Warum mal lieber die alte Zwei-Faktor-Authentifizierung von Apple nutzen sollte

[allesinmac]

Letztens habe ich ja im Mac-TV Chat erwähnt das nun jeder die neue Zwei-Faktor-Authentifizierung aktivieren kann, wie heise berichtet hat.

Neu ist, dass man nun nicht mehr auswählen muss auf welches Gerät der jetzt 6-stellige Code gesendet werden soll. Stattdessen zeigen einfach alle bekannten Geräte (wenn man es so auswählt) an (auch auf dem Mac). Bevor man den Code sieht, erfährt man auch über eine kleine Map-Karte von wo der User den Code angefordert hat. Klickt man dann auf "OK", wird der eigentliche Code angezeigt, den man nach dem Passwort noch zusätzlich eingeben muss.

Eigentlich ist das so ganz schön gelöst, wäre da nicht in meinen Augen die kleine "Sicherheitslücke".



Bei der alten Zwei-Faktor-Authentifizierung, wo man noch auswählen muss, an welches Gerät der Code gesendet werden soll, gab es ja immer einen Wiederherstellungscode, den man eingeben und gut aufbewahren muss, sollte man sein Passwort mal vergessen haben und oder keinen Zugriff auf die Geräte haben. Dann half nur noch der Wiederherstellungscode. Hat man den nicht mehr, müsste man einen neuen Account anlegen da selbst Apple wohl nichts mehr machen könne. Das ist also ziemlich sicher!

Bei der neuen Zwei-Faktor-Authentifizierung gibt es hingegen keinen Wiederherstellungscode mehr. Und jetzt komme ich zum eigentlichen Punkt!

Ich habe mal geschaut was passiert wenn ich jetzt mein Passwort nicht mehr wüsste und auch keinen Zugriff auf meine Gerät hätte, wo der Code hingeschickt wird. Weil einen Wiederherstellungscode gibt es ja wie gesagt nicht mehr. Und wie geht das jetzt?

Wenn man also auf "Passwort vergessen?" klickt, muss man am Anfang ganz normal die Apple-ID eintragen, also die E-Mail Adresse. Wenn man die neue Zwei-Faktor-Authentifizierung aktiv hat, wird man auf der nächsten Seite aufgefordert, eine bekannte Telefonnummer einzutippen, die man für solche Fälle vorher festgelegt hat. Man sieht über dem Textfeld auch die Nummer, allerdings nur die letzen zwei Ziffern.

Und genau jetzt kommt die "Sicherheitslücke"!

Weiß man nämlich nicht mehr seine Telefonnummer (oder der Hacker), kann man unter dem Textfeld einfach auf "Sie kennen diese Telefonnummer nicht?" klicken. Dann erscheint ein Info-Fenster wo man die Möglichkeit hat (jeder), die Zwei-Faktor-Authentifizierung einfach zu deaktivieren (auch der Hacker, wenn er mich gut kennt)!



Das geht nämlich ganz einfach über die Sicherheitsfragen (!), die man vorher festgelegt hat. Man klickt also auf den Link "Zwei-Faktor-Authentifizierung deaktivieren" und muss vorher noch sein Geburtsdatum eingeben. Beantwortet man nun auf der nächsten Seite die zwei Sicherheitsfragen (worauf man ja kommen kann wenn man die Person etwas kennt und keine wirkliche Sicherheit garantiert), kann er im nächsten Schritt einfach ein neues Passwort vergeben und hat zugleich die Zwei-Faktor-Authentifizierung deaktiviert, ohne das ich dies noch verhindern könnte. Wenn ich es merke, ist es vermutlich schon zu spät und er hat all meine Daten.

Das finde ich einfach sehr bedenklich, dass man nur anhand des Geburstsdatum und der Sicherheitsfragen einfach mal ganz einfach die Zwei-Faktor-Authentifizierung abschalten und auch das Passwort ändern kann. Dann nützt dieser zusätzliche Schutz überhaupt gar nichts wenn man über diesen Weg doch zum Ziel kommt (wie gesagt, vorausgesetzt man kennt die Person gut). Sowas sollte die Zwei-Faktor-Authentifizierung ja eigentlich abfangen.

Mein Tipp ist also: Lasst lieber erstmal die alte Zwei-Faktor-Authentifizierung aktiv (die wird auch noch angeboten - direkt über id.apple.com einrichten - nicht über dem Mac oder iOS Gerät), wo man noch einen Wiederherstellungscode braucht. Wenn man diesen nicht hat, kann man das Passwort und die Zwei-Faktor-Authentifizierung nicht zurücksetzen. Ist so also viel sicherer!

[chrisja]

Du schreibst:

Beantwortet man nun auf der nächsten Seite die zwei Sicherheitsfragen (worauf man ja kommen kann wenn man die Person etwas kennt und keine wirkliche Sicherheit garantiert)

Da liegt der Hase im Pfeffer meiner Ansicht. Viele User gehen wohl davon aus, dass man auf die Sicherheitsfrage: Name deines ersten Haustiers? wahrheitsgemäß antworten muss. Antwortet man hier wahrheitsgemäß z.B. "Bommel", kann man sowas als Hacker natürlich herausfinden. Also Tipp -> Sicherheitsfragen NIE wahrheitsgemäß beantworten, sondern wie ein Passwort verwenden -> Name deines ersten Haustiers? Antwort: GZ667!_?GF

Gruß chrisja

[Jörn]

Interessanter Artikel, allesinmac!

Danke!

[allesinmac]

chrisja: Wenn man sich an diese "Antwort" noch erinnern kann ist es natürlich sicherer, das stimmt .

[cordcam]

Kann man ja aufschreiben und verschließen.

ist also dann im Grunde das gleiche, wie vorher der Wiederherstellungscode.

[Daniel]

Wenn jemand gezielt dir etwas Böses will, mag das ein Problem sein. Hacks sind aber i. d. R. wertlos, wenn sie nicht skalierbar sind.
Hacker sammeln auch nicht Fingerabdrücke an Gläsern um dann Fake-Finger herzustellen und iPhones zu entsperren. Viel lieber suchen Sie unsichere Website/Dienste um massenweise Passwörter/Zugangsdaten abzugreifen.

[QWallyTy]

Moin,

ja finde ich auch etwas seltsam.

Wird also mein Mac geklaut sieht der Dieb meinen 2FA Code sofern ich das gestohlene Gerät nicht schon remiote wiped habe?

Da find zumindest ich die bisherige Lösung in der der Code nur an ausgewählte Devices geschickt wird besser.

Zu den Sicherheitsfragen:

Da habe ich mir schon ne Weile bevor 2 Faktor Standard wurde nette Sachen eingeprägt die mit den Fragen aber auch wirklich gar nichts zu tun haben und drum auch nicht so leicht knackbar sein sollten.

[fcbayernsupporter]

Vielen Dank für die Informationen zur 2FA.
Hatte bisher die alte 2FA und bin vor ein paar Tagen auf die neue umgestiegen.

Bin also mit meiner Skepsis nicht alleine. Dass nun alle verifizierten Geräte den Code übermittelt bekommen, ließ mich bei der Umstellung schon aufhorchen. Ist auf der einen Seite ein Sicherheitsrisiko, wenn mir ein Gerät abhanden gekommen ist bzw. jemand anderes kurzzeitig physischen Zugriff darauf hat. Auf der anderen Seite allerdings auch ein Vorteil, weil man dadurch direkt auf allen Geräten sieht, dass jemand anderes sich Zugang zur AppleID verschaffen will. Aber trotzdem: ich fand die vorherige Lösung sicherer.

Dazu nun noch der Hinweis von allesinmac.

Apple, bitte nachbessern!

Ich lege mir das mal auf Wiedervorlage. Wenn sich nichts ändert, werde ich die Antworten auf die Sicherheitsfragen ändern.

[cordcam]

Ich verstehe den Unterschied zwischen alt und neu gar nicht und könnte jetzt auch gar nicht sagen, was ich habe. Ich habe schon länger diese zweistufige Sache und erkenne nicht, dass ich irgendetwas ändern kann. Finde ich jetzt total verwirrend. Das ist bei Sicherheitsfragen natürlich genau das Gefühl, was ich haben will....

[saxophonmusikant]

Ein GROSSER Unterschied ist, dass jetzt ENDLICH auch die Macs "mitmachen".
Die "alte" "zweistufige Authentifizierung" ( https://support.apple.com/de-de/HT204152 ) hat nämlich nienieniemals einen Bestätigungscode an einen Mac senden können bzw. es war nicht möglich, dass ein Mac ein "vertrauenswürdiges Gerät" ist. Zumindest habe ich das nie hinbekommen.

Das ist jetzt anders. Allesinmac hat das zwar erwähnt, ich möchte aber besonders darauf hinweisen!

Der Umstieg von der alten auf die neue "Zwei-Faktor-Authentifizierung" ( https://support.apple.com/de-de/HT204915 ) funktioniert aber offenbar nur, wenn man erstmal die alte über die Seite appleid.apple.com (offenbar jüngst komplett überarbeitet, und Vorsicht!: Bei der Eingabe der Apple-ID ist Groß- und Kleinschreibung relevant, ich war sehr irritiert) DEAKTIVIERT!.
Dazu muss man dann lästigerweise erstmal wieder 3 Sicherheitsfragen anlegen, die ja auch die "Sicherheitslücke" darstellen nach Meinung von allesinmac.
Ich sehe das allerdings anders. Diese Fragen sind m.E. ein guter Kompromiss zwischen dem krass-sicheren, aber unsäglichen Sicherheitscode der alten Methode (den Code hat man ja nie zur Hand, wenn man ihn braucht!) und einer m.E. genügend hohen Sicherheit, die überall gewährleistet ist, sofern ich nicht unter Alzheimer leide.

[cordcam]

Ah, dann habe ich noch das Alte, kann nämlich das Gerät auswählen. OK, wenn es Apple nicht für nötig hält, mich in meinem Account über Änderungen zu informieren, bleibe ich einfach dabei.

[Berto]

Mir ist noch nicht ganz klar, warum die alte Version der 2FA unsicherer sein soll. Wenn ich z.B. meine Mobilfunknummer auswähle, kommt der erzeugte Code ebenfalls auf allen Geräten (Mac, iPad, iPhone) an.

[saxophonmusikant]

war die These nicht, die NEUE 2FA sei UNsicherer?

Ich fand die alte schon gut, aber da mein MB Air kein "vertrauenswürdiges Gerät" sein konnte und somit nicht direkt den Code empfangen konnte, "inkonsequent".
Die neue finde ich daher SEHR gut! Jetzt ist sie "erwachsen".

[Berto]

Ok, saxophonmusikant, ich habe mich vertan. Ich drehe mein Posting einfach um:

Mir ist noch nicht ganz klar, warum die neue Version der 2FA unsicherer sein soll. Laut der vorherigen Postings wird bei der Neuen ein Code an alle verfügbaren Geräte gesandt. Wählte ich hingegen bei der alten bsp. meine Mobilfunknummer aus, kam der erzeugte Code ebenfalls auf allen Geräten (Mac, iPad, iPhone) an.

[saxophonmusikant]

Mit der Beantwortung der (jetzt wieder erforderlichen, statt des "alten" Wiederherstellungsschlüssels) 3 Sicherheitsfragen kann die neue 2FA deaktiviert werden.
Das wird als unsicher empfunden bzw. als genauso unsicher, wie es damals schon war, als es "nur" die 3 Fragen gab.

Ich sehe das anders.
Damals war es immer lästig, wenn iTunes/der App Store mal wieder Fragen beantwortet haben wollte. Daher wurden die in meiner Erinnerung auch weniger häufig erfragt als jetzt die Prüfung über 2FA erfolgt. Daher schon sicherer.
Und die 2FA, wenn sie erstmal aktiviert ist, nervt (mich) nicht, weil man nichts aus dem Gefächtnis kramen muss, im Gegenteil wirkt sie wie eine "Sicherheits-Magie".
Aber es stimmt: Prinzipiell ist sie nicht sicherer als die damaligen 3 Fragen, wie anfangs beschrieben.