Anwenderspezifisches Kennwort

[dtp]

Hallo,

ich nutze neben iOS auch Windows und Android. Um da die Kalender mit den in der iCloud abgelegten Kalendern synchronsieren zu können, benötigt man ja bekanntlich in der Regel ein anwenderspezifisches Kennwort.



Das Anlegen dieser Kennwörter ist schnell gemacht. Was ich mich aber regelmäßig frage ist, warum man ein einmal angelegtes Kennwort nicht mehr einsehen kann. Sprich, wenn ich es mir nicht notiere, muss ich es immer wieder neu anlegen. Ich frage mich, warum das so ist. Oder habe ich da nur etwas übersehen?

 

[hotrs]

Der Gedanke dabei ist wohl, dass jedes generierte Kennwort nur genau einmal verwendet wird. Andere Dienste verhalten sich da ähnlich und lassen teilweise eine Benennung der generierten Passwörter zu, um sie später erneut zuordnen zu können.

Du brauchst ein Kennwort für eine weitere Anwendung? Bitte ein neues Kennwort generieren. Du musst die gleiche App auf dem gleichen System erneut einrichten? Bitte das alte Kennwort löschen und ein neues generieren.

Des weiteren müsste der Anbieter, in diesem Fall also Apple, die Passwörter speichern, was ein Sicherheitsproblem darstellen würde.

 

[dtp]

Des weiteren müsste der Anbieter, in diesem Fall also Apple, die Passwörter speichern, was ein Sicherheitsproblem darstellen würde.

Nun ja, das Passwort für meine Apple ID muss ja auch gespeichert werden. Und auf die anwenderspezifischen Passwörter komme ich ohne Zugang zu meiner Apple ID ja gar nicht.

Man kann übrigens ein anwenderspezifisches Passwort durchaus für mehrere Anwendungen verwenden und muss nicht für jede extra eines anlegen.

Ist natürlich kein Beinbruch, mal eben schnell ein neues erstellen zu lassen. Ich habe mich halt nur gefragt, warum das so ist.

 

[Wuchtbrumme]

Nun ja, das Passwort für meine Apple ID muss ja auch gespeichert werden.

das ist nicht so (oder besser: es sollte nicht so sein). Es wird ein Hash davon gespeichert, d.h. ein Ergebnis einer algorithmischen Verarbeitung und jedes Mal, dass Du das als einziger Kennender das Passwort eingibst, wird die Verarbeitung dieser Eingabe genau wieder den Hashwert ergeben, mit dem es verglichen wird und folglich das richtige sein.

Die Rückberechnung aus dem Hashwert ist absichtlich so schwierig, dass zuviel Rechenzeit notwendig wäre.

 

[dtp]

Wie dem auch sei. An die anwenderspezifischen Passwörter komme ich ja nur, wenn ich Zugriff auf meine Apple ID habe. Somit sind sie genau so sicher oder unsicher, wie alle meine anderen in der iCloud gespeicherten Daten.

 

[hotrs]

Eben, Kennwörter werden heutzutage in der Regel beim Dienstanbieter nicht mehr im Klartext gespeichert. Selbst Clients brauchen Kennwörter heute nicht mehr unbedingt speichern, sondern benötigen diese nur einmalig bei der Anmeldung an einem Dienst und verwenden dann sogenannte Tokens für den weiteren Zugriff.

Und natürlich kann ein so generiertes Kennwort mehrfach verwendet werden, da der Dienstanbieter in der Regel nicht zwischen den Anwendungen unterscheiden kann. Aber die Generierung / Verwaltung ist explizit so gestaltet, dass man anders vorgeht.

 

[Frequenzfilter]

Wie dem auch sei. An die anwenderspezifischen Passwörter komme ich ja nur, wenn ich Zugriff auf meine Apple ID habe. Somit sind sie genau so sicher oder unsicher, wie alle meine anderen in der iCloud gespeicherten Daten.

Nein. "Klaut" jemand die Datenbank bei Apple, hat er keinen Klartext sondern nur den Hash mit Salz. Also kann er damit nichts anfangen. Der Punkt ist, dass dann auch Apple das Passwort nicht im Klartext in deinem Account anzeigen kann. Das alles ist gängige Praxis seit gefühlten Ewigkeiten und auch absolut unerlässlich. Alles andere wäre ein Skandal sondergleichen.

 

[dtp]

Und warum kann Apple dann meine Kalender- und Kontaktdaten im Klartext speichen und anzeigen? Man kann doch mit dem anwenderspezifischen Kennwort eh nicht viel mehr anfangen, als die PIM-Daten zu synchronisieren.

Ist im Grunde genommen auch egal. Es ist, wie es ist. Wollte es nur mal wissen.

 

[Wuchtbrumme]

Und warum kann Apple dann meine Kalender- und Kontaktdaten im Klartext speichen und anzeigen? Man kann doch mit dem anwenderspezifischen Kennwort eh nicht viel mehr anfangen, als die PIM-Daten zu synchronisieren.

Ist im Grunde genommen auch egal. Es ist, wie es ist. Wollte es nur mal wissen.

also ein Ausflug? Die sind alle verschlüsselt abgelegt. Wenn Du Dich einloggst (in dem geschilderten Verfahren), wird auf den Schlüssel zugegriffen, mit dem entschlüsselt werden kann und der bei Dir liegt. Deswegen muss man ja auch dem Browser vertrauen. Mit anderen Worten: Deine Grundannahme stimmt nicht, dass da etwas unverschlüsselt ist.

 

[Marcel Bresink]

Und warum kann Apple dann meine Kalender- und Kontaktdaten im Klartext speichen und anzeigen?

Nein, Dein eigener Computer kann das, nachdem er über eine Apple-ID verschlüsselte Daten bei Apple abgerufen hat. Und ein Fremdprogramm kann das, wenn es sich mit seiner Kennung und seinem eigenen Kennwort dort angemeldet hat.

Man kann doch mit dem anwenderspezifischen Kennwort eh nicht viel mehr anfangen, als die PIM-Daten zu synchronisieren.

Nein. Das ist ein anwendungsspezifisches Kennwort und PIM-Daten mit einem Android-Programm abzurufen, ist zufällig eines der vielen verschiedenen Dinge, für die man ein solches Kennwort braucht.

Ein anwendungsspezifisches Kennwort wird immer dann benötigt,

• wenn ein fremde, d.h. nicht von Apple entwickelte Software auf Apple-Dienste zugreift, für die man normalerweise eine Apple-ID-Anmeldung braucht, oder
• analog wenn ein von Apple entwickeltes Programm von einem fremden Programm aus gesteuert wird.

Auf diese Weise wird sichergestellt, dass die Fremdsoftware sich nie selbst mit einer Apple-ID anmelden muss. Diese Software müsste ansonsten ja das Apple-ID-Kennwort im Klartext kennen und übertragen. Das ist eine Sicherheitslücke, da die Software dann das Kennwort abgreifen könnte.

Stattdessen verwendet die Fremdsoftware ein davon komplett getrenntes Kennwort. Apple überlässt es dieser Software und dem Benutzer, das Kennwort zu verwalten, was immer das im Einzelfall bedeutet. Gemäß der üblichen Sicherheitsregeln wird das Kennwort nirgendwo gespeichert.