Authenticator Apps und mulmiges Bauchgefühl

[THUNDERDOMER]

Seitdem Google 2FA zur Pflicht wurde, geriet mich immer mehr ins Panikmode :(

Und ich habe keine andere Wahl als SMS oder per App zu autorisieren. Steam hab ich per Steam-App gesichert, Gmail per SMS, soweit gut.

Aber Discord zb kann ich nur mit Authenticator App wie Authy verifizieren, Email oder SMS lässt sich nichts zu.

Habe die Wahl und ich kann mich nicht voll entscheiden. Weil ich immer ständig denken muss, mein Nummer geht weg, Handy kaputt, komme nichts ran usw. Ich war nie ein Freund von 2Faktor :(

Microsoft Authenticator
+ verlangt kein Telefonnummer
- wenn MS Account gesperrt ist, komme ich nichts ran

Google Authenticator
- Handy kaputt? Alles weg

Authy
+ kann Backup machen, jedes Gerät übertragbar falls Handy kaputt ist
- verlangt Handynummer (Nummer weg? Halt pech)

Authenticator
- wenig Download, mulmiges Gefühl trotz 4,3 Sterne

FreeOTP Authenticator
- funktioniert nicht immer

Was mir übrig bleibt? Gesichtserkennung, das ist noch meilenweit Entfernt. Nicht jede PC hat ne Webcam.

Welche App nutzt es euch und gab es gute Erfahrungen? Schon mal verloren gegangen? :(

[ChaosTM]

2FA hab ich sofort wieder ausgeschaltet weil das mit Thunderbird unfassbar nervig wurde..

[THUNDERDOMER]

2FA hab ich sofort wieder ausgeschaltet weil das mit Thunderbird unfassbar nervig wurde..

Was genau wurde es zu nervig? :o

[lumines]

Grundsätzlich kommt es auf den Dienst an, wie das genau gehandhabt wird. Dass Discord nur TOTP als 2FA zulässt, stimmt so z.B. nicht. Du bekommst auch sogenannte "Recovery Codes", mit denen du genau dann, wenn du dein Handy verlierst oder aus irgendeinem anderen Grund keinen Zugriff auf deine TOTP-App hast, trotzdem noch Zugriff auf deinen Account bekommst. Meistens bekommt man so 10 - 12 Codes und jeder davon ist nur einmal gültig. Damit würdest du dich also zur Not einloggen.

Auch Google bietet solche Recovery Codes an. Die solltest du definitiv nutzen. Speicher sie nicht auf deinen Rechnern und druck sie am besten einfach aus. Schreib eventuell auch noch das Datum drauf, wann die Codes generiert wurden.

Zusätzlich ein kleiner Tipp: 2FA per TOTP ist ein sehr simples Verfahren. Im Grunde ist der QR-Code, den du scannst, ein Secret Key, welcher genutzt wird, um eine Nachricht zu authentifizieren (bei TOTP ein Timestamp).

Meistens kannst du dir diesen Schlüssel auch als Zeichenfolge anzeigen lassen und niemand hindert dich daran, ihn einfach aufzuschreiben oder irgendwo zu speichern. Alternativ kannst du auch den QR-Code manuell über eine App auslesen und den Inhalt dann speichern. So oder so, du kannst auf jeden Fall ein "Backup" davon erstellen.

Das ist vielleicht nicht die reine Lehre, aber wenn das für dich ein sinnvoller Kompromiss ist, dann spricht nicht viel dagegen.

Du solltest übrigens SMS als 2FA vermeiden.

2FA hab ich sofort wieder ausgeschaltet weil das mit Thunderbird unfassbar nervig wurde..

SMTP und IMAP können offiziell auch kein 2FA. Wobei mir nicht so ganz klar ist, was daran "nervig" sein soll. Es ist schlicht nicht vorgesehen.

[THUNDERDOMER]

Danke, aber da wurde noch nichts erwähnt welche App sind empfehlenswert. :(

[Morpog]

Ich nutze AndOTP und bin zufrieden damit.

[meikon]

Empfehle Aegis, ist sowohl im Play Store als auch via F-Droid erhältlich https://github.com/beemdevelopment/Aegis

[Turrican-2]

Authy
+ kann Backup machen, jedes Gerät übertragbar falls Handy kaputt ist
- verlangt Handynummer (Nummer weg? Halt pech)

Ich nutze auch Authy, da die Backup Lösung sehr komfortabel ist und Authy mehrere 2FA Dienste vereint. Ich war glücklicherweise noch nicht in der Situation Handy und SIM-Karte zu verlieren, jedoch scheint es hierfür ein offizielles FAQ zu geben: https://support.authy.com/hc/en-us/articles/115012672088-Restoring-Authy-Access-on-a-New-Lost-or-Inaccessible-Phone

[Simon]

Ich benutze Authy schon sehr lange. Backups und Smartphone Wechsel geht da problemlos. Bin zufrieden.

Verstehe gar nicht, was das Problem ist. Mit dem privaten Email Konto von jemanden kann man sehr viel Schaden anrichten. Da ist der Schutz von dem Konto genau so wichtig wie beim Bank Konto. Vor allem, da immer mehr Dienste 2FA Codes an die email Adresse schicken …

[erlgrey]

du kannst TOTP auch mit zb. keepassXC speichern, die .kdbx kann man ja wie gewohnt dann auf mehreren devices lassen bzw. syncen.

zu bedenken ist halt, wenn man sowohl die zugangsdaten als auch TOTP generierung in der gleichen pw db hat, ist das 2FA konzept ja schon ausgehebelt. Insofern würde es sich empfehlen zumindest eine kdbx für credentials und eine andere kdbx für TOTP zu verwenden.


edit: keepassxc am PC, keepass2android auf android

[THUNDERDOMER]

Ja aber was passiert wenn ich Authy an das neues Gerät einloggen will, wenn ich kein gültige Handynummer mehr besitze und neue Nummer bekommt?

Da bin ich dann ausgeliefert :(

[Simon]

Ja aber was passiert wenn ich Authy an das neues Gerät einloggen will, wenn ich kein gültige Handynummer mehr besitze und neue Nummer bekommt?

Da bin ich dann ausgeliefert :(
Du loggst dich mit dem Backup Passwort ein. Und hast natürlich Backups aktiviert.

[ChaosTM]

@thunderdomer und lumines - nervig, weil es einfach nicht funktioniert hat.
Mit einem neuen App Passwort funktioniert es jetzt.
Gibt doch etwas mehr Sicherheit.

[yons]

Authy.
Läuft nicht nur auf'm Smartphone, sondern auch parallel auf Laptop und Desktop. Und solange Du Zugriff auf eines der Geräte hast, kannst Du neue Geräte einrichten, die Rufnummer ändern etc.
https://authy.com/phones/change/

[THUNDERDOMER]

@thunderdomer und lumines - nervig, weil es einfach nicht funktioniert hat.
Mit einem neuen App Passwort funktioniert es jetzt.
Gibt doch etwas mehr Sicherheit.

Wie meinst du das? Heißt backup Code funktioniert nicht richtig?

[ChaosTM]

Thunderbird braucht ein eigenes App Passwort, dass von Google generiert wird für die 2Fa.
Das erste hat nicht funktioniert.
Backup Codes hab ich beim Google Authenticator noch nie gebraucht.

[THUNDERDOMER]

Thunderbird braucht ein eigenes App Passwort, dass von Google generiert wird für die 2Fa.
Das erste hat nicht funktioniert.
Backup Codes hab ich beim Google Authenticator noch nie gebraucht.

Achso. Thunderbird nutze ich nie. Ich habe nur einziges Handy, da scheidet Google Auth raus (hab kein Backup-Handy da mein alte Galaxy S4 kaputt ist) bleibt mich nur noch Authy.

Hat jemand noch Erfahrung mit Microsoft Authenticator?

[blackbox]

Bei meinen Wechsel vom S8 zum S10 wurde Google Authenticator nicht übernommen.
Dabei habe ich die Samsung-eigene Backuplösung genommen.

Habe ich erst bemerkt, als ich den Authenticator nutzen musste. Ziemlich bescheiden.
Zumindest konnte ich es wieder neu einrichten.

So ein Smartphone ist heutzutage ein Generalschlüssel für alles. Wenn das weg ist (defekt, gestohlen, verloren), dann ist man echt aufgeschmissen. Im Prinzip braucht man ein Backup-Smartphone im Sinne eines Ersatzschlüssels. Aber wer hat das schon?

Habt ihr dafür eine Lösung?

[erlgrey]

ja

[ChaosTM]

Das neu einrichten des Authenticators hat bisher immer problemlos funktioniert. Auch wenn das alte Handy zerstört war.

Für den Notfall sollte man sich aber Backup Codes erzeugen lassen und diese ausdrucken.
Ein Ersatzhandy schadet aber nicht und erleichtert vieles.

[Simon]

Bei meinen Wechsel vom S8 zum S10 wurde Google Authenticator nicht übernommen.
Dabei habe ich die Samsung-eigene Backuplösung genommen.

Habe ich erst bemerkt, als ich den Authenticator nutzen musste. Ziemlich bescheiden.
Zumindest konnte ich es wieder neu einrichten.

So ein Smartphone ist heutzutage ein Generalschlüssel für alles. Wenn das weg ist (defekt, gestohlen, verloren), dann ist man echt aufgeschmissen. Im Prinzip braucht man ein Backup-Smartphone im Sinne eines Ersatzschlüssels. Aber wer hat das schon?

Habt ihr dafür eine Lösung?
Wie oben schon erwähnt: backup codes.

[blackbox]

Mir geht es nicht nur um den Authenticator, sondern allgemein.

Wenn das Smartphone weg ist: kein Impfnachweis mehr, kein Bezahlen mehr, keine Messenger mehr, kein 2FA mehr und was weiß ich, was alles nicht mehr geht im Alltag. Bald wird ja auch Führerschein und alles Mögliche auf das Smartphone kommen.

[sven2.0]

Mir geht es nicht nur um den Authenticator, sondern allgemein.

Wenn das Smartphone weg ist: kein Impfnachweis mehr, kein Bezahlen mehr, keine Messenger mehr, kein 2FA mehr und was weiß ich, was alles nicht mehr geht im Alltag. Bald wird ja auch Führerschein und alles Mögliche auf das Smartphone kommen.

Backup

[blackbox]

Genau das funktioniert meiner Erfahrung nach nicht zuverlässig. Es wird einfach nicht alles gesichert.

Beispiel:
Meinen Impfnachweis musste ich auch neu einscannen.

Und was ist, wenn du ein anderes Smartphone bekommst? Funktioniert das Backup dann überhaupt?

Aber das wird jetzt doch langsam zu OT von mir.

[ChaosTM]

Da hilft nur ein 2. Gerät, dass man möglichst up2date hält.
Deshalb hab ich das alte One+ auch nicht verkauft.
Man muss nur aufpassen, da manche Apps direkt auf das Handy selbst und nicht nur auf die Nummer eingestellt sind. Da muss man das Ersatzgerät erst hinzufügen. Banking Apps zb.

Whatsup kann das mittlerweile auch, Signal schon etwas länger iirc.

[lumines]

Thunderbird braucht ein eigenes App Passwort, dass von Google generiert wird für die 2Fa.
Das erste hat nicht funktioniert.
Backup Codes hab ich beim Google Authenticator noch nie gebraucht.

Ein separates App-Passwort ist kein 2FA. Es ist eigentlich eine Art Bearer Token.

Wie gesagt, IMAP / SMTP kennt so etwas wie 2FA nicht, daher machen das einige Mail-Anbieter so (oder eben so etwas wie OAuth).

Mir geht es nicht nur um den Authenticator, sondern allgemein.

Wenn das Smartphone weg ist: kein Impfnachweis mehr, kein Bezahlen mehr, keine Messenger mehr, kein 2FA mehr und was weiß ich, was alles nicht mehr geht im Alltag. Bald wird ja auch Führerschein und alles Mögliche auf das Smartphone kommen.

Der Impfnachweis kann auch Offline ohne Smartphone auf Papier validiert werden. Du kannst so viele Kopien erstellen wie du willst.

Für 2FA per TOTP kannst du meine "Backup"-Methode aus meinem letzten Beitrag nutzen. Du brauchst keine Smartphone-App dafür, du musst nur irgendwie TOTP mit den jeweiligen Schlüsseln durchführen können. Das kann auch eine Art PowerShell- oder Bash-Skript sein, solange du die entsprechenden HMAC-Algorithmen nutzen kannst. Auf GitHub wirst du schnell fündig.

2FA über separate, proprietäre Apps ist ein Problem, ja. Da muss der Anbieter (z.B. Steam oder Blizzard) irgendwelche separaten Backup-Codes anbieten.

Genau das funktioniert meiner Erfahrung nach nicht zuverlässig. Es wird einfach nicht alles gesichert.

Beispiel:
Meinen Impfnachweis musste ich auch neu einscannen.

Ja, dass du den neu einscannst, ist genau so vorgesehen. Du hast den Impfnachweis auf Papier "gesichert".

Und was ist, wenn du ein anderes Smartphone bekommst? Funktioniert das Backup dann überhaupt?

Das kommt ganz drauf an, wie du das Backup erstellst. Ich würde solche Sachen eher auf Papier oder in ein einfaches Textformat auf ein verschlüsseltes Medium (oder unverschlüsseltes, wenn das in Ordnung ist) backuppen.