it-swarm.com.de

Ist es sicher, 2FA-Token zusammen mit Passwörtern in 1 Passwort zu speichern?

Ich verwende 1Kennwort und habe gesehen, dass Sie mit 1Kennwort 2FA-Token an derselben Stelle speichern können, an der Sie das Kennwort speichern.

Ich mag die Idee nicht, alles am selben Ort zu haben, als ob jemand mein 1-Passwort-Passwort stehlen könnte, um auf mein Konto zuzugreifen und sowohl Passwort- als auch Sicherheitstoken zu erhalten. Eigentlich verwende ich Google Auth für das 2FA und 1password für die Passwörter.

Ist es eine gute Idee, sie getrennt zu halten, um die Sicherheit zu erhöhen? Macht es irgendeinen Sinn?

18
Pau Chorro

Ich arbeite für 1Password und ich schrieb genau über diese Frage als wir die Funktion einführten.

Die Antwort hängt davon ab, welche Sicherheitseigenschaften Sie von zeitbasierten Einmalkennwörtern (TOTP) tatsächlich erwarten. Die "zweite Tatsache" von TOTP ist eine von mehreren Sicherheitseigenschaften, die es bietet, und es kann in vielen Fällen die am wenigsten wichtige sein. Lassen Sie sich nicht in die Irre führen, dass dies alles unter den Begriff "2FA" fällt, als wäre dies der einzige Sicherheitsvorteil, den Sie durch diese Systeme erhalten.

Sicherheitsvorteile von TOTP (im Gegensatz zur typischen Verwendung von Passwörtern)

Daher werde ich einige der Sicherheitseigenschaften auflisten, die Sie mit TOTP erhalten, und sie mit der Verwendung von typisch Kennwörtern vergleichen.

  1. Langzeitgeheimnis wird nicht übertragen während der Authentifizierung. Mit TOTP erhalten Sie ein langfristiges Geheimnis, das nur bei der Registrierung übertragen wird (normalerweise der QR-Code). Das Langzeitgeheimnis wird nicht übertragen, wenn es tatsächlich verwendet wird. (Dies unterscheidet sich von der typischen Kennwortverwendung, bei der das Kennwort über das Internet übertragen wird, und hängt daher von anderen Schutzmaßnahmen ab, z. B. TLS.) Dies bedeutet auch, dass das Langzeitgeheimnis nicht gefälscht werden kann (obwohl die numerischen Codes sein können).

  2. Langfristiges Geheimnis ist nicht zu erraten. Das langfristige Geheimnis wird vom Server bei der ersten Registrierung generiert und somit gemäß den Zufallsstandards des Dienstes generiert. Dies ist wiederum anders als die typische Verwendung von Passwörtern mit von Menschen erstellten Passwörtern.

  3. Langfristiges Geheimnis ist einzigartig. Sie werden nicht dasselbe TOTP-Langzeitgeheimnis für verschiedene Dienste wiederverwenden. Dies ist wiederum anders als bei der typischen Verwendung von Passwörtern, bei denen Passwörter wiederverwendet werden.

  4. Oh ja. Und Sie legen das langfristige Geheimnis auf "etwas, das Sie haben", wenn dies aus irgendeinem Grund für Sie wichtig ist.

In den meisten Fällen, in denen TOTP bereitgestellt wird, erfolgt dies aufgrund der Eigenschaften Nr. 2 (Unschätzbarkeit) und Nr. 3 (Eindeutigkeit). In der Tat, als Dropbox TOTP zum ersten Mal für ihre Dienste einführte, haben sie ihre Gründe dargelegt zum Schutz von Benutzern beigetragen, die Passwörter wiederverwendeten.

Nach der Einzigartigkeit und Unkenntnis der langfristigen Geheimnisse besteht der nächstwichtigste Vorteil (für die meisten Menschen) darin, dass das langfristige Geheimnis nicht weitergegeben wird. Dies erschwert die Erfassung in einem gefährdeten Netzwerk.

Die wahrscheinlich am wenigsten wichtige Sicherheitseigenschaft, die TOTP uns gibt, ist die zweite Tatsache. Ich sage nicht, dass es keinen Nutzen bringt, aber für die Fälle, in denen die meisten Menschen TOTP verwenden, ist es wahrscheinlich der am wenigsten wichtige.

Im Gegensatz zur Verwendung eines Passwort-Managers gut.

Oben habe ich vier Sicherheitseigenschaften von TOTP aufgelistet und sie der typischen Verwendung von Passwörtern gegenübergestellt. Aber jetzt betrachten wir jemanden, der einen Passwort-Manager in vollem Umfang nutzt. Wenn Sie einen Passwort-Manager für eine Site oder einen Service4 gut verwenden, haben Sie ein zufällig generiertes (und daher nicht erratbares) Passwort für diese Site und ein eindeutiges Passwort für diese Site. Die Verwendung von TOTP trägt also nicht wirklich viel zu diesen beiden Sicherheitseigenschaften bei.

Wenn wir uns Eigenschaft 1 ansehen (Langzeitgeheimnis nicht übertragen), bietet TOTP immer noch zusätzliche Sicherheit, selbst wenn Sie einen Passwort-Manager verwenden. Die Verwendung eines Passwort-Managers verringert jedoch die Wahrscheinlichkeit von Phishing, und daher ist der Gewinn von TOTP zwar real, aber nicht so groß wie bei jemandem, der keinen Passwort-Manager verwendet.

Das einzige was noch übrig ist ist # 4. Wenn die beiden Tatsachen wirklich der Grund sind, warum Sie TOTP schätzen, dann halten Sie das Langzeitgeheimnis in 1Password nicht geheim. Für die meisten Menschen liegt der Wert von TOTP jedoch darin, ein starkes und einzigartiges langfristiges Geheimnis zu haben, das niemals weitergegeben wird.

Sehen Sie sich die tatsächlichen Sicherheitseigenschaften an

Ich empfehle Ihnen, zu bewerten, was Sie wirklich aus TOTP herausholen (anstatt in die gesamte 2FA-Rhetorik verwickelt zu werden) und dann die Kompromisse zu berücksichtigen. Ich wette, wenn Dinge wie TOTP "Unique Secret Authentication" anstelle von "Two Factor Authentication" genannt würden, wäre die Frage nie aufgetaucht.

16

Der gesamte Sinn eines zweiten Faktors für die Authentifizierung besteht darin, Sie in Fällen zu schützen, in denen der erste Faktor (Kennwörter) bereits fehlgeschlagen ist. Wenn Sie Ihre 2FA-Token an dem Ort speichern, an dem Sie Ihre Passwörter speichern, sind sie daher erheblich weniger effektiv.

Kombinieren Sie dies mit der Tatsache, dass Kennwortmanager (ordnungsgemäß verwendet, mit separaten, zufällig generierten Kennwörtern für jedes Konto) Sie bereits vor vielen der gleichen Bedrohungen schützen, die 2FA-Token darstellen (wie Brute-Force- und Anmeldeinformationsangriffe), und ich beginne zu fragen, warum Sie würden sich überhaupt um 2FA kümmern, wenn Sie die Token auf diese Weise aufbewahren würden.

Das heißt, es gibt sind einige Szenarien, in denen eine böswillige Partei ein einziges Passwort von Ihrem Passwort-Manager stehlen könnte, ohne die gesamte Passwortdatenbank zu gefährden:

  1. Sie verwenden kein automatisches Ausfüllen und geben Ihr Passwort auf einer Phishing-Site ein (obwohl HOTP/TOTP-Token hier nur helfen, indem sie die Dauer des Kompromisses begrenzen; im Gegensatz zu U2F/WebAuthn-Token können sie Phishing nicht wirklich verhindern).
  2. Ihre Verbindung wird durch ein MITM gefährdet (obwohl 2FA Sie hier nicht wirklich retten wird; ich finde es auch unwahrscheinlich, dass eine Site, die sich genug um die Sicherheit kümmert, um 2FA zu unterstützen, HTTPS nicht implementiert).
  3. Faule Hacker/Malware-Autoren, die sich nur mit dem Diebstahl von Passwörtern beschäftigen, nicht mit Anmeldesitzungen oder Passwortdatenbanken
  4. Der Angreifer kompromittiert Ihr E-Mail-Konto irgendwie und verwendet es zum Zurücksetzen Ihrer Passwörter (häufig können 2FA-Token nicht per E-Mail zurückgesetzt werden).

Wenn Sie nicht befürchten, dass Ihre Passwortdatenbank kompromittiert wird und die oben aufgeführten Bedrohungsvektoren für Sie plausibel und ernst genug sind, um den zusätzlichen Schritt wert zu sein, bei jeder Anmeldung einen 2FA-Code eingeben zu müssen, gehen Sie dafür. Andernfalls möchten Sie möglicherweise Ihre 2FA-Codes getrennt von Ihrer Kennwortdatenbank speichern oder auf die Verwendung von HOTP/TOTP-basierten 2FA-Token vollständig zugunsten von U2F- oder WebAuthn-Token verzichten, die einen besseren Schutz bieten.

11
Ajedi32

Ich würde empfehlen, die 2FA-Codes auf 1Password zu belassen, da die Google Auth-App keine Datensicherung hat (es sei denn, Sie haben root und ein externes Sicherungstool wie Titanium Backup). In Ihrem Fall bedeutet der Verlust Ihres Telefons den Verlust aller 2FA-Authentifizierungscodes, die Sie hatten. Wenn Sie den 2FA nicht in 1Password speichern möchten, speichern Sie ihn in einer anderen Anwendung, die Cloud-Sicherung unterstützt.

Sie erhöhen die Sicherheit ein wenig, da jeder Angreifer zwei Anwendungen kompromittieren muss, aber Sie schaffen einen weiteren Fehlerpunkt. Im Falle der GoogleAuth-App können Sie durch den Verlust Ihres Telefons möglicherweise von einigen Konten ausgeschlossen werden.

Ich würde ein sicheres, langes und eindeutiges Passwort erstellen und nur einen Passwortmanager verwenden.

4
ThoriumBR

Angenommen, Sie sprechen über die Notfallcodes und/oder die Möglichkeit, Ihre beiden Faktoren auf einem neuen Gerät wiederherzustellen, finde ich es persönlich ziemlich beunruhigend, diese Codes überall online verfügbar zu haben. Dies ist ein perfekter Fall für Offline-Backups.

Ich bevorzuge es, eine Kopie des QR-Codes/Wiederherstellungsschlüssels/etc offline zu halten (entweder auf Papier oder auf einem USB-Stick). Ein persönlicher Favorit (unter der Annahme eines Windows-PCs) ist ein USB-Stick mit Bitlock, der in einem Safe aufbewahrt wird.

1
Tim Brigham

Idealerweise

In einer idealen Welt sollten Sie Ihre zweiten Faktorschlüssel auf genau EINEM Gerät haben. Auf diese Weise kann es wirklich etwas sein, das Sie haben (zusätzlich zu dem, was Sie wissen wie Ihr Passwort mögen). Wenn Sie Ihre Schlüssel auf Ihrem Telefon haben, das durch eine PIN oder eine andere Sicherheit) geschützt ist, können Sie das Telefon aus der Ferne löschen und sicherstellen, dass die Codes nicht entkommen sind.

Aber das ist alles andere als realistisch ...

In der realen Welt brauchen wir Backups. Ja, Sie könnten Ihre Daten in 1Password (oder einem anderen Passwort-Manager) speichern und wären trotzdem sicherer als die durchschnittliche Person (was Sie zu einem viel weniger wahrscheinlichen Ziel macht). Wenn die Entscheidung also nicht aus Backups oder Speichern in 1Password besteht, speichern Sie diese in 1Password.

Wie Sie bereits erwähnt haben, werden jedoch alle Eier in einen Korb gelegt. Wenn Ihr 1Password-Tresor irgendwie verletzt wird, sind Sie geschraubt.

Ich schlage also vor (was Tim auch hier erwähnt hat), Ihre zweiten Faktorcodes auf etwas VOLLSTÄNDIG UNTERSCHIEDLICHEM als Ihrem 1Password zu speichern. Sei es durch Ausdrucken, Laden auf ein sekundäres Telefon, Verwenden eines Dienstes wie Authy (mit Backups) oder irgendetwas anderem. Dann haben Sie zwei Fehlerquellen. Jemand kann auf Ihr 1Password zugreifen und hat immer noch keinen Zugriff auf unsere Multi-Faktor-Konten.

Ich persönlich liebe den Druckvorschlag hier. Durch das Drucken des Codes entfernen Sie ihn vollständig aus Ihrem digitalen Leben, sodass kein Hacker darauf zugreifen kann. Verschließen Sie sie in einem Safe und legen Sie sie in einen Safe. Etwas. Und dann ist es einfach, ein neues Telefon mit Codes zu laden, wenn Sie Ihr Telefon unweigerlich verlieren oder ein Upgrade benötigen.

TL; DR : Mit einem zweiten Faktor sind Sie dem Rudel bereits meilenweit voraus. Die Sicherung in 1Password kann daher als kalkuliertes Risiko angesehen werden und ist zwar nicht perfekt, aber dennoch einigermaßen sicher. Wenn Sie jedoch ein perfekteres Sicherheitsmodell suchen, speichern Sie diese separat und vorzugsweise mit Luftspalt aus dem Internet, damit bei einem Hacking-Versuch Ihr 1Password UND Ihre Sicherheitscodes nicht auf einmal abgerufen werden können.

1
Vidia

Die einfache Antwort lautet Ja. Trotz des Vertrauens, das wir in die Passwort-Manager haben, ist es eine gute Idee, Anstand gründlich zu üben. Der Grund, warum Sie 2FA haben, besteht darin, diese zusätzliche Sicherheitsebene hinzuzufügen, um das Kennwort zu erweitern. Es macht den Zweck zunichte, wenn dasselbe Passwort zusammen mit dem zweiten Faktor gespeichert wird. Sicherheit basiert mehr auf Prinzipien als auf allem anderen.

0
Katlego M