- Registriert
- 01.11.16
- Beiträge
- 14.784
Während Apple auf der einen Seite für die Zwei-Faktor-Authentifizierung verklagt wird, baut der Konzern seine Anforderungen hier andererseits sogar aus. Ende des Monats müssen auch Entwickler die sicherere Authentifizierung für ihre Accounts nutzen. Was bringt das wirklich und warum war der Aufschrei hier so groß?
Beginnen wir kurz bei den Grundlagen: Bei der Zwei-Faktor-Authentifizierung wird vom Nutzer neben seinem Benutzernamen und dem Passwort auch noch ein "zweiter" Faktor angefordert, in der Regel handelt es sich dabei um einen Code mit entsprechender Ablaufzeit. Bei Apple wird der Code an ein autorisiertes Gerät zugestellt. Mittlerweile verzichtet der Hersteller auf SMS – was angesichts dessen, dass diese Nachrichten unsicher sind, durchaus schlau ist. Apples Lösung ist aber bei weitem nicht die beste, die es gibt.
Der Aufschrei der Entwickler
Die Reaktion einiger Entwickler war für die breite Masse anfangs eher unverständlich. Gerade dieser Personengruppe traut man doch ein gewisses Sicherheitsempfinden und technisches Verständnis zu? Das mag stimmen, doch diese Gruppe hat auch unheimlich viele Geräte. Gerade heutzutage muss neue Software aufgrund der unterschiedlichen Hardware und Displaygrößen auf unzähligen Geräten getestet werden. Zudem werden Entwickleraccounts häufig auch über mehrere Personen geteilt, weil mehrere Entwickler oder andere Positionen etwas mit der App-Entwicklung und der Veröffentlichung zu tun haben. Ein Account, mehrere Nutzer und Zwei-Faktor-Authentifizierung – das bringt oft Probleme.
Ich kann hier nur aus eigener Erfahrung bei Apfeltalk berichten und dabei geht es nicht um die Entwicklung. Michi und ich bespielen mehrere Accounts gemeinsam, sei es die Redaktionsadresse oder unser Patreon-Account. Sehr oft muss ein Account neu bestätigt werden, nicht via Code, sondern via Klick auf die Aktivierungs-Mail – teilweise aus Postfächern, die wir uns nicht teilen. Mehr als eine Podcastfolge hat sich deshalb schon verschoben.
Zudem dauert das Warten auf den zweiten Code immer eine gewisse Zeit, auch die Eingabe. Klar, die eine Minute für die paar Geräte eines klassischen Nutzers sind das schon wert – bei Entwicklern sind es aber eben deutlich mehr iOS-Geräte. Am Ende bleibt vor allem eine Frage: Warum mischt Apple sich hier ein? Es gibt keine Berichte über große Hacks von Entwicklerkonten. Ich sehe hier eher eine Maßnahme darin, das Sharing zu vermeiden.
Zwei-Faktor-Authentifizierung geht besser
Ein Thema, das mich immer wieder stört und das wir auch hinlänglich im Forum diskutiert haben, ist die Zustellung des Codes. Wenn ich mich auf meinem Mac in einen Service einlogge, benötige ich dafür den Code – der per Pop-up auf das gleiche Gerät zugestellt wird. Hier kann man sich lange streiten - haben wir auch -, ob damit die "Unabhängigkeit", die das System eigentlich vorsieht, am Ende auch gegeben ist. Aus meiner Sicht nicht.
Natürlich benötigt ein Angreifer das Passwort meines Rechners und die Daten meiner Apple ID – hat er diese, hilft der Code aber nicht weiter, sondern ist nur nerviger Zeitaufwand. Klar, es geht hier vor allem um Angreifer, die meine Apple ID mit geklauten Daten erhalten möchten - aber dennoch. Mir persönlich fehlt eine Option, mit der ich Codes immer auf ein anderes Gerät zustellen kann. So müsste sich ein Angreifer zweier meiner Geräte bemächtigen. Zudem fände ich es praktischer, wenn ich meinen Code immer auf ein gewähltes Gerät schicken könnte, beispielsweise mein iPhone.
Wo Apple auch nachlegen muss, ist die Nutzung von Hardware-Tokens. Ich setze seit einiger Zeit einen YubiKey unter Windows und macOS ein – und macOS liegt deutlich hinten. Diese Tokens gibt es mittlerweile für wenig Geld und Apple muss den Support hier ausbauen. Das gilt noch mehr für iOS. Mittlerweile gibt es zwar Lösungen mit NFC und Lightning, wirklich weit ins System können diese Sicherheitsschlüssel aber leider nicht.
Hier kommt ihr zur Podcastfolge
und nehmt, als Hörer des Podcasts, bitte hier an der Abstimmung teil!
Beginnen wir kurz bei den Grundlagen: Bei der Zwei-Faktor-Authentifizierung wird vom Nutzer neben seinem Benutzernamen und dem Passwort auch noch ein "zweiter" Faktor angefordert, in der Regel handelt es sich dabei um einen Code mit entsprechender Ablaufzeit. Bei Apple wird der Code an ein autorisiertes Gerät zugestellt. Mittlerweile verzichtet der Hersteller auf SMS – was angesichts dessen, dass diese Nachrichten unsicher sind, durchaus schlau ist. Apples Lösung ist aber bei weitem nicht die beste, die es gibt.
Der Aufschrei der Entwickler
Die Reaktion einiger Entwickler war für die breite Masse anfangs eher unverständlich. Gerade dieser Personengruppe traut man doch ein gewisses Sicherheitsempfinden und technisches Verständnis zu? Das mag stimmen, doch diese Gruppe hat auch unheimlich viele Geräte. Gerade heutzutage muss neue Software aufgrund der unterschiedlichen Hardware und Displaygrößen auf unzähligen Geräten getestet werden. Zudem werden Entwickleraccounts häufig auch über mehrere Personen geteilt, weil mehrere Entwickler oder andere Positionen etwas mit der App-Entwicklung und der Veröffentlichung zu tun haben. Ein Account, mehrere Nutzer und Zwei-Faktor-Authentifizierung – das bringt oft Probleme.
Ich kann hier nur aus eigener Erfahrung bei Apfeltalk berichten und dabei geht es nicht um die Entwicklung. Michi und ich bespielen mehrere Accounts gemeinsam, sei es die Redaktionsadresse oder unser Patreon-Account. Sehr oft muss ein Account neu bestätigt werden, nicht via Code, sondern via Klick auf die Aktivierungs-Mail – teilweise aus Postfächern, die wir uns nicht teilen. Mehr als eine Podcastfolge hat sich deshalb schon verschoben.
Zudem dauert das Warten auf den zweiten Code immer eine gewisse Zeit, auch die Eingabe. Klar, die eine Minute für die paar Geräte eines klassischen Nutzers sind das schon wert – bei Entwicklern sind es aber eben deutlich mehr iOS-Geräte. Am Ende bleibt vor allem eine Frage: Warum mischt Apple sich hier ein? Es gibt keine Berichte über große Hacks von Entwicklerkonten. Ich sehe hier eher eine Maßnahme darin, das Sharing zu vermeiden.
Zwei-Faktor-Authentifizierung geht besser
Ein Thema, das mich immer wieder stört und das wir auch hinlänglich im Forum diskutiert haben, ist die Zustellung des Codes. Wenn ich mich auf meinem Mac in einen Service einlogge, benötige ich dafür den Code – der per Pop-up auf das gleiche Gerät zugestellt wird. Hier kann man sich lange streiten - haben wir auch -, ob damit die "Unabhängigkeit", die das System eigentlich vorsieht, am Ende auch gegeben ist. Aus meiner Sicht nicht.
Natürlich benötigt ein Angreifer das Passwort meines Rechners und die Daten meiner Apple ID – hat er diese, hilft der Code aber nicht weiter, sondern ist nur nerviger Zeitaufwand. Klar, es geht hier vor allem um Angreifer, die meine Apple ID mit geklauten Daten erhalten möchten - aber dennoch. Mir persönlich fehlt eine Option, mit der ich Codes immer auf ein anderes Gerät zustellen kann. So müsste sich ein Angreifer zweier meiner Geräte bemächtigen. Zudem fände ich es praktischer, wenn ich meinen Code immer auf ein gewähltes Gerät schicken könnte, beispielsweise mein iPhone.
Wo Apple auch nachlegen muss, ist die Nutzung von Hardware-Tokens. Ich setze seit einiger Zeit einen YubiKey unter Windows und macOS ein – und macOS liegt deutlich hinten. Diese Tokens gibt es mittlerweile für wenig Geld und Apple muss den Support hier ausbauen. Das gilt noch mehr für iOS. Mittlerweile gibt es zwar Lösungen mit NFC und Lightning, wirklich weit ins System können diese Sicherheitsschlüssel aber leider nicht.
Hier kommt ihr zur Podcastfolge
und nehmt, als Hörer des Podcasts, bitte hier an der Abstimmung teil!