dem beschriebenen Szenario mit dem iPhone zu tun.

Den Wiederherstellungsschlüssel solltest du auch nehmen, musst aber nicht. Wenn du das mit Bildschirmzeit-Code machst, ist dieser Angriffsvektor ja geschützt und ein Dieb kann den nicht neu generieren und dich so nicht aussperren.

Die RESET-Möglichkeit, wie du es nennst, kannst du ruhig machen, da ja durch den Bildschirmzeit-Code eben kein Zugriff darauf besteht.

Klar kannst du nun sagen, dass du nicht weist ob ein Dieb nicht 10.000 mögliche Kombinationen des Bildschrimcodes durchprobiert. Stimmt, diese Möglichkeit gibt es. Ob du die für realistisch hälst musst du entscheiden. Wenn du das tust, bringt dir aber die Sache mit dem Nicht-Anlegen des Wiederherstellungscodes auch nichts, da der Dieb spätestens nach 10.000 Versuchen dein Account-Passwort geändert hat und du so auch nicht mehr rein kommst. Insoweit wären diese Überlegungen also eher sinnlos und du kannst ohne Nachteile auch den Wiederherstellungsschlüssel anlegen.

Gegen den 10.000-Versucher-Angriffsvektor hast du entweder nur den Schutz, wenn Apple das irgendwie verhindert / verzögert / unterbindet (wissen wir alle nicht) oder du bemerkst den Diebstahl frühzeitig und sperrst / löscht das iPhone via icloud.com

Neben dem Grundsatz "Sicherheit vs. Bequemlichkeit" gibt es halt auch: 100% Schutz gegen alle Möglichkeiten gibt es nicht.
 
  • Gefällt mir
Reaktionen: BalthasarBux, dg2rbf und martincho
Danke, klingt nachvollziehbar logisch. Nur wieso 10.000x? Nach 10 Fehlversuchen wird doch iPhone gelöscht und gesperrt?
 
PS: für mich als jemand der viel im Ausland unterwegs ist sind diese „Lücken“ definitiv ein Thema. Ich habe mal meine Airpods liegenlassen und konnte sie zwar noch orten und als verloren melden, aber nicht sperren
 
  • Gefällt mir
Reaktionen: lunchbreak
@martincho : Ein paar Fragen zu Deinen Ausführungen, weil mich das Thema interessiert und ich nicht ganz folgen kann:

martincho schrieb:
Habe es nun selbst getestet. Tatsächlich kann der 4-stellige Bildschirmzeit-Code genutzt werden um Änderungen an Passcode und Cloud-Passwort zu sperren. Allerdings nur für den Hauptnutzer, für die Kinder in der Familiengruppe kann das iCloud-Passwort auch ohne Bildschirmzeit-Code geändert werden. Diese kann also ein Eindringling aussperren.
...
Zum Vergrößern anklicken....
Wie meinst Du das? Du richtest den Bildschirm-Zeit-Code auf dem iPhone Deiner Kinder ein? Direkt am Gerät, oder? Also genau so, wie auch bei Dir auf dem Hauptgerät. Was soll denn da dann anders sein? Sprich, wie muß ich mir vorstellen, daß bei Kenntnis des Passcodes für das iPhone des Kindes, der Dieb trotz Bildschirmzeit-Code den Passcode für das iPhone und auch das PW für die iCloud/Apple-ID ändern kann? Das verstehe ich überhaupt nicht.

Vielleicht verstehe ich es deshalb nicht, weil ich gar nicht weiß/mir gar nicht vorstellen kann, was nach Beantworten oder Frage, ob man den Bildschirmzeit-Code für sich, oder für sein Kind einrichtet, was denn dann im Folgenden anders ist, wenn man "Kind" angibt. Ich habe das wie gesagt bei mir verneint, weil es ja mein eigenes iPhone ist, und dann konnte ich ganz einfach den Bildschirmzeit-Code einrichten. Was ist denn da groß anders, wenn man angibt, es handelt sich um das iPhone des Kindes? Es ist doch so, daß Du das besagte iPhone (das des Kindes) in Deinen Händen hältst und den Bildschirmzeit-Code einrichtest, oder? Ich checke es nicht.


martincho schrieb:
...
Was passiert wenn der Bildschirmzeit-Code falsch eingegeben wird? Das Löschen des Geräts nach 10 Fehleingaben gilt nur für den 6-stelligen Passcode oder auch hierfür? ...
Zum Vergrößern anklicken....
Keine Ahnung. Gute Frage! Ich vermute aber, daß das iPhone NICHT gelöscht wird, wenn man 10 x den falschen Bildschirmzeit-Code angibt. Das wäre ja brutal. Kann ich mir nicht vorstellen.


martincho schrieb:
...
... Dann wäre dies die sicherste Variante GEGEN VERLUST eines iPhones (nur dafür):

1) iCloud-Passwort OHNE Wiederherstellungsschlüssel und ohne 2FA
2) 6-stelliger Passcode
3) aktivierter Sperre in Bildschirmzeit, Schutz durch 4-stelligen Bildschirmcode, KEINE Resetmöglichkeit durch iCloud-Passwort auswählen, dann würde ich im Verlustfall das iPhone aus der Ferne löschen können. Sollte der Dieb oder ich den Code 10x falsch eingeben würde das iPhone gelöscht. Der Dieb oder ich könnten es dann neu aufsetzen > d.h. das iPhone wäre ab diesem Zeitpunkt für mich verloren, mein iCloud-Account aber zumindest nicht

Oder?
Zum Vergrößern anklicken....
1)
Warum OHNE Wiederherstellungsschlüssel? Du meinst die Möglichkeit den Bildschirmzeit-Code wieder über die Apple-ID herzustellen/zurückzusetzen? Das soll ja lt. @lisanet in #59 völlig unkritisch sein. Und wie meinst Du "ohne 2FA"? Im Dialog für die Einrichtung des Bildschirmzeit-Codes gibt es doch gar keine Abfrage oder Einrichungsmöglichkeit für einen zweiten Faktor (2FA) ??

Oh, Moment Du sprichst bei 1) nicht vom Bildschirmzeit-Code, sondern von Deinem PW für deine Apple-ID, richtig?
Da hat man aber doch gar keine Wahlfreiheit, oder? Man muß eine Telefonnummer angeben und wenn man mindestens ein weiteres Apple-Gerät mit dieser Apple-ID hat, dann wird dieses Gerät doch immer als 2FA herangezogen, wenn man sensible Änderungen macht, ob man will oder nicht. Oder?

2)
Geräte-Passcode, ja!

3)
"Sollte der Dieb oder ich den Code 10x falsch eingeben würde das iPhone gelöscht." Welchen Code? Den Geräte-Passcode, den er erspäht hat? Dann ja. Wenn Du den Bildschirmzeit-Code meinst, dann nein - siehe meine Meinung weiter oben.

Danke!
 
lunchbreak schrieb:
Während der Einrichtung bin ich über die Abfrage "Bildschirmzeit-Code-Wiederherstellung" gestolpert. :unsure:

Da kann man, irgendwie, über seine Apple-ID, den Bildschirmzeit-Code wiederherstellen, wenn man ihn vergessen hat. Aber das kommt mir spanisch vor, denn Sinn und Zweck des Ganzen ist doch, daß man Betrügern es schwerer / unmöglich macht, Änderungen z.B. an der Apple-ID / am iCloud-Account, usw., also an den sehr sensiblen Dingen vorzunehmen. Und dafür eben das Bildschirmzeit-Code-Passwort. Wenn der Dieb sich das jetzt einfach wiederherstellen kann, und dann im zweiten Schritt genau jene Datenbereiche (Apple-ID-Account, etc.) zu ändern, von deren Änderung wir ihn via Bildschirmzeit-Code ja abhalten wollen, dann beißt sich da die Katze doch in den Schwanz? Oder?

Auf jeden Fall wird mir das zu komplex mit den vielen Ausnahmen/Wiederherstellungsoptionen, das ist ja wie eine Endlosschleife, ...

Ich richte da bei dem Bidlschirmzeit-Code jetzt keine Rückfall-Option ein. Der Bildschirmzeit-Code für das / die iPhone(s) kommt in den KeePassXC auf dem MacBook und fertig.

Anhang anzeigen 396545Anhang anzeigen 396547
Zum Vergrößern anklicken....

lisanet schrieb:
nee.

Die Apple-ID / Passwort ist doch durch den Bildschirm-Code geschützt. Somit kannst auch nur du den Bildschirm-Code über den Apple-Account neu generieren
Zum Vergrößern anklicken....
OK. Dann könnte man es ja bedenkenlos einsetzen, ...

Mal ne Frage, weiß denn jemand wie "genau" das dann vonstatten geht, diese Wiederherstellung via Apple-ID?
Kommt da eine e-mail auf die Apple-ID und das war's?! Das wäre ja der Gau. :D Wahrscheinlich nicht, aber dennoch: Wie muß man sich das vorstellen "Wiederherstellung durch/mittels Apple-ID"? Ich denke das ist schon wissenswert, wenn wir/man sich schon solche Gedanken macht und bis zu diesem Punkt vorgedrungen ist - ich würde es gern verstehen, wie das dann funktioniert.

Weiß das zufällig jemand?
 
martincho schrieb:
...
... Dann wäre dies die sicherste Variante GEGEN VERLUST eines iPhones (nur dafür):

1) iCloud-Passwort OHNE Wiederherstellungsschlüssel und ohne 2FA
...
Zum Vergrößern anklicken....
lunchbreak schrieb:
...
Oh, Moment Du sprichst bei 1) ... von Deinem PW für deine Apple-ID, richtig?
Da hat man aber doch gar keine Wahlfreiheit, oder? Man muß eine Telefonnummer angeben und wenn man mindestens ein weiteres Apple-Gerät mit dieser Apple-ID hat, dann wird dieses Gerät doch immer als 2FA herangezogen, wenn man sensible Änderungen macht, ob man will oder nicht. Oder?
...
Zum Vergrößern anklicken....
Also ich habe jetzt mal geschaut.

So sieht es bei mir am iPhone (iOS v16.4.1) unter Einstellungen -> oberer Bereich "Apple-ID, iCloud, Medien & Käufe" (*1*) -> Passwort & Sicherheit aus:
Da kann ich bei Zwei-Faktor-Authentizierung nichts ändern. Das steht auf Ein und ist nicht änderbar. Steht da bei Dir denn Aus, @martincho?

AE1.png AE2.png

PS:
(*1*) ich weiß nie, wie man den Bereich eigentlich genau nennt, der direkt ganz oben ist, wenn man auf Einstellungen klickt. Der halt, wo man in seinen Account reinkommt...
 
1) Mit Kindern meine ich die in meiner "Familiengruppe" (das ist bei Einstellungen direkt unterhalb des iCloud-Profils"). Dort kann trotz Sperre für die minderjährigen Gruppenmitglieder das Apple-ID-Passwort geändert werden

2) Was passiert nach 10x falsch eingeben des Bildschirmzeit-Codes? Müsste mal jemand ausprobieren, der Zeit dafür hat

3) ja, 2FA kann man nicht mehr abschalten wenn man es 1x aktiviert hat. Ich entnehme aber den vielen Antworten, dass dies auch sinnvoll ist. Ich meine mich zu erinnern, dass es bei Einführung umstritten war.
 
  • Wow
Reaktionen: lunchbreak
lisanet schrieb:
erkläre doch mal technisch, warum Apple Pay ein Security Super Gau sein soll? So mit Fakten. Bin gespannt.
Zum Vergrößern anklicken....
Vielleicht missverstehe ich auch nur etwas aber:

Wie sicher ist Apple Pay?​

Apple Pay ist sicherer als Kredit‑, Debit‑ oder Prepaidkarten. Du brauchst Face ID, Touch ID oder deinen Code, wenn du mit deinem iPhone, Mac oder iPad oder deiner Apple Watch bezahlen möchtest. Deine Kartennummer und deine Identität werden nicht an Händler weitergegeben und deine Kartennummern selbst werden nicht auf deinem Gerät oder auf Apple Servern gespeichert.
Wenn du in Geschäften bezahlst, sendet weder Apple noch dein Gerät deine Kartennummer an Händler. Wenn du online in Safari oder in Apps bezahlst, erhält der Händler nur die Daten, die du weitergibst, damit deine Bestellung bearbeitet werden kann, wie etwa deinen Namen, deine E‑Mail Adresse sowie die Rechnungs‑ und Lieferadresse.
Wenn du mit einer Kredit-, Debit- oder Prepaidkarte bezahlst, werden von Apple keine Daten zu deiner Transaktion gespeichert, die auf dich zurückführen könnten.
Zum Vergrößern anklicken....
Quelle: Apple Pay - Apple (AT)

Wenn ich also den PIN Code von dem jeweiligen iPhone habe, ist es eine Katastrophe, wenn einer damit die AppleID undwiderbringlich übernimmt. Das er bei Apple Pay aber scheinbar Biometrisch oder mit PIN Code zahlen könnte ist wurscht und für dich kein SuperGAU? Selbst wenn es nur die Biometrie wäre, sowie ich das Gerät habe, die AppleID und alles, kann ich ja auch die Biometrie ersetzen. Oder übersehe ich jetzt irgendwas Phänomenales, das Apple hier noch als zusätzliche Sicherung verbaut hätte? Bei normalen KK Zahlungen gibts ja noch sowas wie Mastercard ID oder Secure Code als weiterer Faktor zusätzlich zu den KK-Daten, die ich erstmal haben muss. Bei Apple Pay reicht doch im Prinzip der Besitz des jeweiligen Applegeräts, das ich bedienen können muss.
 
  • Gefällt mir
Reaktionen: dg2rbf
OK. Danke für die Rückmeldung.

martincho schrieb:
1) Mit Kindern meine ich die in meiner "Familiengruppe" (das ist bei Einstellungen direkt unterhalb des iCloud-Profils"). Dort kann trotz Sperre für die minderjährigen Gruppenmitglieder das Apple-ID-Passwort geändert werden
...
Zum Vergrößern anklicken....
Mußt jetzt nicht antworten, ich will es auch nicht übertreiben, aber ich kann mir das unter 1) einfach bildlich nicht vor Augen führen. Wahrscheinlich, weil ich die Situation und somit die besagte Ansicht im iPhone so nicht habe.

Aber sagst Du echt, daß am iPhone-Gerät Deiner Kinder, diese (trotz Bildschirmzeit-Code!) in Einstellungen -> oberer Bereich "Apple-ID, iCloud, Medien & Käufe" gehen können? Das allein ist doch eigentlich schon verhindert und ausgegraut wenn man den Bildschirmzeit-Code an seinem eigenen iPhone aktiviert hat!? Zumindest ist es bei mir so. Am eigenen iPhone. Bildschirmzeit-Code an -> und der obere Bereich ist ausgegraut! Siehe #56!
... und dann weiter können sie dort irgendwo das Apple-ID-Passwort ändern?? Ja? Und wenn ja, ist das dann ihr eigenes für Ihr eigenes Apple-ID-Konto, oder ist dort Dein Apple-ID-Konto samt Passwort (als Elternteil) hinterlegt? Letzteres weiß ich halt nicht, weil wir das so nicht haben.

Wie gesagt, Feinheiten, nur aus Interesse. ABER Schockierend ist es trotzdem.

Gruss
 
nein ich kann deren Apple-ID an MEINEM iPhone ändern, nicht an deren, TROTZ Sperre in Bildschirmzeit
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben Unten