Passwörter

Von Karim Geiger — unter Ideas, Internet am 30.05.2016

Cover

Wer kennt sie nicht? Passwörter wie “123456”, “password” und “qwerty”. Dass das unsicher ist, muss man keinem sagen. Trotzdem werden sie so häufig verwendet, wie sonst keine.

Wieso? Ganz einfach. Weil den meisten Leuten Passwörter egal sind. Der Aufwand, sich ein komplexes Passwort zu merken, ist zu hoch, und die Daten, die sie schützen, sind es – ihrer Meinung nach – nicht wert geschützt zu werden. Ergo werden unsichere Passwörter verwendet, meist sogar eines für alle Dienste, bei denen man sich registriert.

Ein weiteres Problem bei den Passwörtern ist, dass Maschinen einfach viel zu gut im Raten sind. Früher war ein Schloss mit ein paar Zahlenkombinationen recht sicher, weil es Monate dauern würde jede Kombination auszuprobieren, und man dafür im Besitz des Gegenstands sein musste. Aber Computer sind dabei selbstverständlich schneller. In ein paar Minuten haben aktuelle Systeme einige Passwörter entschlüsselt. Und damit ist das Konzept des Passwortes meiner Meinung nach veraltet. Etwas Neues muss her.

Deswegen gibt es Two-Factor-Auth. Selbstverständlich bietet dieser Mechanismus einen weiteren Sicherheits-Layer, da nicht nur ein Passwort benötigt ist, sondern auch noch ein Einmalpasswort, welches meist per E-Mail oder SMS zugesandt wird. Toll! Zwei Passwörter, die man eingeben muss! Somit wird Two-Factor-Auth auch, sofern nicht Pflicht, nur von den Leuten verwendet, die sowieso schon ein sicheres Passwort vergeben. Gewonnen hat man dadurch also nicht wirklich viel, außer eine zusätzlich verschwendete Minute bei jedem Login.

Die Zeit ließe sich etwas verkürzen, wenn das Ganze per Push realisiert würde. Etwas, das für mich selbstverständlich ist. Ich verstehe einfach nicht, wieso Twitter die einzige Firma ist, die eine entsprechende Funktion implementiert hat. Während alle anderen Firmen einen meist sechsstelligen Code versenden, den man dann umständlich in die Login-Maske eintippen muss, sendet Twitter ganz einfach eine Benachrichtigung an das Smartphone mit der Meldung “xyz versucht, sich in Ihren Account einzuloggen. Zulassen? [Ja] [Nein]”. Klickt man auf Ja, wird die Login-Seite aktualisiert und man ist eingeloggt. Ein Wunder? Nein. Technik. Das Ganze ließe sich sogar per SMS in Verbindung mit einem Einmallink realisieren. Wieso also nicht? Ich verstehe es nicht.

Und dieser Punkt bringt mich einen Schritt weiter: Lasst das Passwort ganz weg. “OMG! IST DAS NICHT TOTAL UNSICH…” Nein. Lasst uns folgendes Szenario durchspielen: Ich habe ein unglaublich sicheres Passwort für meinen E-Mail-Account. Trotzdem wurde dieser gehackt und der Angreifer hat Zugriff darauf. Jetzt möchte er sich bei Service X anmelden. Das Passwort ist nicht das gleiche, und Two-Factor-Auth ist deaktiviert. Er drückt auf “Passwort zurücksetzen” und bekommt prompt eine Mail, mit der er das Passwort ganz einfach zurücksetzen kann. Der Angreifer kann sich nun bei Service X anmelden.

Jetzt dasselbe Szenario ohne Passwort, dafür aber mit Bestätigung des Logins via E-Mail: Der Angreifer, welcher Zugang zum E-Mail-Konto hat, gibt den Benutzernamen bei Service X ein, und bekommt einen Einmal-Link per E-Mail zugesandt, wodurch er sich nun einloggen kann. Im Endeffekt ist der Ablauf also genau gleich, nur muss der Angreifer nicht vorher noch ein neues Passwort vergeben. Sicherer wird es, wenn wir den Login-Request auf das Smartphone auslagern. Eine universelle App – ähnlich dem Google Authenticator – bekommt von Service X bei jedem Login-Request eine Push-Benachrichtigung, um den User zu fragen. Über das Interface der App kann man nun – nachdem man sich per Fingerprint authentifiziert hat – den Login bestätigen oder ablehnen. So muss der Angreifer Zugriff auf das Smartphone haben, und auch das gekaperte E-Mail-Postfach hilft hierbei nichts.

Die Vorteile:

  • Brute-Force-Angriffe auf Accounts können nicht mehr stattfinden
  • Gehackte Services können keine (gehashten) Passwörter mehr leaken
  • Social Engineering funktioniert nicht mehr
  • Der Nutzer kann keine unsicheren Passwörter mehr vergeben

Und wenn nicht jeder sein eigenes Süppchen kocht und es eine zentrale App dafür gibt:

  • Verliert man das Smartphone, könnte man sofort alle Zugriffe revoken.
  • Alle aktiven Logins können zentral in einer App eingesehen werden.

Die Nachteile:

  • (Smartphone benötigt/ließe sich aber auch per E-Mail oder SMS realisieren)
  • Wenn das Smartphone gehackt wird, und man es nicht merkt, ist es halt kacke
  • Obligatorische German Angst
  • Single Point of Failure

Anmerkung:

Ja, dieses Konzept ist nicht mit Two-Factor-Auth gleichzusetzen, da ein (gutes) Passwort selbstverständlich zusätzliche Sicherheit bietet. Allerdings wird Otto Normalverbraucher im Durchschnitt wesentlich seltener angegriffen werden können, da die Komponente des unsicheren Passworts einfach wegfällt. Selbstverständlich wäre es möglich, das Konzept entsprechend zu erweitern, um OPTIONAL noch ein Passwort pro Service zu fordern. Damit wäre man dann wieder bei Two-Factor-Auth, jedoch mit dem Passwort als optionalem Parameter. Das würde dann einen gewissen Basisschutz für alle bieten mit einer Option zur zusätzlichen Sicherheit für die Paranoiden unter euch.

Co-Anmerkung:

Dadurch würde auch die Anzahl der Promi-Leaks deutlich sinken, da diese meist nur durch Brute-Force-Angriffe oder Social Engineering stattfinden. Und selbstverständlich wären Hacker-Angriffe auf einzelne Services weniger dramatisch.

Bildquelle: Mr Wallpaper

Chrome Complete Tab Sync

Von Karim Geiger — unter Google, Ideas, Internet am 24.11.2014

Cover

Ich nenne es Chrome Complete Tab Sync, weil Google Chrome von Haus aus einen Tab Sync anbietet. Dieser erfüllt aber nicht die Wünsche, die ich an einen Tab Sync habe. Leider gibt es keine Extension (vermutlich aufgrund fehlender Berechtigungen), welche das ganze so realisiert, wie ich mir das vorstelle.

Lasst mich kurz erklären, was ich mir wünsche: Ich verwende täglich mehrere Rechner mit unterschiedlichen Betriebssystemen und möchte an allen meine Arbeit dort fortführen, wo ich aufgehört habe. Datenmäßig klappt das dank Dropbox, Seafile und co. relativ gut, doch was Programme angeht ist es eine absolute Katastrophe. Da ich ein stolzer Tab-Messie bin, der unter keinen Umständen weniger als 15 Tabs offen hat, ist es vermutlich selbsterklärend wie nervig es für mich ist mich an einen anderen Rechner zu setzen. Dank Googles Tab Sync kann ich zwar – wenn ich den spezifischen Tab denn brauche – ihn von einem anderen Rechner herholen, indem ich einen neuen Tab auf mache, chrome://history eintippe, auf “x more…” und schließlich auf den entsprechenden Tab drücke.

Ich glaube ich muss nicht extra erklären, dass das vier Aktionen zu viel sind, oder? Ich kann auch alle Tabs aus der Session des anderen Rechners mit derselben Methode wiederherstellen. Aber nur manuell, wieder mit 4 Klicks. Und dann laden alle Tabs neu, nicht nur die neuen, sondern alle. Und ich muss danach auch noch das “alte” Browserfenster schließen. Vergesse ich einmal vor der Benutzung diese Aktion zu tun, muss ich mühselig die alten und die neuen Tabs migrieren. Dazu kommt noch, dass der Tab Sync (zumindest bei mir) nur zu etwa 60% funktioniert, was absolut ungenügend ist.

Ich wünsche mir also ein Feature, das – wie auch immer es aussehen mag – Plattformunabhängig (Android/iOS müssen nicht dabei sein) meine Tabs synchronisiert und direkt nach Browserstart meine alten Tabs schließt und die dazugekommenen öffnet, inklusive Anpinnen der angepinnten Tabs. Möglich? Vermutlich nicht. Traurig? Vermutlich schon. Das Jahr 2014? Fühlt sich nicht so an.

Update Dezember 2015: Meine Gebete wurden erhört. Es gibt eine Chrome-Erweiterung, welche genau das übernimmt. Sie ist nicht perfekt, aber besser als nichts.

Hardwarebasierte Fernwartung

Von Karim Geiger — unter Ideas, Internet am 09.01.2014

Immer wieder gibt es das Problem, dass man auf seinen Rechner aus der Ferne zugreifen möchte, wenn dieser nicht gebootet ist. Dann gibt es entweder die Möglichkeit über Umwege den Rechner mit einem WOL-Request zu starten oder ihn.. naja.. nicht auszuschalten. Was aber, wenn der Rechner dauerhaft dem physikalischen Zugriff entzogen ist und man das System neu aufsetzen möchte? Ohne entsprechendes Recovery-System oder einen Depp-Vom-Dienst-Der-Knöpfe-Drücken-Darf-Service wird man dann nicht weit kommen. Klar, Fernwartungssoftware gibt es zu genüge und auch bei virtualisierten Systemen ist das alles kein Problem, doch gibt es immer noch genug Systeme, die allein aus Performance-Gründen auf dem Host laufen müssen und bei denen eine Einbuße der Rechenleistung durch Aufnahme und Übertragung des Bildschirminhaltes eher suboptimal wäre.

Warum also keine hardwarebasierte Fernwartung? Intel bietet mittlerweile eine KVM-Remote-Technik an, welche theoretisch genau das macht, was ich mir vorstelle, nur gibt es dort zwei Schwachpunkte:

  1. Es braucht wieder eine Person, die ein Passwort angibt. Eine vorkonfigurierte Fernwartung ist also nicht möglich.*
  2. Die CPU sowie das Mainboard müssen diese Technologie unterstützen. Und damit sind sie raus.

Das Konzept

Ähnlich einem KVM-Switch werden Tastatur, Maus, Netzwerk und Video gesplittet und einmal an einen Minicomputer übertragen, welcher später die Fernwartung übernimmt, sowie an die eigentlichen Geräte weitergeleitet. Der Nutzer kann also problemlos weiter auf seinen Monitor starren, sein Internet benutzen und mit Maus und Tastatur Eingaben tätigen. Der Minicomputer nimmt wenn nötig das Bildschirmsignal auf und leitet es über einen per Internet erreichbaren “Proxy”-Server an den Client weiter, andersrum nimmt dieser Maus- und Tastatur-Eingaben von dem entfernten Rechner entgegen und leitet sie weiter an den Endrechner. Somit ist es einem möglich den Rechner vom BIOS an zu steuern und das ganz ohne, dass das System zusätzliche Rechenaufgaben erledigen muss.

Die theoretische Umsetzung

Voraussetzungen:

  • USB-Switch, der es ermöglicht zwei Peripheriegeräte (Maus und Tastatur) von zwei Hosts an einen weiterzuleiten
  • (Ethernet-Switch, der sowohl dem Host als auch dem Minicomputer einen Netzwerk-Port bereitstellt)
  • HDMI-Splitter, der ein HDMI-Signal auf zwei Ausgänge aufteilt
  • HDMI-Capture-Modul, das das HDMI-Signal interpretieren und als Stream wiedergeben kann
  • Minicomputer, der mit dem Rechner, dem Switch und dem Server kommuniziert
  • Proxy-Server, der von beiden Seiten erreichbar ist (erspart Port forwarding)
  • Client-, Proxy- und Server-Software

Steckt man all das elegant zusammen, so bekommt man ein fertiges Produkt, das man als fertigen Service anbieten kann. Die Switches, der Splitter, das Aufnahmegerät und der Minicomputer sind alle in einem kompakten Gerät enthalten, welches der Anwender letzten Endes nur noch zwischen PC und Ein-/Ausgabegeräte stecken muss. Sobald der Minicomputer eine Netzwerkverbindung bezogen hat, kann er sich anhand seiner Seriennummer beim zentralen Server melden und wird dann einem Useraccount fest zugewiesen, welcher nur noch den Client auf einem entfernten Rechner installieren muss. Damit nicht jeder, der das Passwort hat einfach so auf den Bildschirm gucken kann, gibt es natürlich viele Möglichkeiten. Eine wäre, eine Two-Factor Authentication, bei der der Nutzer die Fernwartung erst per Code bestätigen muss oder eine einfache Leuchtdiode, welche anfängt zu blinken, sobald gestreamt wird.

Die Vorteile, die sich mir bei diesem Konzept erschließen sind denke ich mal klar ersichtlich: Wer diese Hardware hat, kann sie garantiert auch nutzen. Wenn also Omi oder Mutti ständig ein Problem mit dem Rechner hat, kann man ihr schnell eine solche Box dazwischen schalten (welche denke ich für 30-40 Euro bei Massenproduktion verkauft werden kann) und muss sich nie wieder Sorgen um den PC machen. Ebenso kann man seine eigenen Systeme fernwarten, selbst wenn der VPN mal wieder ausfällt, weil die FritzBox vergessen hat dem dynamischen DNS-Server ihre neue IP mitzuteilen.

Nachteil: Kostet.

 

*vielleicht lässt sich das aber konfigurieren, wovon ich jedoch nicht ausgehe, da das eine Sicherheitslücke für Unternehmen darstellen würde.

microLAN

Von Karim Geiger — unter Ideas am 02.09.2013

Cover

lan_kabel_grossDies ist nur ein kurzer Blogpost, in dem ich dich um deine Meinung zu einer Idee bitte. Warum gibt es noch kein microLAN und warum hat sich noch niemand Gedanken darüber gemacht?

Die Laptops werden immer dünner, die Tablets sowieso. Kein Platz für LAN/Ethernet-Ports mehr. Die Dinger sind ja höher als der VGA-Anschluss! Das muss doch nicht sein. Was spricht also gegen einen LAN-Port, der die Größe von USB/microUSB hat und sonst genau wie der normale Stecker funktioniert. Ich stelle mir also ein Kabel vor, das auf der einen Seite einen normalen LAN-Anschluss hat und auf der anderen microLAN. So kann man seinen Switch ganz einfach mit seinem Tablet/Ultra Slim Laptop verbinden, das natürlich einen microLAN-Port hat. Ganz ohne nervige Adapter o.ä.

Aus technischer Sicht sollte es doch möglich sein den Anschluss auf die entsprechende Größe zu bekommen. Ja, die Stecker werden abgeschirmt, aber die Kabel an sich sind auch nicht so groß wie die Stecker. Es kann also nicht sein, dass die Steckergröße technisch am Minimum ist.

Und nun deine Meinung: Ist das sinnvoll, was spricht dagegen und warum gibt es das noch nicht?

Ordner sind überholt

Von Karim Geiger — unter Ideas, MacOS, Visionen am 08.10.2012

Ordner.. Weißt du noch, damals? Als man sein wichtiges Bankdokument noch schön in den Ordner “Wichtig” einsortiert hat? Nun.. Zugegeben, das ist heute leider immer noch so. Aber die Entwicklung geht immer mehr in die richtige Richtung. Zumindest teilweise. Wir sind mittlerweile so weit, dass fast alles digitalisiert wurde. Wir brauchen von Jahr zu Jahr immer weniger Papier. Mein Ziel seit zwei Jahren ist es, nur wenn es unabdingbar ist, auf Papier zu schreiben. Dazu gehören bis jetzt nur Berufsschule, Unterschriften beim Einkaufen und Verträgen sowie Kuzrmemos an die Generation Tod-Den-Bäumen. Der Rest – wie etwa Notizen, Einkaufslisten, Dokumente oder sonstiger Bullshit – lässt sich nahezu problemlos auf das Internet ausweiten. Dank Smartphone, PC und Tablet ist das ganze mittlerweile sogar praktischer als Papier. Vor allem, weil man seine eigene Schrift lesen kann.

Aber zurück zum Thema. Du hast also nun dein wichtiges Bankdokument, welches du in deinen Ordner “Wichtig” legst. Ob nun physikalisch oder digital ist hier egal. Später merkst du nun, dass du so viele wichtige Dokumente hast, dass eine Unterteilung doch praktisch wäre. Also legst du einen Register beziehungsweise einn Unterordner unter Wichtig mit dem Namen Bank an. Hier legst du dein Dokument nun ordentlich rein.

Da du ein sortierter Mensch bist und möchtest, dass alles seinen Platz hat, willst du nun deine Kontoauszüge ebenfalls einsortieren. Diese sind aber nicht so wichtig wie die Zugangsdaten, die bereits unter Wichtig/Bank liegen. Also legst du neben dem Ordner Wichtig einen weiteren an: Bank

Hier sollte aber auch das wichtige Bankdokument hinein. Es ist ja schließlich auch ein Dokument der Kategorie Bank. Das Problem ist, dass es schon untergebracht ist. Ab hier hast du drei Optionen: Du kopierst das Dokument und legst somit ein weiteres, unabhängiges Dokument an. Bist du am PC hast du zusätzlich de Möglichkeit eine Verlinkung hinzuzufügen. Des weiteren kannst du damit leben, dass es halt so ist und dich wichtigeren Dingen im Leben widmen.

Wäre es nicht praktischer, wenn wir weg von der sturen One-To-Many-Relationship wegkommen und ein System entwickeln, bei dem wir viel mehr Möglichkeiten haben? Gibt es doch schon! Gibt es im Thunderbird, gibt es in Google Mail, etc. Warum aber nicht im Dateisystem? Ja, bei OS X kann man auch so eine Art Label setzen, aber das meine ich nicht.

Was ich möchte, ist ein Dateimanager (optional auch ein ganzes Dateisystem.. Damit würde man aber dem gesamten Betriebssystem in die Nieren treten) der labeln kann. Soll heißen: Ich gehe von der Datei – um bei unserem Beispiel zu bleiben – Bank_Pin.pdf aus, die ich nun mit Bank und Wichtig labeln möchte. Gesagt getan. Der Datei wurden jetzt fest zwei Labels zugeteilt.

Was bringt’s? Breite den Gedanken nun auf viele Files aus. Auf mehrere hundert oder tausend Files und viele verschiedene Labels. Folgende Möglichkeit bietet sich dir nämlich nun: Anzeigeregeln!

Wie es bei Datenbanken gang und gebe ist, könnte es auch bei Dateien sein. Bei Bildern, Musik und Videos: Zeige mir alle Bilder mit dem Label Privat und Urlaub, aber ohne dem Label Meer.

Ist das genial? Das ist genial!

Update Juni 2013: Sag ich doch. Mac OS X Mavericks hats eingebaut. Mich als visionär müsste man haben. Aber Hauptsache mal meine Ideen doof finden. Habter davon!

Bildquelle