Beiträge von Zoey

  • Ab sofort: Firewall für netcup vServer verfügbar

    Irgendwie wird alles geblockt sobald es eine beliebige eingehende und eine beliebige ausgehende Regel gibt, dann werden die beiden Regeln ignoriert und einfach alles geblockt, selbst die standard ICMP Regeln werden ignoriert und gesperrt. Das ganze scheint auch zu passieren wenn die beiden beliebigen Regeln tcp/udp/icmp(6) in/out allow all sind, dann wird auch alles geblockt. Sobald eine Richtung keine Regeln hat geht alles wie es definiert. Siehe das angehängte Bild, mit den Regeln ist alles gesperrt, obwohl ja das Gegenteil definiert ist

  • Anregung: Anmeldung mit Passkey im CCP

    Ich weiß nicht, warum du verrückt nach Passkeys bist, aber ich fasse meine Punkte nochmal kurz zusammen:

    1. Du kannst nicht davon ausgehen, dass die private Keys clientseitig ausreichend gesichert sind (wie auch bei Passwörtern). Gerade, wenn du es Menschen einfachen machen willst, ist dies eben nicht der Fall.

    2. Nur WebAuthn ist natürlich besser als nur Passwort (besonders bei Phishing, da stimme dir ich zu), aber noch besser ist eine durch den Server durch mehre Faktoren bestätigte Authentifizierung, gerne auch mit WebAuthn als einen Faktor. Zusätzlich kommt noch hinzu: Angenommen der Server hat eine Sicherheitsschwachstelle, bei der WebAuthn Überprüfung, dann wärest du davor sicher, mit dem 2. serverseitigen Faktor, weil diese ja nicht die Überprüfung des 2. Faktors auf dem Server betreffen muss.

    3. Ich weiß nicht, wo du einen Strohmann siehst, aber der Titel dieser Diskussion lautet: »Anregung: Anmeldung mit Passkey im CCP«

    4. Ich glaube nicht das sich WebAuthn so einfach mit Gesundheitskarten/Geldkarten/dem elektronischen Personalausweis, etc. vergleichen lässt. Zudem kann es da genauso zu Sicherheitsproblemen kommen.

    5. Auch WebAuthn kann Sicherheitsprobleme haben. Es ist kein Allheilmittel.

  • Anregung: Anmeldung mit Passkey im CCP

    Wir reden hier über eine Anmeldung auf ein Panel, welches root Zugriff auf alle bei Netcup gebuchten Leistungen ermöglicht (und somit auch, sofern vorhanden, Zugriff auf dort gespeicherte persönliche/sensibele Daten dritter), nicht um ein Account mit dem auf einer WordPress Seite mal ein Kommentar geschrieben hat. Da finde ich MFA Zwang schon angebracht, welcher auf dem Server mehrere Faktoren überprüft.

  • Anregung: Anmeldung mit Passkey im CCP

    "Passkey" ist nur ein Marketing Name für WebAuth mit dessen Marketing Start Multi Device hinzukam. Und bei WebAuth hast du nur einen Faktor, das kannst du dir schönreden wie du willst, denn für die Authentifizierung ist nur der private Key von nöten, eine "kosmetische" (z.B. Biometrie) Absicherung ist da unrelevant. Wenn ich das mal nach deinen 3 Optionen vorrechne wäre das bei mir aktuell: 1. Besitz Gerät mit PW Manager 2. evt. PW/Biometrie für Zugriff auf Gerät 3. Wissen Masterpasswort/Biometrie 4. Besitz Handy mit TOTP App 5. evt. PW/Biometrie für Zugriff auf Gerät 6. Biometrie zur Entsperrung der App. Heißt das wäre 6FA (was natürlich unsinn ist). Den am Ende brauch ich nur den Seed von TOTP und das Passwort, heißt zwei Verpflichtende Faktoren, welche weiter gesicht werden können. Bei Passkey nur den private Key, heißt nur ein zwingender Faktor, Biometrie ist faktisch nicht verpflichtend beim Einsatz von WebAuth, bei Windows reicht da teils auch ne PIN und zwar die gleiche dir auch bei der Anmeldung in Windows genutzt wird.

    Zitat von Spin

    Denn ein Passkey (Ownership) funktioniert nur mit einem Authenticator, der ein weiteres Sicherheitsmerkmal verifiziert (i.d.R. Biometrie).

    Das ist einfach falsch, WebAuth wird in der Regel weiter abgesicht, wie auch jede TOTP App oder PW Manager, aber WebAuth funktioniert auch ohne weitere Clienseitige Absicherung.

    Zitat von Spin

    Hierzu sollte man sich verinnerlichen, dass MFA nicht voraussetzt, dass alle Faktoren serverseitig verifiziert werden (und eben dafür dann dein Fingerabdruck an den Server eingeschickt wird), sondern, dass eine Authentifizierung nur mittels mehrerer Faktoren stattfinden kann.

    Von mir aus nenn das MFA, aber wenn du Serverseitig nicht mindestens zwei Faktoren verifizierst, kannst du MFA auch sein lassen, da du eh nicht weißt ob mehrere Faktoren zum Einsatz kamen, letztendlich sagst du gerade, sollen sich Personen doch selbst drum kümmern, den Serverseitig verifizierten Faktor mit Clientseitigen Faktoren weiter zu sichern. Im übrigen selbst wenn du den private Key mit Biometrie sicherst, hast du wieder nur ein Faktor, da die Biometrie dann mit dem private Key im Prinzip gleichsetzbar ist.

    (Zu Beginn ich bin nicht sicher, ob das geht, aber ich halt es für sehr wahrscheinlich) Bei eigentlich jedem Gerät ist PIN/PW > Biometrie und PIN/PW ausreichend um Biometrie zu ändern, heißt wenn ich ein Handy mit PIN/PW habe auf dem WebAuth private Keys gespeichert sind, kann ich in den Einstellungen einfach die Biometrie zu mir ändern und hab am Ende nur durch Geräte PIN/PW + Besitz am Gerät zumindest temporären Zugriff auf alle private Keys ohne Biometrie.

    Zum BSI, dass kann schreiben was es will, die Öffentlichkeitsabteilung ist sowieso sinnlos aus meiner Sicht, aber genauso wie deren Passwort empfehlungen jedes Jahr anders gewürfelt werden, macht das bewerben eines "1FA" Verfahrens durch das BSI dieses Verfahrens das nicht sicher, effektiv wird damit auch beworben Anmeldedaten in der Cloud zu speichern, was nicht in jedemfall eine gute Idee ist. In den wenigsten fällen werden WebAuth private Keys nur lokal gespeichert. Es ist übrigens nich absurt wenn ich und das BSI verschiedene Ansichten haben wie von dir erwähnt.

    Ich hab ja kein Problem WebAuth neben einem anderen Faktor zu nutzten, der muss ja nichtmal ein Passwort sein. Die Zukunft kann gerne WebAuth + TOTP sein, aber nur WebAuth ist aus meiner Sicht keine gute Idee und es ist zwar zu 100% besser als nur PW, aber es bleibt weiterhin nur ein deutlich optimiertes ein Faktor Verfahren. WebAuth mit 2. Serverseitigen Faktor > Passwort mit 2. Faktor > WebAuth > Passwort

    Ich schätze du kennst das Schweizer Käse Modell, eine Käsescheibe mit wenig bzw. kleinen Löchern ist zwar gut, aber noch besser sind mehrere davon. Und Serverseitig kontrollierte Scheiben sind nochmal besser.

  • Anregung: Anmeldung mit Passkey im CCP

    Ich hab dazu schonmal in einem anderen Foreneintrag diskutiert (https://forum.netcup.de/netcup-anwendu…ccp/#post210084), auch wenn ich mich beim Punkt Phishing korrigieren muss, das ist tatsächlich nahezu unmöglich (aber Ich sehe da dennoch Möglichkeiten), da ist es teils leichter, Cookies zu klauen, sofern möglich. Aber ich finde es immer noch keine gute Idee von MFA auf einen Faktor zurückzuwechseln. Von mir aus Passwort und WebAuth als zweiten Faktor, aber WebAuth als einzigen Faktor zu nutzten ist wirklich keine gute Idee aus meiner Sicht. Sobald eine Person den Private Key hat, ist die ganze Sicherheit weg, wenn der lokal gespeichert ist, kann der genauso geklaut werden, mit physischem Zugriff, wie, auch wenn der in der Cloud liegt und der Anbieter sich nicht gut um Sicherung des Private Keys sorgt (siehe LastPass). Und zu sagen, aber Biometrie, macht keinen Sinn, fast jeder Passwortmanager kann mit Biometrie geschützt werden, dennoch sind Passwörter allein nicht ausreichend.

  • 2FA im CCP

    Zitat von jayjay_92

    Die Kommunikation läuft in dem Fall aber über Bluetooth LE was sicherstellen soll, dass der Authenticator, sprich das Handy in diesem Fall, in der Nähe ist.

    Naja ist zwar komplexer, aber lassen sich immer noch falsche QR-Codes generieren und die Verbindung wird dann über die Javascript-Bluetooth-API des Browsers hergestellt und so der Key abgefangen. Klar, ist deutlich komplexer, aber es gibt kein Allheilmittel gegen Phishing. Zudem bleibt Passkey kein 2FA, wenn du den Key abfängst oder irgendwie bekommst kannst du dich anmelden, dann lieber Passwort und WebAuthn/TOTP was wirklich 2FA ist. Und zur „Not“, wie hier schon erwähnt wurde, lässt sich per Phishing-Seite (vermutlich treffen es andere Begriffe besser) z. B. ein Browser-Add-on installieren, welches dann alles abfängt bzw. die Cookies überträgt. (Das ist jetzt sehr verallgemeinernd), aber Menschen die besonders anfällig für Phishing sind, bekommen es meist nicht mal mit dem Handy ein QR-Code zu scannen, ist jedenfalls in meinem Umfeld so...

  • 2FA im CCP

    Zitat von jayjay_92

    Du weißt aber schon, dass da nicht einfach nur ein QR Code gescannt wird, sondern Browser und Telefon noch miteinander kommunizieren?

    Ja, deswegen kann der QR-Code dennoch auf jedem beliebigen Gerät der Welt erstellt worden sein, Handy und Browser müssen ja nicht im gleichen LAN sein

  • 2FA im CCP

    Also ich sehe nur einen Faktor: den Passkey

    Wenn wir sowas aufzählen, dann wäre Password + TOTP hundertfach-FA, weil ich brauche ein Gerät um auf TOTP zuzugreifen, um die App zu öffnen brauche ich aber biometrische Daten oder eine Pin, um das auf dem Gerät erstmal freizuschalten, muss ich noch ein Passwort wissen und per SMS/E-Mail das freischalten und beim PW Manager nochmal das Gleiche.

    So funktioniert das nicht mit dem 2FA, sich Faktoren auszudenken, die keine sind. Den Punkt mit Phishing hast du, aber es ist immer noch möglich, nur schwerer.
    (TOTP-Tokens und Passwörter lassen sich übrigens merken, auch wenn die sicher sind, macht zwar vermutlich kein Mensch, ist aber möglich, anders als bei Passkeys).

    Gegen WebAuth (oder wie das aktuell heißt) hab ich nix, wenn das wirklich 2FA ist und ein Faktor Passwort und ein zweiter Faktor dann WebAuth.

  • 2FA im CCP

    Hoffentlich nicht, der Sinn von 2FA ist es zwei Faktoren zu haben und nicht wie Passkey es macht beide Faktoren zu streichen und durch einen Key zu ersetzten, da kann ich auch beim Passwort ohne 2FA bleiben, ist genauso unsicher. Das ist genauso sinnvoll wie 2FA Token und Passwort im gleichen Passwort-Manager zu speichern. Zumal bei Passkeys ja fast wirklich gesagt werden muss, dass die Keys fast nicht mal mehr mir gehören, sondern dem Unternehmen, wo ich die Keys speichere. Oder wenn die lokal gespeichert werden, dann sind mit dem Gerät auch all meine Anmeldedaten weg.