Abo
  • Services:

Meister der Schlüssel

Eine weitere Möglichkeit für ein sicheres Login ist es, spezielle Hardware zu verwenden. Für Privatanwender bieten sich dabei vor allem Schlüssel an, die Einmalpasswörter erstellen. Diese werden auf Knopfdruck beim Login-Vorgang erzeugt und an den Seitenbetreiber übergeben. Nach einmaliger Benutzung ist das erstellte Passwort verbraucht und kann nicht erneut genutzt werden.

Stellenmarkt
  1. Neoperl GmbH, Müllheim
  2. Heinrich-Heine-Universität Düsseldorf, Düsseldorf

Der Vorteil solcher Geräte, die zum Beispiel unter dem Namen Yubikey oder Nitrokey vertrieben werden: Sie ermöglichen auch auf unvertrauten Geräten ein sicheres Login. So können zum Beispiel im Internetcafé im Urlaub E-Mails sicher abgerufen werden. Selbst wenn ein Keylogger mitläuft, ist die Information wertlos, da sie nur einmal zum Einloggen genutzt werden kann.

E-Mail-Account absichern

Wir verwenden zur Demonstration ein vom Mailprovider Mailbox.org bereitgestelltes Exemplar. Wählen wir beim E-Mail-Dienst das Login via Einmalpasswort aus, müssen wir zudem eine PIN festlegen. Auf Wunsch kann im Menü des Dienstes eingestellt werden, dass das Login nur noch via Einmalpasswort mit Yubikey durchgeführt werden kann, dann ist der Zugriff auf die E-Mails via IMAP oder POP3 aber nicht mehr möglich. Die gängigste Methode dürfte also sein, den Zugriff über die Weboberfläche mit dem Yubikey zu sichern, während der IMAP-Zugang weiterhin mit einem klassischen Passwort abgesichert ist.

Beim Login muss dann zuerst die PIN in das Passwortfeld eingegeben werden, danach wird per Druck auf den Yubikey das erzeugte Passwort eingetragen. Nutzer sollten beachten, dass sie sich bei Verwendung eines Yubikeys immer explizit abmelden, bevor sie das Browserfenster mit dem E-Mail-Dienst schließen. Das ist ohnehin zu empfehlen, bei Verwendung eines Yubikeys aber besonders wichtig, um die aktuelle Session offiziell zu beenden. Loggen sich Nutzer nicht aus, erscheint nach der nächsten Anmeldung eine Fehlermeldung und das Login muss erneut durchgeführt werden.

Hardwareschlüssel wie der Yubikey können noch mehr, als nur Einmalpasswörter zu generieren. Damit können auf einigen Geräten auch PGP-Schlüssel erzeugt und gespeichert und so eine sichere Aufbewahrung des Schlüsselmaterials gewährleistet werden. Einige Yubikey-Modelle verfügen zudem über NFC-Funktionalität und können so zum Eingeben sicherer Passwörter auf Smartphones genutzt werden, was ansonsten eine Qual ist.

  • Der Yubikey von Yubico ermöglicht die Verwendung von One-Time-Passwörtern. (Bild: Yubico)
  • Auf älteren Geräten bietet Apple nur eine Verifikation per SMS an. (Bild: Apple)
  • Die am meisten verwendete App für Zwei-Faktor-Authentifizierung ist Googles Authenticator. (Bild: Google)
  • Die am meisten verwendete App für Zwei-Faktor-Authentifizierung ist Googles Authenticator. (Bild: Google)
  • Auf neueren Geräten hat Apple Zwei-Faktor-Authentifizierung ins Betriebssystem integriert. (Bild: Apple)
  • Auf neueren Geräten hat Apple Zwei-Faktor-Authentifizierung ins Betriebssystem integriert. (Bild: Apple)
  • Dienste wie Mailchimp unterstützen die Authentifizierung mit Dritt-Apps wie Google Authenticator. (Bild: Mailchimp)
Der Yubikey von Yubico ermöglicht die Verwendung von One-Time-Passwörtern. (Bild: Yubico)


Besonders für Smartphones zu empfehlen ist die Verwendung in Kombination mit einem Passwortmanager wie Lastpass oder Keepass. Um die Entsperrung des Passwortspeichers via Yubikey durchführen zu können, wird bei Lastpass die Pro-Version benötigt, die rund 12 Euro pro Jahr kostet. In Verbindung mit der App Yubico-Authenticator können die Hardwareschlüssel auch bei Diensten eingesetzt werden ist, die die Geräte selbst nicht explizit unterstützen.

Auch ein Yubikey kann Fehler haben

Auch Yubikeys sind nicht frei von Fehlern. Im Jahr 2015 gab es ein Problem, bei dem Angreifer auch ohne Eingabe der PIN-Nummer sicherheitsrelevante Aktionen durchführen konnten. Aus Sicherheitsgründen kann die Firmware auf den Geräten nicht aktualisiert werden, um Manipulationen auszuschließen. In einem solchen Fall bleibt also nur der Austausch des Gerätes. Die Einmalpasswort-Funktion war von dem Fehler allerdings nicht betroffen.

In der Hackercommunity hat Yubikey-Hersteller Yubico durch den Wechsel auf einen geheimen Quellcode Sympathien verspielt. Wen das stört, für den bieten sich als alternative Geräte des in Berlin ansässigen Herstellers Nitrokey an.

Der Überblick zeigt: Die Einrichtung von Zwei-Faktor-Authentifizierung ist auch für Nichtprofis machbar. Der Bedienkomfort leidet kaum unter der zusätzlichen Sicherheit, da die Bestätigungscodes im normalen Betrieb selten abgefragt werden, sondern nur, wenn ein Login von einem unbekannten Gerät aus erfolgt. Obendrauf gibt es das gute Gefühl, dass selbst nach dem nächsten Passwortleak nicht sofort der eigene Account übernommen werden kann.

 Google Authenticator und ähnliche Apps
  1.  
  2. 1
  3. 2
  4. 3


Anzeige
Spiele-Angebote
  1. 59,99€ mit Vorbesteller-Preisgarantie
  2. (u. a. Assassin's Creed Origins PC für 29€)
  3. 12,99€

IchBIN 12. Dez 2016

Naja, das Problem ist, dass sie die Daten selbst haben wollen, um sie schützen zu...

Anonymouse 07. Dez 2016

Genau so ist es. Habs gerade aktiviert.

My1 06. Dez 2016

mach mal 4 Jahre draus, meine erste experience mit 2FA war Nov 2012 mit google, hab sogar...

eXeler0n 06. Dez 2016

Nur wer macht das? :-D

My1 06. Dez 2016

also für die beta von NC11 gibts U2F als addon, hab ich als test, braucht noch hilfe...


Folgen Sie uns
       


The Crew 2 - Fazit

The Crew 2 bietet zum Teil wahnwitzige Neuerungen, stolpert im Test aber trotzdem über alte Fehler.

The Crew 2 - Fazit Video aufrufen
Nasa-Teleskop: Überambitioniert, überteuert und in dieser Form überflüssig
Nasa-Teleskop
Überambitioniert, überteuert und in dieser Form überflüssig

Seit 1996 entwickelt die Nasa einen Nachfolger für das Hubble-Weltraumteleskop. Die Kosten dafür stiegen seit dem von 500 Millionen auf über 10 Milliarden US-Dollar. Bei Tests fiel das Prestigeprojekt zuletzt durch lockere Schrauben auf. Wie konnte es dazu kommen?
Von Frank Wunderlich-Pfeiffer

  1. Nasa Forscher entdecken Asteroiden, bevor er die Erde erreicht
  2. Nasa 2020 soll ein Helikopter zum Mars fliegen
  3. Raumfahrt Nasa startet neue Beobachtungssonde Tess

Blackberry Key2 im Test: Ordentliches Tastatur-Smartphone mit zu vielen Schwächen
Blackberry Key2 im Test
Ordentliches Tastatur-Smartphone mit zu vielen Schwächen

Zwei Hauptkameras, 32 Tasten und viele Probleme: Beim Blackberry Key2 ist vieles besser als beim Keyone, unfertige Software macht dem neuen Tastatur-Smartphone aber zu schaffen. Im Testbericht verraten wir, was uns gut und was uns gar nicht gefallen hat.
Ein Test von Tobias Czullay

  1. Blackberry Key2 im Hands On Smartphone bringt verbesserte Tastatur und eine Dual-Kamera
  2. Blackberry Motion im Test Langläufer ohne Glanz

VR-Rundschau: Retten rockende Jedi-Ritter die virtuelle Realität?
VR-Rundschau
Retten rockende Jedi-Ritter die virtuelle Realität?

Der mediale Hype um VR ist zwar abgeflaut, spannende Inhalte dafür gibt es aber weiterhin - und das nicht nur im Games-Bereich. Mit dabei: das beliebteste Spiel bei Steam, Jedi-Ritter auf Speed und ägyptische Grabkammern.
Ein Test von Achim Fehrenbach

  1. Oculus Core 2.0 Windows 10 wird Minimalanforderung für Oculus Rift
  2. Virtual Reality BBC überträgt Fußball-WM in der virtuellen VIP-Loge
  3. VR-Brillen Google experimentiert mit Lichtfeldfotografie

    •  /