Doubletten-Warnung und 2FA-Option
iCloud-Schlüsselbund soll Passwörter besser verwalten
Gerüchte, dass Apple den iCloud-Schlüsselbund zu einem vollwertigen Passwort-Manager ausbauen will, gibt es seit geraumer Zeit. In diesem Jahr könnte das Projekt ein ganzes Stück vorankommen. Eine Vorabversion von iOS 14 liefert Hinweise auf neue Sicherheitsfunktionen.
Das Apple-Blog 9to5Mac schlachtet ja schon seit mehreren Wochen eine frühe, Apple-interne Vorabversion von iOS 14 aus. Vermutlich handelt es sich dabei um eine Kopie des Betriebssystems jenes Apple-internen Testgeräts, das dem Vernehmen nach gegen 2 Bitcoin einen neuen Besitzer gefunden hat. Neuestes Fundstück sind grundlegende Änderungen im iCloud-Schlüsselbund.
Bislang beschränkt sich der iCloud-Schlüsselbund ja im Wesentlichen auf das Speichern von Login-Daten. Mit iOS 14 und dann wohl analog auch macOS 10.16 soll die Anwendung mit zusätzlichen Sicherheitsfunktionen unterstützen. So warnt der iCloud-Schlüsselbund dem Bericht zufolge künftig bei wiederverwendeten Passwörtern und animiert Nutzer auf diese Weise sich nicht aus Bequemlichkeit Sicherheitsrisiken auszusetzen. Eine der gängigsten Methoden zur Account-Übernahme besteht darin, dass Hacker bei Angriffen erbeutete Anmeldedaten automatisiert bei anderen Onlinediensten auf ihre Funktion testen. Offenbar führt diese Methode weiterhin zu oft zum Erfolg.
Vor dergleichen schützt effektiv 2-Faktor-Authentifizierung. Auch hier soll es beim iCloud-Schlüsselbund demnächst Neuerungen geben. Apple plane eine neue Art, Zwei-Faktor-Kennwörter zu speichern in den iCloud-Schlüsselbund zu implementieren. Apple könnte ein Authentifizierungsmodul integrieren und die selbst generierten Codes beim Login direkt zur Anwendung bringen, ähnlich wie dies bereits jetzt bei 1Password der Fall ist.
Würde mir schon reichen wenn endlich mal mehrere Eingabefelder (bspw. Login Deutsche Bank) erkannt werden würden.
1Password kann das, Apple nicht ..
Schade meine Usecases funktionieren derzeit gut bei mir. Wenn Apple wieder was ändern möchte, bekomm ich plötzlich Angst.
So halbgar, wie Apple in letzter Zeit Software und Funktionen entwickelt, weiß ich nicht, ob das 1Password oder Enpass etc. Paroli bieten kann.
Wenn ich sehe, auf wie vielen Seiten der iCloud-Schlüsselbund nicht funktioniert, weil die Felder entsprechend im Quellcode anders definiert wurden, ich aber zumindest mit 1Password oder Enpass problemlos die Login-Daten einfügen kann.
Das gleiche bei Logins in vielen Apps, die dann nicht automatisch im iCloud-Schlüsselbund gespeichert werden und nur schwer bis gar nicht manuell eingetragen werden können. Ganz zu schweigen von der Möglichkeit, weitere Einträge für einen Login vorzunehmen, wie z.B. neben dem Benutzernamen die zugehörige Mailadresse, die bei Rücksetzung oft verlangt wird.
Und so lange der iCloud-Schlüsselbund nicht bequem unabhängig der Login-Seite aufgerufen, eingesehen und bearbeitet werden kann (und das ist sowohl auf dem iPhone als auch auf dem Mac sehr umständlich), bleibt er ein netter Komfort, aber kein Passwort-Manager.
Ein für mich weiterer Nachteil: so gespeicherte Passwörter können nur im Apple Universum genutzt werden. Andere Plattformen: Fehlanzeige.
Gruß
„So halbgar, wie Apple in letzter Zeit Software und Funktionen entwickelt, weiß ich nicht, ob“
ich Apple überhaupt alle meine Passwörter anvertrauen kann.
Warum man Logins (Username/Passwort) UND 2fa Codes in einer App bzw. in einem Schlüsselbund speichern wollen sollte muss mir aber jemand noch genauer erklären
Nö. Muss keiner
Von „müssen“ sprach keine Mensch, Horst auch nicht.
Doxh Horst-versteher
Bedingt, dass man mehr als nur die erste Zeile liest …
;)
Ja, stell dir vor, manche sind sogar so unvorsichtig und lagern beides ausgedruckt auf derselben Kontinentalplatte. Die spinnen, die Menschen…
:)
;-) Danke. Selten, dass man hier mal über einen unkomplizierten, humorvollen Kommentar stolpert.
Auch Apple fragt zur Zweifaktorauthentifizierung nur am gleichen Gerät ab, wenn man nur ein iOS-Gerät besitzt.
Dadurch nutzlos? Nein, nur Passwortschutz erreicht msn dadurch nicht, aber der verschlüsselte Inhalt in der Cloud ist dann sicherer. Laut Apple ist dann die iCloud-keychain (iCloud-Schlüsselbund) erst dann mit Ende-zu-Ende-Verschlüsselung, wenn man die Zwei-Faktor-Authentifizierung aktiviert hat. Dies hat Apple auf einer Seite selbst geschrieben und wurde hier im Ticker erwähnt.
(Deshalb mein Rat: Unbedingt die Zwei-Faktor-Authentifizierung aktivieren, auch wenn manches dann etwas umständlicher ist.)
Ich persönlich nutze schon länger die Zweifaktor-Authentifizierung. Ist eine schöne Sache und dient der Sicherheit. Klar, hab ja auch mehrere Apple-Geräte. Allerdings wäre es schön, den Zwei-Faktor-Authentifizierungs-Code nur auf bestimmten Geräten eingrenzen zu können. Z. B. das „allgemeine“ iPad im Wohnzimmer muß nicht immer den Code bekommen, den ich schon längst am iPhone abgefangen hab.
Problematisch ist die Zweifaktor-Authentifizierung bei nur einem Gerät. Z. B. hab ich etwa 30 Leute im Außendienst zu betreuen, von denen jeder nur ein einziges iPhone hat. Verliert jetzt jemand sein iPhone und hat zuvor auf das Drängen von Apple hin die Zweifaktor-Authentifizierung aktiviert, kann ich mich als Admin natürlich nicht mehr via icloud anmelden. Folglich kann ich das Gerät weder orten noch fernlöschen. Zu allem Überfluß bekommt, wenn es geklaut wurde, der Dieb auch noch den Hinweis, daß jemand versucht, sich über die Apple-ID Zugang zu verschaffen, weil der Zweifaktor-Code kommt.
Zweifaktor-Authentifizierung macht nur bei mehr als einem Gerät Sinn.
@mozarella: Wie schon von mir beschrieben, macht Zwei-Faktor-Authentifizierung auch bei nur einem Gerät Sinn, damit eine Ende-zu-Ende-Verschlüsselung möglich wird.
Warum sollte ein entferntes Gerät zu löschen nicht mehr möglich sein? Wenn man iOS-Geräte von Firmen-Angehörigen administriert, nutzt man z.B. vob Apple den Configurator 2 oder etwas anderes, dessen Link ich in einer Antwort schreibe (diese Seite hat mit Administration zwar nichts direkt zu tun, aber am Anfang sind die drei Möglichkeiten verlinkt).
Wenn die Geräte durch das längst authentifizierte Gerät administriert werden, muss man sich beim Gerät, welches administriert, natürlich nicht wiederholt authentifizieren. Deshalb bezweifle ich Ihre Aussage, oder Sie versuchen eine simple und schlechte Administration von Geräten, wodurch Sie natürlich Probleme haben können, weil sie eine wie bereits von Apple vorgesehen vorgeschriebene Administrationsmöglichkeit nicht verwenden. Falls Sie eine schlechte Administration durchführen, empfehle ich Ihnen und Ihrer Firma sich weiterzubilden und eine von Apple vorgesehene Administrationsmöglichkeit zu verwenden. Dann gibt es keine Zwei-Faktor-Authentifikationsprobleme bei Verlust des Gerätes.
Verschiedene Administrationsmöglichkeiten am Anfang des verlinkten Artikels als Verlinkung aufgeführt: https://support.apple.com/de-de/HT202837
(Wie dies detailliert abläuft, weiß ich nicht, weshalb ich dort nicht weiterhelfen kann.)
Mich stört das die Passwörter in den Untiefen der Browser liegen. Da sind mir Passwort Manager noch immer lieber.
Die liegen im Browser? Eigtl. nicht…
Einstellungen (CMD+,) -> Passwörter
So weit sind die nicht weg. Nicht weiter als eine externe Anwendung zu starten.
Doubletten Warnungen gibt es auch schon jetzt. Leider versteckt in den Einstellungen von Safari und dort unter Passwörter.
Wollte ich auch sagen.
Hätte dann gerne noch eine Version für Windows, dann wäre ich glücklich. Hab zwar 1Passwort, checke aber null welche Version und warum ich keine neuere verwenden darf/kann. ;-) #ScheissAboModelle
Eine Möglichkeit wäre Keepass, was inzwischen mehrere Tests bestand. Zudem ist es OpenSource, was aber auch ein Nachteil sein kann.
Für Win gibt es ein gute App. Für macOS ist sie evtl. auch ok. Für iOS muss man leider Drittherstellern vertrauen und dort habe ich keine Empfehlung, da ich es selbst noch nicht verwende (aber weil Linux mein Hauptsystem ist, will ich dies nebenbei auch in Zukunft betreiben, da 1password X in Firefox (Zwang unter Linux) nicht so schön ist wie die native App unter macOS, iOS und Win (Android noch nie probiert, obwohl ich mehrere Entwicklerandroide habe und von 1password ein Cloud-Konto).
Synchronisieren muss man selbst, was aber kein Problem ist, wenn man irgendeinen Webspeicher hat, der problemlos für alle lesbar sein kann. Metadaten kann man leider sowieso nicht vermeiden (nur etwas verstecken, aber auch das nicht ganz).
Also mir gefällt securesafe.com
Würde ich begrüßen, am besten eine eigenständige App. Das in den Einstellungen find ich etwas doof gelöst.
Ich verwende den Schlüsselbund auf dem iPhone sehr gern.
Leider fehlt mir aber die Funktion auf dem PC in zb Chrome. Aber davon kann ich wohl nur träumen…
Gibt es eigentlich eine Möglichkeit des Export aus dem Schlüsselbund?
Hintergrund, wenn Apple da was versämmelt, sieht es momentan bei mir schlecht aus.
Google sagt Ja, und zeigt verschiedene Lösungen an.