Bitcoin Forum

Hi,

kann mir jemand erklären, wie die google-2-step-verifizierung bei bitfunder funktioniert?

Eigentlich gefällt mir Bitfunder ganz gut, tolle Mikroanlage, aber bevor ich da mehr als ein bißchen spielgeld reinlege, würde ich gerne sicher sein, dass ich die btc auch wieder von der seite wegkriege.

viele Dank schon mal!

Ach ja: ich habe kein I-smart-wie-auch-immer-phone, sondern ein schlichtes Mobiltelephon

es gibt google auth auch als windows programm. hast du 2 rechner zu hause? dann kannst du dieses programm auf dem anderen installieren. es zeigt dir dann wie bei smarttphones alle 30 sek ne neue 5-6 stellige zahlenfolge an. (in der systemleiste bei den anderen icons)
kannst es bei einem pc natürlich auch auf dem installieren, nur dann ist das ganze sicherheitssystem irgendwie hinfällig...

findest du hier http://gauth4win.googlecode.com/files/gauth4win.rar


nachteil: du musst beide rechner anmachen um dich einzuloggen...

d.h. je nach menge des "spielgeldes" solltest du doch mal über ein billiges android phone nachdenken... hat ja sonst auch vorteile, wenn man unterwegs ins internet kann...


achso und auscashen kannst du bei bitfunder auch ohne google auth...

Hallo

danke für den Tipp. Habe mittlerweile eine einfachere Lösung gefunden: Es gibt ein Programm, der MOS Authenticator. Einfach runterladen, den Code, der unter dem QR-Code bei Bitfunder steht, eingeben. Unbedingt aufschreiben! Habe ihn auf mehrere Zettel ausgedruckt und abgeheftet. Habe zudem den gesamten MOS-Authenticator auf einen USB-Stick gespeichert. Wenn ich es richtig verstehe, ist nämlich, wenn man den Code verliert, das Konto futsch.

Dann läuft es so: Der MOS Authenticator spuckt alle etwa zehn Sekunden eine neue 6-stellige Zahl aus. Mit der verifiziert man sich. Meine Vermutung ist, dass diese Zahl irgendein Produkt (?) / eine Lösung des Codes ist (verrechnung mit Uhrzeit oder so?), die also nur der haben kann, der zu dem Zeitpunkt eingeloggt war, als der MOS Authenticator zum ersten Mal den Code für diese Webseite gebildet hat. D.h. es bringt nichts, mein Passwort zu haben und sich den Authenticator runterzuladen, da der entscheidende Code fehlt.

Bin fasziniert. Tricky!

weißt du wozu 2factor da ist?? Damit dein Geld nicht futsch ist wenn dein pc gehackt ist. Überleg mal was dieser Schutz bringt, wenn du das programm auf deinen pc hast...
*facepalm

na, darum sage ich ja: code abschreiben und mehrfach ausdrucken. Dann müsste ich ja, falls mein PC ablutscht, einfach MOS neu runterladen können + meinen code eingeben

im übrigen ist 2-step soweit ich verstehe dazu da, dass niemand via brute-force etc. dein passwort knackt und sich von einem anderen Rechner aus einloggt

Nein! Damit niemand zugang hat wenn er euren pc hackt und die Passwörter ausliest. Aber das ist sinnlos wenn ihr euren 2factor aufm pc installiert habt!! Der Schutz macht nur sinn wenn ihr es aufm smart phone installiert.

Bringt soger mehr. Selbst wenn dein PC z.B.kompromittiert wurde nützt das nichts wenn du 2 Factor über dein Smartphone machst. Um Zugriff auf deinen Account zu haben bräuchte dann ein Angreifer Zugriff auf beide Systeme.

Huh? Wenn der PC infiziert ist, kann der hacker doch sowohl das Passwort auslesen, als auch den passenden 2factor code?

hmm ... gute Frage. Wenn der Hacker es schafft, auf meinem PC das Programm zu öffnen, ohne dass ich es merke, dann ja. Wäre natürlich besser, wenn man MOS nur als Administrator öffnen könnte. Sicherer ist es auf jeden Fall, das Programm auf einem Zweit-PC oder einem Smart aufen zu lassen, keine Frage.

Im übrigen kann man den Code nicht kopieren, sondern nur optisch ansehen. Keine Ahnung, ob das für Hacker eine Bedeutung hat. Damit der Hacker ihn dann klaut, müsste der Code ja im Code des Programms auftauchen ...

Was meinst Du wohl, wie "das Programm" in der Lage ist, das OTP für Dich zu generieren? Dafür muss es in irgendeiner Form auf Dein individuelles Token zurückgreifen, das in irgendeiner Form auf Deinem Computer gespeichert sein muss. Habe ich also Zugriff auf Deinen Computer, ist die Absicherung wirkungslos. Sinnvoll ist eine 2-Faktor-Authentifizierung nur einsetzbar, wenn Du zwei verschiedene Geräte für Login und OTP-Generierung einsetzt. Allerdings werden manche Angriffsszenarien auch bei Nutzung von nur einem Gerät abgefangen. Dennoch ist es nicht sinnvoll, nur ein Gerät zu verwenden.

Edit: Die FAQ von MOS Authenticator erläutert ganz gut, dass hier recht viele Vorkehrungen getroffen sind, um das oben beschriebene Szenario möglichst zu vermeiden: http://www.maxoutput.com/authenticator/faq.html. Dennoch sind hinreichend viele Szenarien denkbar, die auch diese Absicherung aushebeln können.

Nciht wenn ich 2 Factor über mein Smartphone mache, das sind 2 getrennte Systeme. Darum geht es ja beim 2 Factor.

Wenn er einen Keylogger hat, kann er zwar den Code auslesen während ich ihn eingebe, dieser ist aber nur 60 sek. lang gültig.

Der obige User generiert sein 2FA PW aber über seinen PC mit einem Programm von einem dritt Anbieter. Deswegen kritisiere ich es ja.

Ok, Kritik angenommen :(

So wie es aussieht, ist ohne Smart oder Tablet umfassender Schutz im Internet nicht mehr möglich ... wird wohl Zeit, dass ich in Sachen Technik endlich die Nuller Jahre hinter mir lasse und in der Gegenwart ankomme

kannst dir auch ein yubi Key oder ähnliches kaufen. Die Geräte sind dann quasi sowas wie Tan generatoren und erstellenn auch ein einmal Passwort

Lass dich nicht von den Leuten hier verrückt machen.

Frag dich mal folgendes:  

Warum wird das Verfahren nicht dort angewendet wo es wirklich um etwas geht ? Zum Beispiel beim Online Banking, dem Forex Anbieter deiner Wahl, dem Zugang zu deiner Versicherung, usw usw.


Die Antwort ist nicht: Weil die keine Ahnung haben, oder ihnen der Schutz der Kunden egal ist.

Was für ein Quatsch. Beim Online Banking gibt es "2Faktor" schon seit Jahren. Beim Online Banking wurde das einmal passwort früher durch die Tan Listen und später durch den Tan generator erzeugt.

*FACEPALM*

War mir völlig klar das irgendwer daherkommen würde und das Gegenteil behaupten würde.

Die Aussage ist schlicht das es in 95% aller Fälle eben nicht so ist. Die restlichen 5% können nicht als Gegenbeispiel dienen.

Und ganz speziell bezog sie sich auf die Aussage das ein Tablet und ein Iphone nötig wären, was totaler Unsinn ist.


Nachtrag: Beim Online Banking Zugang ist keine TAN erforderlich.

Naja, wenn man auch unterwegs Zugriff auf bestimmte Dienste (wie hier Bitfunder) haben möchte, die über 2-Faktor-Authentifizierung abgesichert sind, dann ist ein mobiles Gerät, das man eh dabei hat, keine schlechte Lösung. Deine Aussage war, dass Dienste, bei "wo es wirklich um etwas geht" (also nicht so läppische Sachen wie ein paar hundert oder tausend BTCs auf Bitfunder), keine 2-Faktor-Auth nutzen. Das ist schlicht Unsinn.

Gott diese Wortklauberei immer.

Das nicht 100% aller Dienste darauf verzichten ist doch logisch, man wird immer irgendwas finden das es doch so macht.

Ach was reg ich mich auf...

Bin raus, keine lust auf diese Wortklauberei.



Nicht alle Raben sind schwarz...

Hmm, sogar meine Genossenschaftsbank, bei der ich nur aus Sentimentalität bleibe, hat 2-factor ... finde ich ja auch plausibel, brute-force-Attacken sind so doch ausgeschlossen ... wie es bei Forex ist - keine Ahnung ... naja, ich hoffe einfach, dass Adblocker + Admin-Zugang + Malware-Scanner + regelmäßiges Hijack + starkes Passwort + 2-step via MOS fürs erste ausreichen ...

Das finde ich übrigens eine der tollen Sachen an Bitcoin: Man lernt zwangsläufig viel, wenn man sich damit beschäftigt ...

Banken nutzten meines Wissen schon sehr lange alle 2 Faktor aber Services wirklich nicht. Das PayPal z.B. immer noch keins nutzt is mir unverständlich. Dann würden wenigstens mal die ganzen Pishing Versuche aufhören.

Ach Painpal bucht doch alles zurück so wie es denen gefällt.

Auch PayPal bietet das an: https://www.paypal.com/us/cgi-bin?cmd=xpt/Marketing_CommandDriven/securitycenter/PayPalSecurityKey-outside&bn_r=o

Diesbezüglich habe ich auch schon einige gute Beiträge von "Chefin" gelesen.
Dennoch würde ich das gerne etwas genauer wissen. Ihr sagt ja, dass der Security Key, den man dort dann eingibt, irgendwo gespeichert wird. Aber wie es das denn, wenn ich auf dieser Seite, die mir diese Tan dann ausspuckt und wo ich den Key eingegeben habe, diese Verbindung wieder lösche, indem ich auf das "x" klicke?
Ist der Key dann immernoch auf meinem PC gespeichert, oder ist er dies nur, solange ich auf der Seite die Tans abfragen lasse?
Ich hoffe du verstehst, wie ich das meine ^^  Falls nicht, reiche ich noch ein Video nach, wo erklärt wird, wie dieses google auth für den Benutzer funktioniert und aussieht.

Verstehe die Frage nicht ganz, aber kurz das Prinzip: Es gibt 1) einen SK (Security Key), der von der Seite, die 2-Faktor-Auth nutzt, generiert wird und der lokal auf einem Deiner Geräte gespeichert wird und 2) ein OTP (One Time Password), das fortwährend von diesem Gerät auf Basis des SKs generiert wird. Das generierte OTP ist für jeweils 10 Sekunden gültig. Es wird nirgendwo gespeichert, sondern dient dazu, Dich auf der Seite, die die 2-Faktor-Auth unterstützt, zu authentifizieren. Wenn Du den SK auf Deinem Gerät löscht, ist er weg (darum sollte man ihn sichern). Wenn Du das OTP-Verfahren auf der Seite, die die 2-Faktor-Auth nutzt, löscht, ist Dein SK auf Deinem Gerät nutzlos. Wenn Du auf der Seite die 2-Faktor-Auth wieder aktivierst, wird ein neuer SK generiert.

Was ich meinte ist: wenn man sich diesen GAuth Authenticator auf den PC geladen hat, ihn aufruft, kommt man auf folgende Seite:
http://gauth.gbraad.nl/
(wie das mit diesem Direktlink funktioniert und wo das der SK gespeichert wird weiß ich nicht, aber es soll jetzt erstmal darum gehen, wenn man es vom eigenen PC aus startet)
Jedenfalls kann man hier den SK eingeben und erhält dann die Einmalpasswörter. Man kann hier aber auch auf das "x" links klicken, dann wird der Eintrag bei dem die Einmalpasswörter generiert werden wieder gelöscht.

Was ich nun wissen wollte, war, wenn man davon ausgeht, dass der SK im irgendeiner Datei auf dem PC gespeichert wird, sobal man ihn dort eingibt, ob er auch wieder gelöscht wird, wenn man dieses "x" klickt, sodass es absolut sicher wäre das zu nutzen, solange man das "x" schnell wieder betätgit.

Wenn dein PC infiziert ist bringt dir die Methode nicht. Der Keylogger "klaut" dein login passwort zu bitfunder & co SOWIE alle eingaben die du wo anders machst. Also hat er auch dein google key dann und kann sich weitere auths generieren

Achso, ja stimmt... es ist also völlig unerheblich, ob der SK dauerhft iwo auf meinem PC gespeichert ist, wenn ich ihn auf einem infiziertem PC irgendwann mal eingebe... stimmt...

hmm... ich habe zwar einen zweit Pc, allerdings ist dieser auch ans Internet angeschlossen und hat nur eine Freeware Antivirus Software...
Wäre es trotzdem sinnvoll, ihn für GAuth Authenticator zu nutzen, wenn ich dort keinerlei andere wichtige Daten eingebe?

Kauf dir einfach ein Smartphone. Dann lächelt dich auch niemand mehr so seltsam an, wenn du dein Handy aus der Hosentasche holst. Schon allein die App "googlemaps" ist doch ein gottes Geschenk

Da das noch keiner gepostet hat:

Es gibt das gleiche für alle anderen Phones die Java unterstützen.

Projekt: http://code.google.com/p/gauthj2me
Download: http://gauthj2me.googlecode.com/files/gauthj2me.rar

Läuft einwandfrei auf meinem Nokia N97.
Wichtig ist nur, die Zeit muss synchronisiert sein ;)

Ähm.. ich kenn mich mit Internet+Handy nicht wirklich aus. Ich habe ein Nokia N79. Damit könnte ich zwar ins Internet, aber das wäre mir zu teuer, da ich mein Handy eh sehr selten nutze (Monatskosten von 1-2€ :D)
Also brauche ich dafür Internet? und wie synchronisiere ich die Zeit?


Ich lese immer wieder, dass es viel leichter sein soll, ein Handy/Smartphone zu infizieren, weil es da nur wenige zuverlässige AntivirusApps für geben soll. Deswegen und weil ich mir ungern ständig etwas neues kaufe, sofern das alte nicht kaputt ist, habe ich nur das erwähnte Nokia N79 ohne Internet zu nutzen ^^ Ach und eine Map habe ich auf dem Handy auch =P

Aber sollte der Vorschlag von Massa nicht klappen, wäre es eine sinnvolle Alternative meinen ZweitPC zu verwenden, oder nicht?

Is bei mir nicht anders. Ich bin damit so gut wie gar nicht im Netz und wenn dann nur über W-Lan.

Man braucht kein Internet für den Authenticator.
Nur ne sychronisierte Zeit, entweder manuell oder über Internet. Es gibt da noch ne App die auf Java läuft und die Zeit synchronisiert, allerdings müsste ich suchen wo ich die gefunden hatte.