2FA

Hier stehen Threads, die das Forum selbst betreffen, sowohl Listen zur Abarbeitung als auch neue Vorschläge zu Features, usw.
Forumsregeln
Bitte bei Vorschlägen sachlich bleiben und bei Argumentationen Vor- sowie Nachteile beleuchten!
Antworten
mumpel23
Chipsocampa
Beiträge: 231
Registriert: Mo 17. Jan 2022, 22:18
Wohnort: Lindau
Interessen: Alles außer Sellerie
Berufliche Tätigkeit: Betriebs- und Verkehrseisenbahner
Betriebssysteme & Version: Windwos 10 und 11
Kontaktdaten:

2FA

Beitrag von mumpel23 »

Hallo!

Da bin ich. ;) Möge es hier so gut werden wie das alte Forum.

Aber wie wäre es mit der Implementation von 2FA? Damit das Forum etwas sicherer wird.

Gruß, René
mmk
Chipsocampa
Beiträge: 135
Registriert: So 16. Jan 2022, 21:56
Kaffee, Tee, Kakao, oder?: Kakao
Kontaktdaten:

Re: 2FA

Beitrag von mmk »

Hallo René, sei auch Du herzlich willkommen!

Ob es so (gut) wird, wie das "alte", weiß ich nicht. Es wird auf jeden Fall anders. Vielleicht in den einen Bereichen etwas schlechter, in anderer evtl. besser. Sollte das Forum langfristig "angenommen" werden, auch unter Berücksichtigung geplanter zusätzlicher Informations-Bereiche "drumherum", ist ein späterer Wechsel zu einer anderen, professionelleren Forensoftware, die noch mehr Möglichkeiten bietet, nicht ausgeschlossen.

Und: 2FA hatte ich anfangs auch schon in Überlegung, zumindest für Admin- und Moderatorenaccounts, da diese ja höhere Rechte haben. Sowie ggf. für User, die es auf Wunsch für sich selbst aktivieren können, aber nicht müssen. Dieser Punkt kommt auf jeden Fall auf meine Evaluierungsliste.
mumpel23
Chipsocampa
Beiträge: 231
Registriert: Mo 17. Jan 2022, 22:18
Wohnort: Lindau
Interessen: Alles außer Sellerie
Berufliche Tätigkeit: Betriebs- und Verkehrseisenbahner
Betriebssysteme & Version: Windwos 10 und 11
Kontaktdaten:

Re: 2FA

Beitrag von mumpel23 »

mmk hat geschrieben: Di 18. Jan 2022, 20:14 zumindest für Admin- und Moderatorenaccounts
Das ist schon eine ganz große Hürde für Hacker. Die vereinbarten Secrets sollten aber trotzdem verschlüsselt sein. Aber angeblich gibt es bei phpBB kein 2FA. Bin mal gespannt ob ihr das (trotzdem) hinbekommt.
The Downloader
Chipsocampa
Beiträge: 279
Registriert: So 16. Jan 2022, 22:49
Wohnort: Niederrheinisches Hochgebirge: 50 m. ü. NN
Berufliche Tätigkeit: Hände in den Schoß legen
Betriebssysteme & Version: von Win 3.11 bis Win 11 alles gehabt
Kaffee, Tee, Kakao, oder?: original bayrisches Spezi

Re: 2FA

Beitrag von The Downloader »

Vielleicht erklärt mir mal jemand was 2FA überhaupt ist?
mmk
Chipsocampa
Beiträge: 135
Registriert: So 16. Jan 2022, 21:56
Kaffee, Tee, Kakao, oder?: Kakao
Kontaktdaten:

Re: 2FA

Beitrag von mmk »

2-Faktor-Authentifizierung zum Login: Neben dem Passwort wird ein weiterer Legitimierungsfaktor für den Login benötigt, z.B. eine App auf einem Smartphone.
mumpel23
Chipsocampa
Beiträge: 231
Registriert: Mo 17. Jan 2022, 22:18
Wohnort: Lindau
Interessen: Alles außer Sellerie
Berufliche Tätigkeit: Betriebs- und Verkehrseisenbahner
Betriebssysteme & Version: Windwos 10 und 11
Kontaktdaten:

Re: 2FA

Beitrag von mumpel23 »

The Downloader hat geschrieben: Di 18. Jan 2022, 21:08 Vielleicht erklärt mir mal jemand was 2FA überhaupt ist?
2FA = Zwei-Faktor-Authentisierung. Hast Du sicher schon gehört. ;)
The Downloader
Chipsocampa
Beiträge: 279
Registriert: So 16. Jan 2022, 22:49
Wohnort: Niederrheinisches Hochgebirge: 50 m. ü. NN
Berufliche Tätigkeit: Hände in den Schoß legen
Betriebssysteme & Version: von Win 3.11 bis Win 11 alles gehabt
Kaffee, Tee, Kakao, oder?: original bayrisches Spezi

Re: 2FA

Beitrag von The Downloader »

mumpel23 hat geschrieben: Di 18. Jan 2022, 21:17
2FA = Zwei-Faktor-Authentisierung. Hast Du sicher schon gehört. ;)
Und auch schon oft durchgeführt, aber die Abkürzung war mir nicht geläufig. Danke für die Aufklärung.
Vista64
Chipsocampa
Beiträge: 189
Registriert: So 16. Jan 2022, 22:39
Chips?: Weniger, aber andereres Knabberzeug

Re: 2FA

Beitrag von Vista64 »

Wenn man statt des Forenpseudonyms einen Benutzernamen eingeben müsste, der nur dazu da ist, sich anzumelden , so wie bei Heise?
Also bspw. melde ich mich nicht mit vista64 xxxxxx an, sondern mit Karl Otto xxxxxx. Im Forum erscheint Vista64, Karl Otto kennt nur die Forensoftware. So muss der Hacker 2 Unbekannte erraten. Mit dem Pseudonym ist nur noch eine Unbekannte erforderlich.
Mit Email ist es auch sicherer, wenn man sie nicht öffentlich macht.
mumpel23
Chipsocampa
Beiträge: 231
Registriert: Mo 17. Jan 2022, 22:18
Wohnort: Lindau
Interessen: Alles außer Sellerie
Berufliche Tätigkeit: Betriebs- und Verkehrseisenbahner
Betriebssysteme & Version: Windwos 10 und 11
Kontaktdaten:

Re: 2FA

Beitrag von mumpel23 »

Das kann aber alles erraten werden. Mit TOTP ist es noch sicherer.
roket
Chipsocampa
Beiträge: 117
Registriert: So 16. Jan 2022, 23:22
Betriebssysteme & Version: Windows 10 & 11, GarudaLinux
Kaffee, Tee, Kakao, oder?: DunkleSchoki
Chips?: hauptsache riffel! hauptsache salz!
Kontaktdaten:

Re: 2FA

Beitrag von roket »

solange die 2FA nicht nur per app sondern z.b. per mail geht hab ich nix dagegen,
ich hasse es ständigmein smarpthone suchen zu müssen weil ich es schlicht wenn ich zu hause bin nicht nutz.
mumpel23
Chipsocampa
Beiträge: 231
Registriert: Mo 17. Jan 2022, 22:18
Wohnort: Lindau
Interessen: Alles außer Sellerie
Berufliche Tätigkeit: Betriebs- und Verkehrseisenbahner
Betriebssysteme & Version: Windwos 10 und 11
Kontaktdaten:

Re: 2FA

Beitrag von mumpel23 »

roket hat geschrieben: Mi 19. Jan 2022, 18:04 solange die 2FA nicht nur per app sondern z.b. per mail geht hab ich nix dagegen,
Dann musst Du aber sicherstellen, dass die Hacker keinen Zugriff auf Dein Emailkonto bekommen. ;)
roket hat geschrieben: Mi 19. Jan 2022, 18:04 ich hasse es ständigmein smarpthone suchen zu müssen weil ich es schlicht wenn ich zu hause bin nicht nutz.
So richtig sicher ist 2FA m.E. mit Geräten, mit denen man nicht den Dienst nutzt. Empfehlenswert ist, dass man den TOTP-Code mit einem anderen Gerät erzeugt, nicht mit dem Gerät mit dem man den geschützten Dienst nutzt. Ich nutze einen Generator von Reiner-SCT, diese Geräte funktionieren autark ohne Anbindung ans Internet, und sind somit sicher vor Hackerangriffen. Diese Geräte kann man auch mit PIN schützen (nach 5-maliger Falscheingabe setzt sich das Gerät automatisch zurück) und somit am PC-Arbeitsplatz liegenlassen. Zudem gibt es auch für Windows einen TOTP-Generator (WinOTP).
Vista64
Chipsocampa
Beiträge: 189
Registriert: So 16. Jan 2022, 22:39
Chips?: Weniger, aber andereres Knabberzeug

Re: 2FA

Beitrag von Vista64 »

mumpel23 hat geschrieben: Mi 19. Jan 2022, 13:32 Das kann aber alles erraten werden. Mit TOTP ist es noch sicherer.
Wie soll denn ein 14-stelliges PW mit Benutzername erraten werden?
Wenn das im Klartext auf dem Server abgelegt ist schon, aber dann ist ein grundsätzliches Problem vorhanden.
Oder du erklärst mir Step by Step wie der Hacker an die Daten kommen will...

2FA ist m.E. nur dazu da, um die Last auf den Benutzer abzuwälzen. Mit ordentlichen Passwörtern und Benutzernamen, die nicht sichtbar auf dem Server abgelegt werden, ist das IMHO nicht knackbar.
Ordentliche Passwörter kann der Server auch kontrollieren und zu schwache ablehehnen. Habe ich alles schon gesehen.

Ich habe keine Lust, mich mit 2FA herumzuplagen. Reicht schon, wenn die Bank das verlangt.
Und wenn 2FA, dann müssen verschiedene Wege offen sein, wie Reiner SCT Authenticator, USB-Stick per Knopfdruck, aber nichts mit (nur) Handygefummel oder derartiges.
miezi71
Chipsocampa
Beiträge: 1222
Registriert: So 16. Jan 2022, 22:00
Wohnort: Thüringen
Interessen: Fotografie
Reisen im Wohnmobil
Berufliche Tätigkeit: eine Wichtige
Mein technisches Equipment: MacBook Pro 13 Retina Mid2014, Lenovo Thinbook 15 (2023), Samsung Tab A 10.5, Xiaomi Mi 12 Pro, Kamera Sony Alpha A7 III und II und ein bißchen Glas davor
Betriebssysteme & Version: Win 11,
Kaffee, Tee, Kakao, oder?: Je nach Laune, Kaffee, Tee, Kakao, Milch
Chips?: lieber Gummibärchen

Re: 2FA

Beitrag von miezi71 »

Ich stimme da Vista zu.

Ich denke hier wäre 2FA overdressed. Ein langes Passwort ist meines Erachtens ausreichen.
roket
Chipsocampa
Beiträge: 117
Registriert: So 16. Jan 2022, 23:22
Betriebssysteme & Version: Windows 10 & 11, GarudaLinux
Kaffee, Tee, Kakao, oder?: DunkleSchoki
Chips?: hauptsache riffel! hauptsache salz!
Kontaktdaten:

Re: 2FA

Beitrag von roket »

Zudem gibt es auch für Windows einen TOTP-Generator (WinOTP).
schön was es alles tolles irgendwo irgendwie gibt.

faktum ist die meisten dienste nutzen google authentihicator, oder andere apps für iOS oder android. und damit smartphone gebunden. den sinn dass teil im falle von gogole auth eventuell nocha uf dem pc zu installieren, erschließt sich mir nicht, weil dann kann ich genauso gut mein mail account nutzen.
mumpel23
Chipsocampa
Beiträge: 231
Registriert: Mo 17. Jan 2022, 22:18
Wohnort: Lindau
Interessen: Alles außer Sellerie
Berufliche Tätigkeit: Betriebs- und Verkehrseisenbahner
Betriebssysteme & Version: Windwos 10 und 11
Kontaktdaten:

Re: 2FA

Beitrag von mumpel23 »

miezi71 hat geschrieben: Mi 19. Jan 2022, 23:03 Ein langes Passwort ist meines Erachtens ausreichen.
Das haben die bei CHIP auch mal gedacht, ihr erinnnert euch sicher.
mumpel23
Chipsocampa
Beiträge: 231
Registriert: Mo 17. Jan 2022, 22:18
Wohnort: Lindau
Interessen: Alles außer Sellerie
Berufliche Tätigkeit: Betriebs- und Verkehrseisenbahner
Betriebssysteme & Version: Windwos 10 und 11
Kontaktdaten:

Re: 2FA

Beitrag von mumpel23 »

Vista64 hat geschrieben: Mi 19. Jan 2022, 22:52 Ich habe keine Lust, mich mit 2FA herumzuplagen.
Man muss den Code ja nicht jedes Mal eingeben. Man kann das so einstellen, dass der Code z.B. nur einmal alle 30 Tage abgefragt wird, oder nur bei der ersten Anmeldung je Gerät (oder dann beim Löschen der Cookies).
Vista64
Chipsocampa
Beiträge: 189
Registriert: So 16. Jan 2022, 22:39
Chips?: Weniger, aber andereres Knabberzeug

Re: 2FA

Beitrag von Vista64 »

mumpel23 hat geschrieben: Do 20. Jan 2022, 09:38
miezi71 hat geschrieben: Mi 19. Jan 2022, 23:03 Ein langes Passwort ist meines Erachtens ausreichen.
Das haben die bei CHIP auch mal gedacht, ihr erinnnert euch sicher.
Langes Passwort bedeutet nicht zwingend sicheres Passwort. Der Übertragungsweg wäre die einzige Schwachstelle (mitm), wenn der Server das PW als sicher genug betrachtet. Aber bietet nicht jeder Router heute, ein verschlüsselten DNS-Server zu aktivieren?
2FA muss vor allem eins sein: Unkompliziert. Also so ein Stick mit Knopfdruck ließe ich mir noch gefallen. So was kann man auch jedes mal abfragen.
Sowas wie der Reiner SCT Authenticator ist für mich nur die 2. Wahl.

Da ich die Cookies nach jeder Sitzung lösche, wäre die "Erleichterung" alle 30 Tage keine.
mumpel23
Chipsocampa
Beiträge: 231
Registriert: Mo 17. Jan 2022, 22:18
Wohnort: Lindau
Interessen: Alles außer Sellerie
Berufliche Tätigkeit: Betriebs- und Verkehrseisenbahner
Betriebssysteme & Version: Windwos 10 und 11
Kontaktdaten:

Re: 2FA

Beitrag von mumpel23 »

Wenn die Administratoren und Moderatoren 2FA nutzen ist das schon mal sicher, sofern nicht der Foren-Standard (den kennen auch die Hacker und somit die Schwachstellen) genutzt wird.
Techniktyp
Chipspezies8472
Beiträge: 1
Registriert: So 22. Sep 2024, 12:12

Re: 2FA

Beitrag von Techniktyp »

Hi, ist mein erster Post hier...

Wie sieht's denn heute mit 2fA in diesem Forum aus.

Ich selber habe mir ja schon vor etwas längerer Zeit zwei Yubikeys von der Firma XXXX zugelegt. Bin sehr zufrieden mit den Teilen.

Viele Grüße
Zuletzt geändert von miezi71 am So 29. Sep 2024, 10:52, insgesamt 1-mal geändert.
Grund: Url. moderativ gelöscht, Werbung
mumpel23
Chipsocampa
Beiträge: 231
Registriert: Mo 17. Jan 2022, 22:18
Wohnort: Lindau
Interessen: Alles außer Sellerie
Berufliche Tätigkeit: Betriebs- und Verkehrseisenbahner
Betriebssysteme & Version: Windwos 10 und 11
Kontaktdaten:

Re: 2FA

Beitrag von mumpel23 »

Wird es hier nicht geben. Angeblich kann das die Forensoftware nicht. Und da hier eh nichts los ist, werden sich Hacker eher nicht dafür interessieren.
Antworten