Passwörter verwalten

[Schrotty]

Bitwarden ist echt super. Für mich alternativlos.

 

[Ijon Tichy]

- kein Speichern der Daten auf Servern, ohne dass ich sicherstellen kann, dass der Anbieter nicht auch Zugriff darauf hat (es gibt KEINEN Grund hier Apple zu vertrauen)

Ich synchronisiere 1Password zwischen iPhone und Mac über WLAN. Nicht ganz so komfortabel, aber klappt bestens und ohne Cloud-Speicherung.

 

[Sequoia]

1Password war doch letztes Jahr von einem großen Datenleck betroffen?

 

[Ijon Tichy]

1Password war doch letztes Jahr von einem großen Datenleck betroffen?

Dieses Jahr. Aber nicht direkt betroffen, es wurde beim Cloud-Provider eingebrochen.

Okta-Einbruch: Verdächtige Aktivitäten bei 1Password

Der Support von Okta wurde kompromittiert. Dabei erlangten die Angreifer Zugänge auch zu 1Passwords Okta-Instanz.

www.heise.de

Wenn die Passwörter e2e verschlüsselt sind (was ich annehme, man aber nicht sicher wissen kann), kann dadurch eigentlich nix passieren… Eigentlich….

 

[Misto]

Dieses Jahr. Aber nicht direkt betroffen, es wurde beim Cloud-Provider eingebrochen.

Okta-Einbruch: Verdächtige Aktivitäten bei 1Password

Der Support von Okta wurde kompromittiert. Dabei erlangten die Angreifer Zugänge auch zu 1Passwords Okta-Instanz.

www.heise.de

Wenn die Passwörter e2e verschlüsselt sind (was ich annehme, man aber nicht sicher wissen kann), kann dadurch eigentlich nix passieren… Eigentlich….

Zumindest ist das laut ^Password so. Alle Daten im Tresor sind verschlüsselt und werden e2e auf dem Server gespeichert. Um die Daten zu entschlüsseln, braucht man neben dem Masterpasswort noch den Secret Key, der nur lokal auf dem eigenen Gerät generiert wird und auch 1Password nicht bekannt ist.

Der Angriff erfolgte wohl auf eine Drittanbietersoftware, die nicht direkt in der Produktivumgebung eingesetzt wird, sondern ein Verwaltungswerkzeug ist.

Es scheint auch kein gezielter Angriff auf 1Password gewesen zu sein, auch bei anderen Kunden der Drittanbietersoftware wurde versucht, auf das jeweilige System zuzugreifen.

 

[Ijon Tichy]

Zumindest ist das laut ^Password so.

Ja, das meinte ich mit "annehmen, aber nicht sicher sein können". Ist ja nicht Open Source.

 

[Misto]

Ja, das meinte ich mit "annehmen, aber nicht sicher sein können". Ist ja nicht Open Source.

Und? Prüfst Du die OpenSource -Software auch selbst oder nimmst Du nur an, dass es andere machen und alles genaustens durchgecheckt haben? Vertraust also anderen?

 

[Ijon Tichy]

Ergänzung:

Grundsätzlich finde ich 1Password schon vertrauenswürdig, wozu auch das Big Bounty Programm beiträgt: https://bugcrowd.com/agilebits – aber man kann ja auch nicht wissen, wozu eine Firma unter Verpflichtung zum Stillschweigen staatlicherseits verdonnert werden kann.

Und? Prüfst Du die OpenSource -Software auch selbst oder nimmst Du nur an, dass es andere machen und alles genaustens durchgecheckt haben? Vertraust also anderen?

1. Ja ich vertraue ind er Hinsicht anderen mehr als dem Hersteller selbst. Ist ja eigentlich logisch.
2. Eine Veröffentlichung des Sourcecodes ist schon mal besser als keine Veröffentlichung des Sourcecodes.
3. Bei manchen Produkten schaue ich mir tatsächlich selbst Teile des Sourcecodes an.

 

[AndaleR]

1. Ja ich vertraue ind er Hinsicht anderen mehr als dem Hersteller selbst. Ist ja eigentlich logisch.
2. Eine Veröffentlichung des Sourcecodes ist schon mal besser als keine Veröffentlichung des Sourcecodes.
3. Bei manchen Produkten schaue ich mir tatsächlich selbst Teile des Sourcecodes an.

Kurz OT, aber dann könnte man nichts von Apple oder sonstigen nutzen? Die legen auch nichts offen und werben für Vertrauen?

 

[Misto]

Letztendlich geht es immer nur um das Vertrauen. Ob jetzt in Firmen oder OpenSource (wenn man da beim Letzteren nich selbst vom Fach ist). Darauf wollte ich ja hinaus.

 

[Ijon Tichy]

Kurz OT, aber dann könnte man nichts von Apple oder sonstigen nutzen? Die legen auch nichts offen und werben für Vertrauen?

Stimmt.

 

[Ijon Tichy]

Letztendlich geht es immer nur um das Vertrauen. Ob jetzt in Firmen oder OpenSource (wenn man da beim Letzteren nich selbst vom Fach ist). Darauf wollte ich ja hinaus.

Stimmt auch.

 

[hotrs]

OK, dann noch eine Frage die speziell Microsoft 365 Konten betrifft: Weiß einer ob das damit auch geht - oder frisst MS nur seine eigene Authentificator App und ich muss sie nur deshalb behalten?

Ich habe eine relativ alte @outlook.de Adresse, welche u.a. mit meinem Microsoft 365 Abo verknüpft ist. Eine Nutzung von Keepass (Strongbox) oder OTP Auth zur Generierung der OTP ist überhaupt kein Problem.

 

[Rosie]

OK, dann noch eine Frage die speziell Microsoft 365 Konten betrifft: Weiß einer ob das damit auch geht - oder frisst MS nur seine eigene Authentificator App und ich muss sie nur deshalb behalten?
Hab jetzt noch nix gefunden, dass mir erlaubt eine andere OTP App zu verwenden.

Das Problem habe ich nach wie vor auch noch und muss nur noch dafür die Microsoft Authentificator App verwenden, alles andere läuft unter 1Password.

 

[Carcharoth]

Kurz OT, aber dann könnte man nichts von Apple oder sonstigen nutzen? Die legen auch nichts offen und werben für Vertrauen?

Vielleicht hast du das nicht mitgekriegt, aber die legen ziemlich viel offen.

Apple Open Source

opensource.apple.com

 

[Sequoia]

Was hat das mit dem Thema zu tun?

 

[SomeUser]

Was hat das mit dem Thema zu tun?

Eine der Ursprungsfragen des TE war: "wie macht ihr das mit den Passwörtern für Apps, Online-Seiten, etc. auf euren Apple Devices?"

Aus meiner Sicht gehört die Frage, welche Apps/Dienste man nutzt, stark damit verbunden, ob diese auch vertraunswürdig sind. Daraus lässt sich unmittelbar die Frage ableiten, welche objektiven und subjektiven Faktoren es gibt, die einen Dienst "vertrauenswürdig" machen. Offenlegung von Sourcecode kann da ebenso dazu gehören, wie das grundlegende Geschäftsmodell, Sitz des Anbieters etc. pp.

Es ist also nicht so, als hätte das nichts it dem Thema zu tun.

 

[Sequoia]

Stimmt. Mea Culpa. Ich hatte es in den Bezug an das interpretiert.
Da habt ihr recht.

 

[U.S.]

Ich nutze Bitwarden in Verbindung mit vaultwarden auf meinem Synology NAS. Klappt super und OS-übergreifend. Nutze Bitwarden unter iOS, Android und Windows sowohl als App als auch als Browser-Add-In.

Dank vaultwarden ist es komplett kostenlos.

kannst du deine Konstellation … in Verbindung mit… näher erläutern, ich denke auch in diese Richtung Bitwarden, habe mir auch zuletzt ein Synology NAS zugelegt