Zwei-Faktor-Authentifizierung - Klage gegen Apple

[Jan Gruber]

Wenn dein Mac "offen" ist und ich dein Passwort habe - ja dann kann ich da rein.

Und ob da 2FA aktiviert ist, oder nicht, ändern nichts daran. Der 2FA Code wird auf den gleichen Mac geschickt.
Daher meine Aussage: In dem Fall ändert der genau nichts. Oder irre ich mich da jetzt und seh was nicht?

 

[saw]

Faktor 1 - Du brauchst eines meiner autorisierten Geräte.
Faktor 2 - Du brauchst meine ID und das Passwort.

Nur dann kannst du meinen Account hacken, sonst nicht.

Falsch und zeigt dass selbst die Leute die es wissen wollen, nicht wirklich wissen.
Faktor 1 in deinem Fall, kann auch eine Telefonnummer sein,
wer z.B. nur ein iPhone hat, könnte sonnst doch nie wieder auf seinen account zu greifen wenn das Gerät defekt wäre oder geklaut würde.
Dabei sollte es sich dann auch nicht gerade um die Handynummer handeln der SIM im Handy, auf die im Falle eines Diebstahls eventuell auch nicht mehr zugegriffen werden kann, oder nur mit längerer Verzögerung bis die Ersatzkarte geliefert wurde. ^^

Schaut man sich diesen Thread hier an, in einem Appelforum (!) kann ich verstehen, warum sich Laien damit ab und an schwer tun.
Nicht verstehen kann ich die Überheblichkeit einiger hier......

Der 2FA Code wird auf den gleichen Mac geschickt.
Daher meine Aussage: In dem Fall ändert der genau nichts. Oder irre ich mich da jetzt und seh was nicht?

Selbst wenn dein Mac entsperrt wäre, musst Du bei der Abfrage ja erst dein Kennwort eingeben.
Ich könnte deinen Mac zwar erst einmal nutzen, aber spätestens wenn die Abfrage kommt, weil Apple eine Unregelmäßigkeit festgestellt hat oder Du den Mac aus der Ferne deautorisiert hast, musst Du die Apple-ID haben und das Kennwort ( gelbes Post.it unten rechts am Monitor ) damit Du den Code anfordern kannst.

 

[frostdiver]

Dann hast du ja auch beide Faktoren. Klar darfste dann rein. Das hat nichts mit dem gleichen Gerät zu tun. Du kannst dich dann ja auch an deinen PC setzen, das Passwort in den Browser eingeben und den Code vom Mac nehmen.

Edit: Bezieht sich auf den letzten Beitrag von Jan Gruber

 

[NorbertM]

Wenn dein Mac "offen" ist und ich dein Passwort habe

Du weißt ja nicht mal wo mein Mac steht - merkste was?

 

[NorbertM]

Faktor 1 in deinem Fall, kann auch eine Telefonnummer sein,

Und du weißt nicht, wo mein Telefon steht.

 

[saw]

Und du weißt nicht, wo mein Telefon steht.

In der magentafarbenden Box an der Straßenecke?

 

[Jan Gruber]

Du weißt ja nicht mal wo mein Mac steht - merkste was?

Merkste was? Ich schrieb vorher schon: "Mir gehts da auch weniger ums Hacken - sondern eher um "ich hab das Gerät in der Hand""

Mir gehts um den Anwendungsfall dass die Dinger in ner Uni, bei der Arbeit oder auf nem Congress mal offen rum stehen - und dann nutzt dir der ganze zwei Faktor-Mist, so wie ihn Apple macht, einfach nichts. Mitunter muss man dann nicht mal irgend ein Passwort haben

Selbst wenn dein Mac entsperrt wäre, musst Du bei der Abfrage ja erst dein Kennwort eingeben.
Ich könnte deinen Mac zwar erst einmal nutzen, aber spätestens wenn die Abfrage kommt, weil Apple eine Unregelmäßigkeit festgestellt hat oder Du den Mac aus der Ferne deautorisiert hast, musst Du die Apple-ID haben und das Kennwort ( gelbes Post.it unten rechts am Monitor ) damit Du den Code anfordern kannst.

Sry aber nein. Ich kann auf die Apple Account Seite im Browser gehen und eben: Wenn ich da dann das Passwort kenne ist die Show gelaufen und ich kann jemanden relativ Easy die Apple ID rausdrehen - weil ich den zweiten Faktor eben direkt auf das Gerät krieg.

Aber ich nehm an der Diskussion nicht mehr teil bis ich eine Antwort auf die mehrfach gestellte, runtergebrochene, Frage kriege:
Ich hab ein Gerät und ein Passwort - das ist schlimm genug, alles klar - aber was ändert die Existenz der 2FA noch? Meiner Meinung nach _nichts_. Egal ob mit oder ohne 2FA - ich komm in beiden Fällen gleich weit.

 

[saw]

Ich hab ein Gerät und ein Passwort

Sagen wir so, hast Du eins meiner Geräte das
a) als vertrauenswürdig eingestuft ist,
b) entsperrt ist,
klar kommst Du dann rein.

Der Fall dürfte dann aber, gerade was das Kennwort und die Apple-ID angeht, eher selten vor kommen,
klar der Partner dürfte die Daten haben und Zugriff auf das Gerät, der böse Hacker von nebenan, aber eher nicht.

Ich fand das ganze am Anfang auch was seltsam und eigentlich wäre es ja besser, wenn auf dem Gerät wo der Code angefordert wird, dieser nicht erscheinen würde um es noch sicherer zu machen.
Problem dürfte sein, das viele nur ein iPhone haben und dann bleibt nur noch die Telefonnummer über,
die aber auch nicht die vom iPhone sein sollte.
Wenn ich mich nun aber im Urlaub den Code brauche und den nicht auf mein iPhone bekomme,
wie dann?
Nachbarn anrufen, rüber schicken und der soll sich die anhören am Festnetz und mir durch geben?
Hm...... nö.... nicht der mit den dreckigen Schuhen in meiner Bude!

 

[Jan Gruber]

Naja den Weg können sie ja - wenn er "auf ein Gerät" daheim kommt kann ich ihn mir im Zweifel noch per SMS schicken lassen.
Aber eigentlich würde ich mir auch dem umgekerhten Code wünsche - nämlich die "ich wills immer auf mein iPhone" Option.
Darum gehts mir vor allem =) So im Falle von "Rechner steht im Club oder auf der Uni halt mal offen um" ging mir die "Code auf Notebook" Lösung ziemlich am Nerv - und da bringt sie mMn halt nichts.

Klar - für Hacker immer noch ein guter Schutz und alles ok, will nur sagen es ginge deutlich besser. Wobei sich im Zweifel die bösen Jungs ja auch einfach nur Remote auf die Maschine verbinden ,... was bei nem iPhone ziemlich unmöglich ist ^^

 

[NorbertM]

Ich hab ein Gerät und ein Passwort

Wie groß ist die Wahrscheinlichkeit, dass du beides hast und dazu auch noch das Gerät entsperrt ist?
Theorien helfen nur bedingt, wenn sie in der Praxis nicht funktionieren. Da helfen auch Wikipedia und Google nicht.

Wobei sich im Zweifel die bösen Jungs ja auch einfach nur Remote auf die Maschine verbinden

Einfach mal so, schon klar. Wenn du dich mit meinem Mac verbinden kannst, darfst du gerne die SSD formatieren.

 

[frostdiver]

Ich fand das ganze am Anfang auch was seltsam und eigentlich wäre es ja besser, wenn auf dem Gerät wo der Code angefordert wird, dieser nicht erscheinen würde um es noch sicherer zu machen.

Das würde es auch nicht sicherer machen. Dann nehme ich einfach mein iPhone und meinen Browser und tippe den Code von deinem Mac bei mir ein. Siehe meinen Beitrag weiter oben.

Aber eigentlich würde ich mir auch dem umgekerhten Code wünsche - nämlich die "ich wills immer auf mein iPhone" Option.

Das scheint mir dein Punkt zu sein. Es hat aber alles nichts mit der Kritik zu tun, dass es auf dem gleichen Gerät angezeigt wird. Sondern du willst als vertrauenswürdiges Gerät nur das Ding haben, dass du immer bei dir hast.

 

[saw]

Wie groß ist die Wahrscheinlichkeit, dass du beides hast und dazu auch noch das Gerät entsperrt ist?

Theoretisch und erst recht praktisch..... der eigene Partner.
Klar sollte man dem vertrauen können.... also vor der Scheidung zumindest..... ^^
Hm.... bin mal meine Kennwörter wechseln....

 

[Freddy K.]

... den Mac aus der Ferne deautorisiert hast ...

Dazu braucht man ja auch schon wieder ein zweites Gerät.

 

[Jan Gruber]

Das scheint mir dein Punkt zu sein. Es hat aber alles nichts mit der Kritik zu tun, dass es auf dem gleichen Gerät angezeigt wird. Sondern du willst als vertrauenswürdiges Gerät nur das Ding haben, dass du immer bei dir hast.

Beides ein bisschen. Wenn ich selber am Rechner sitze finde ich es sinnlose Zeitverschwendung. Aber im Endeffekt ja - eigentlich will ichs immer auf ein / das Gerät haben das ich selbst aufs Klo mitnehme und nicht aus den Augen lasse, stimmt =)

Theoretisch und erst recht praktisch..... der eigene Partner.
Klar sollte man dem vertrauen können.... also vor der Scheidung zumindest..... ^^
Hm.... bin mal meine Kennwörter wechseln....

Joar ,... Ich hab den Fall tatsächlich hinter mir ,... Das ging bis vor Gericht ,...

Dazu braucht man ja auch schon wieder ein zweites Gerät.

Meiner Meinung nach nicht?! Sobald ich mal ein Gerät erfolgreich eingeschleust hab, bzw. in der Apple ID bin (und das komm ich mit einem Gerät und dem Passwort eben) ist die Show vorbei?!

Wie groß ist die Wahrscheinlichkeit, dass du beides hast und dazu auch noch das Gerät entsperrt ist?
Theorien helfen nur bedingt, wenn sie in der Praxis nicht funktionieren. Da helfen auch Wikipedia und Google nicht.

Siehe das Beispiel von Saw - Beziehung. Siehe meine Beispiele - Uni und Club - Das sind alles Praxisfälle. Was das mit Google und Wikipedia zu tun hat weiß ich nicht. Es sei denn du beziehst dich auf das was ich vorher zu Wikipedia sagte - und da bleib ich der Meinung - echt unabhängig wäre es wenn es nicht auf das gleiche Gerät ginge. Eurer Argumentation nach ist es nur teilweise unabhängig

Aber gehüpft wie gesprungen - eigentlich will ich ein Opt-In für "Ich wills nur auf das eine Gerät" oder so ;p Weiß da wer was? bin ich zu blöd und sowas gibts ggf?

 

[frostdiver]

Dazu braucht man ja auch schon wieder ein zweites Gerät.

Du kannst das Gerät ohne zweiten Faktor sperren.

 

[saw]

Dazu braucht man ja auch schon wieder ein zweites Gerät.

Reicht da nicht die iPhone Suche, Apple-Id und Kennwort?
Ich meine, wenn ich im Browser irgend eines Computers auf iCloud.com gehe und mich unten dann bei iPhone Suche anmelde,
braucht es nur das Kennwort und der Mac wäre deautorisiert.
Noch ein Grund für zus. Telefonnummern.
Hat wirklich jemand auch nur meine Apple-ID und das Kennwort, könnte er ja einfach alle meine Geräte da raus werfen und ich würde nicht mehr in den account kommen :/

 

[Freddy K.]

Könnte ich also Norbert von seinen Geräten aussperren, wenn ich sein Passwort zu seiner Apple-ID habe?

 

[saw]

Könnte ich also Norbert von seinen Geräten aussperren, wenn ich sein Passwort zu seiner Apple-ID habe?

Ja ^^

 

[Freddy K.]

Was soll man dazu sagen, tztztz, da muss Apple aber nochmal ran.

 

[NorbertM]

Könnte ich also Norbert von seinen Geräten aussperren, wenn ich sein Passwort zu seiner Apple-ID habe?

No way.