iCloud gehackt Hilfe!!

[Mac K.]

Ok glaube der Groschen ist gefallen, hab es umgestellt auf 2FA.

 

[echo.park]

Habe nun auch die neue 2FA eingeschaltet, lief problemlos.

Nun frage ich mich Folgendes:
Wenn ich mich zum Beispiel per Browser auf iCloud.com anmelde fungiert auch der Mac als Gerät, welches die Codes erhält. Aber wo bleibt da der zweite Faktor?

Sollte man nicht besser den Mac aus der Liste der Geräte, die die Codes erhalten sollen, entfernen?

Wobei gleiches ja auch für ein iPhone gilt, aber hier meldet man sich kaum über den Browser irgendwo mit der Apple ID an, wenn dann hantiert man damit ja in den Systemeinstellungen.


// Edit:

Wobei ich gerade lese, dass man den Mac zwar entfernen kann, aber dann auch nicht mehr in Verbindung mit iCloud nutzen kann. Also nur die Zustellung der Codes zu unterbinden, das Gerät aber ansonsten mit dem Account zu verwenden scheint nicht möglich zu sein. Stimmt das denn so?

https://support.apple.com/de-de/HT204915

Sie können die Verifizierung eines Geräts auch wieder aufheben. Wenn Sie ein verifiziertes Gerät entfernen, werden darauf keine Überprüfungscodes mehr angezeigt. Auf iCloud und andere Apple-Dienste kann von diesem Gerät erst wieder zugegriffen werden, wenn Sie sich erneut mit der Zwei-Faktor-Authentifizierung angemeldet haben.

Mit anderen Worten: Bei einem Trojaner auf dem Mac, der die Codes auslesen kann, ist die 2FA hinfällig. Irgendwie bescheuert.

Oder wird es dadurch verhindert, dass man sich im Account anmelden kann, und zwar nur von verifizierten Geräten aus? So wird es ja beschrieben. Damit hätte ein Trojaner dann doch keine so großen Möglichkeiten mehr. Dann müsste alles vor Ort auf dem Gerät ablaufen, Daten auszulesen und rauszuschicken wäre dann zwecklos.

 

[MarcNRW]

So verstehe ich das, das man sich nur an authentifizierten Geräten anmelden kann.

Würde ein Dritter sich über einen Browser auf einem fremden Gerät mit dem ihm (woher auch immer) bekannten Passwort anmelden wollen, wird der Code auf ein verifiziertes Gerät, also z.B. iPhone, iPad, geschickt.

Der Fremde hätte so keinen Zugang.

 

[rootie]

Genau so ist es. Und wenn jemand Dein Passwort UND Dein Handy hat, ist eh alles zu spät! Das wäre es mit der zweistufigen auch gewesen

 

[echo.park]

Mein Gedanke war einfach, dass man sein Passwort durch einen Trojaner auf dem Mac "verliert". Wenn dieser dann auch noch in der Lage ist die Codes abzufangen, welche eben auch auf diesem Mac eintrudeln, dann kann der Account übernommen werden. Komplett.

Und genau so etwas sollte eine 2FA eigentlich verhindern. Nur sind es keine zwei Geräte die hier involviert sind, sondern nur ein Gerät, der Mac.

So zumindest die Theorie. Vielleicht übersehe ich auch etwas. Lerne die 2FA ja gerade erst kennen.

// Edit:

Genau so ist es. Und wenn jemand Dein Passwort UND Dein Handy hat, ist eh alles zu spät! Das wäre es mit der zweistufigen auch gewesen

Ja, und jetzt reicht ein kompetenter Trojaner auf dem Mac aus?! Das ist die Frage. Das wäre dann ein deutlicher Rückschritt.

Dass es aber bei Apple immer irgendwie eine Lücke im Konzept gibt würde mich jetzt nicht überraschen. Ich war zum Beispiel schon immer ein Gegner der Wiederherstellungsmail, mit der man die Sicherheitsfragen zurücksetzen konnte, die letzte Bastion bei gestohlenem Passwort vor Account-Übernahme, sofern die Sicherheitsfragen gut gewählt waren. Also bei gekaperten Mail-Account war so das Passwort und auch gleich der Account weg, hatte man diese Mail-Adresse angelegt. Habe das nie verstanden, warum man das tun sollte. Das war kontraproduktiv.

 

[MarcNRW]

Also das ist so ne Sache. Ich war auch sehr verwundert, das der Bestätigungscode auf den Mac versendet wird, wenn man mit diesen z.B. in die Apple-ID-Einstellungen will... das halte ich auch eher für sehr unglücklich. Der Code sollte in so einen Fall nur auf dem Handy oder iPad erscheinen.

Anders, wäre es aber auch doof, wenn man nur mit dem Handy unterwegs ist und dort was an den Einstellungen ändern möchte, gar keine Möglichkeiten mehr hätte an den Code zu kommen. Also, wenn der Code nicht mehr an das Gerät geschickt wird, was gerade benutzt wird.

 

[frostdiver]

Dann nehmt doch den Mac als verifiziertes Gerät raus. Ich gehe doch stark davon aus, dass das kein Problem ist. Ich kann es nicht testen, da ich auf der Zweistufigen bin und bleibe.

 

[MarcNRW]

Dann nehmt doch den Mac als verifiziertes Gerät raus. Ich gehe doch stark davon aus, dass das kein Problem ist. Ich kann es nicht testen, da ich auf der Zweistufigen bin und bleibe.

Ne, mich stört das jetzt nicht sonderlich... ist mir nur aufgefallen. Ich meine aber auch gelesen zu haben bei Apple, das wenn man ein Gerät als verifiziertes Gerät entfernt, man mit diesem nicht mehr auf die Cloud-Dienste zu greifen kann... wäre also so oder so sinnlos...

 

[Lichtspuren]

Also, ich bleibe erstmal bei der zweistufigen Authentifizierung, alles andere liest sich gerade irgendwie zu kompliziert.
Meinen Wiederherstellungsschlüssel hab ich ausgedruckt, meine Sicherheitsantworten bestehen aus zusammengewürfelten Buchstaben und Zeichen, ich denke, das reicht erstmal.
Habe neulich, als ich das erste mal seit der Einrichtung dieser Authentifizierung etwas bei iTunes auf dem Mac Musik gekauft habe, auch schonmal einmalig den vierstelligen Code eingeben müssen, den ich per Push erhalten habe. Reicht mir erstmal soweit.
Und dass in Mails keine Links angeklickt werden, ist ja eh klar.

 

[Schillerphone]

Hat schon jemand geschrieben, wo der Unterschied besteht?

 

[echo.park]

Dann nehmt doch den Mac als verifiziertes Gerät raus. Ich gehe doch stark davon aus, dass das kein Problem ist. Ich kann es nicht testen, da ich auf der Zweistufigen bin und bleibe.

Ich meine aber auch gelesen zu haben bei Apple, das wenn man ein Gerät als verifiziertes Gerät entfernt, man mit diesem nicht mehr auf die Cloud-Dienste zu greifen kann...

Wobei ich gerade lese, dass man den Mac zwar entfernen kann, aber dann auch nicht mehr in Verbindung mit iCloud nutzen kann. Also nur die Zustellung der Codes zu unterbinden, das Gerät aber ansonsten mit dem Account zu verwenden scheint nicht möglich zu sein. Stimmt das denn so?

https://support.apple.com/de-de/HT204915

Sie können die Verifizierung eines Geräts auch wieder aufheben. Wenn Sie ein verifiziertes Gerät entfernen, werden darauf keine Überprüfungscodes mehr angezeigt. Auf iCloud und andere Apple-Dienste kann von diesem Gerät erst wieder zugegriffen werden, wenn Sie sich erneut mit der Zwei-Faktor-Authentifizierung angemeldet haben.

Vielleicht teste ich das mal irgendwann. Nur momentan steht mir nicht der Sinn nach Gefrickel.

 

[echo.park]

Schreibt Apple nicht, dass eine Eingabe des 6-stelligen Codes ein Apple TV 4 mit tvOS voraussetzt?

Wenn ja dann wissen die wohl selbst nicht was Sache ist. Habe eben ein ATV 3 per 2FA freigegeben. Und auch die Sache mit dem Anhängen des Codes an das Passwort erübrigt sich damit. Alles hat einwandfrei funktioniert. Die sollten ihre Dokumentation mal dringend überarbeiten.

 

[Fresh_Prince]

So nutze er dies. http://www.apple.com/feedback/
Kein Scherz. Das Feedback wird regelmäßig ausgewertet.

 

[echo.park]

Das habe ich in der Vergangenheit schon so oft genutzt. Leider bisher immer vergebens.

 

[Fresh_Prince]

Mhm...Vieles wird wohlmöglich auch erst gesammelt. Wie bei Defekten. Es muss erst eine bestimmte Menge zusammen kommen. Leider nutzt die Feedbackfunktion kaum jemand. Oft aus dem Grund der Uneinsicht wieso man sich überhaupt drum kümmern muss. Man will ja sofort und am Besten Vorgestern eine Lösung, weil man der einzige Mensch auf der weiten Welt ist. Nur meine Erfahrungen.

 

[echo.park]

Vielleicht übersehe ich auch etwas. Lerne die 2FA ja gerade erst kennen.

Ich habe noch mal drüber nachgedacht. Und eben hat es "Klick" gemacht. Meine Frage ist beantwortet.

Den Mac aus der Liste der Geräte zu entfernen, welches Codes empfangen darf ist insofern Unsinn, dass dann im Falle eines Verlustes des iPhone kein Zugriff mehr auf iCloud.com und die dortige Ortungsfunktion mehr möglich ist.

Beim alten System war dort keine Codeabfrage vorgeschaltet eine Ortung war immer möglich. Jetzt ist das anders. Schützt so zumindest vor unbefugter Sperrung durch einen möglichen Eindringling in den Account.

Zudem fällt ja der Wiederherstellungsschlüssel weg, mit dem konnte man sich auch ohne Codes einloggen. Also ist das iPhone abhanden gekommen funktioniert das jetzt nicht mehr. Also benötigt man ein zweites Gerät für den Zugriff auf den Account, zum Beispiel einen Mac.

Also einerseits hebelt Apple die "zwei Faktoren" ein Stück weit aus, andererseits passt es nur so ins neue Konzept. Kann man nun von halten was man will.