Bitfunder - 2 step

[Polarstorm]

Naja, wenn man auch unterwegs Zugriff auf bestimmte Dienste (wie hier Bitfunder) haben möchte, die über 2-Faktor-Authentifizierung abgesichert sind, dann ist ein mobiles Gerät, das man eh dabei hat, keine schlechte Lösung. Deine Aussage war, dass Dienste, bei "wo es wirklich um etwas geht" (also nicht so läppische Sachen wie ein paar hundert oder tausend BTCs auf Bitfunder), keine 2-Faktor-Auth nutzen. Das ist schlicht Unsinn.

Gott diese Wortklauberei immer.

Das nicht 100% aller Dienste darauf verzichten ist doch logisch, man wird immer irgendwas finden das es doch so macht.

Ach was reg ich mich auf...

Bin raus, keine lust auf diese Wortklauberei.



Nicht alle Raben sind schwarz...

[1714919123]

1714919123

[1714919123]

1714919123

[1714919123]

1714919123

[Itcher]

Hmm, sogar meine Genossenschaftsbank, bei der ich nur aus Sentimentalität bleibe, hat 2-factor ... finde ich ja auch plausibel, brute-force-Attacken sind so doch ausgeschlossen ... wie es bei Forex ist - keine Ahnung ... naja, ich hoffe einfach, dass Adblocker + Admin-Zugang + Malware-Scanner + regelmäßiges Hijack + starkes Passwort + 2-step via MOS fürs erste ausreichen ...

Das finde ich übrigens eine der tollen Sachen an Bitcoin: Man lernt zwangsläufig viel, wenn man sich damit beschäftigt ...

[Akka]

Banken nutzten meines Wissen schon sehr lange alle 2 Faktor aber Services wirklich nicht. Das PayPal z.B. immer noch keins nutzt is mir unverständlich. Dann würden wenigstens mal die ganzen Pishing Versuche aufhören.

[candoo]

Banke nutzten meines Wissen schon sehr lange alle 2 Faktor aber Serices wirklich nicht. Das PayPal z.B. immer noch keins nutzt is mir unverständlich. Dann würden wenigstens mal die ganzen Pishing Versuche aufhören.

Ach Painpal bucht doch alles zurück so wie es denen gefällt.

[twbt]

Banke nutzten meines Wissen schon sehr lange alle 2 Faktor aber Serices wirklich nicht. Das PayPal z.B. immer noch keins nutzt is mir unverständlich. Dann würden wenigstens mal die ganzen Pishing Versuche aufhören.

Auch PayPal bietet das an: https://www.paypal.com/us/cgi-bin?cmd=xpt/Marketing_CommandDriven/securitycenter/PayPalSecurityKey-outside&bn_r=o

The PayPal Security Key creates random temporary security codes that help safeguard your PayPal account when you log in. It comes in 2 types, each with different advantages:
Security key: You carry this small credit-card sized device with you. It creates a unique security code on the go.
Mobile phone security key: You can sign up to get security codes sent by text message to your mobile phone.

[Serpens66]

Was meinst Du wohl, wie "das Programm" in der Lage ist, das OTP für Dich zu generieren? Dafür muss es in irgendeiner Form auf Dein individuelles Token zurückgreifen, das in irgendeiner Form auf Deinem Computer gespeichert sein muss. Habe ich also Zugriff auf Deinen Computer, ist die Absicherung wirkungslos.

Diesbezüglich habe ich auch schon einige gute Beiträge von "Chefin" gelesen.
Dennoch würde ich das gerne etwas genauer wissen. Ihr sagt ja, dass der Security Key, den man dort dann eingibt, irgendwo gespeichert wird. Aber wie es das denn, wenn ich auf dieser Seite, die mir diese Tan dann ausspuckt und wo ich den Key eingegeben habe, diese Verbindung wieder lösche, indem ich auf das "x" klicke?
Ist der Key dann immernoch auf meinem PC gespeichert, oder ist er dies nur, solange ich auf der Seite die Tans abfragen lasse?
Ich hoffe du verstehst, wie ich das meine ^^  Falls nicht, reiche ich noch ein Video nach, wo erklärt wird, wie dieses google auth für den Benutzer funktioniert und aussieht.

[twbt]

Was meinst Du wohl, wie "das Programm" in der Lage ist, das OTP für Dich zu generieren? Dafür muss es in irgendeiner Form auf Dein individuelles Token zurückgreifen, das in irgendeiner Form auf Deinem Computer gespeichert sein muss. Habe ich also Zugriff auf Deinen Computer, ist die Absicherung wirkungslos.

Diesbezüglich habe ich auch schon einige gute Beiträge von "Chefin" gelesen.
Dennoch würde ich das gerne etwas genauer wissen. Ihr sagt ja, dass der Security Key, den man dort dann eingibt, irgendwo gespeichert wird. Aber wie es das denn, wenn ich auf dieser Seite, die mir diese Tan dann ausspuckt und wo ich den Key eingegeben habe, diese Verbindung wieder lösche, indem ich auf das "x" klicke?
Ist der Key dann immernoch auf meinem PC gespeichert, oder ist er dies nur, solange ich auf der Seite die Tans abfragen lasse?
Ich hoffe du verstehst, wie ich das meine ^^  Falls nicht, reiche ich noch ein Video nach, wo erklärt wird, wie dieses google auth für den Benutzer funktioniert und aussieht.

Verstehe die Frage nicht ganz, aber kurz das Prinzip: Es gibt 1) einen SK (Security Key), der von der Seite, die 2-Faktor-Auth nutzt, generiert wird und der lokal auf einem Deiner Geräte gespeichert wird und 2) ein OTP (One Time Password), das fortwährend von diesem Gerät auf Basis des SKs generiert wird. Das generierte OTP ist für jeweils 10 Sekunden gültig. Es wird nirgendwo gespeichert, sondern dient dazu, Dich auf der Seite, die die 2-Faktor-Auth unterstützt, zu authentifizieren. Wenn Du den SK auf Deinem Gerät löscht, ist er weg (darum sollte man ihn sichern). Wenn Du das OTP-Verfahren auf der Seite, die die 2-Faktor-Auth nutzt, löscht, ist Dein SK auf Deinem Gerät nutzlos. Wenn Du auf der Seite die 2-Faktor-Auth wieder aktivierst, wird ein neuer SK generiert.

[Serpens66]

Was meinst Du wohl, wie "das Programm" in der Lage ist, das OTP für Dich zu generieren? Dafür muss es in irgendeiner Form auf Dein individuelles Token zurückgreifen, das in irgendeiner Form auf Deinem Computer gespeichert sein muss. Habe ich also Zugriff auf Deinen Computer, ist die Absicherung wirkungslos.

Diesbezüglich habe ich auch schon einige gute Beiträge von "Chefin" gelesen.
Dennoch würde ich das gerne etwas genauer wissen. Ihr sagt ja, dass der Security Key, den man dort dann eingibt, irgendwo gespeichert wird. Aber wie es das denn, wenn ich auf dieser Seite, die mir diese Tan dann ausspuckt und wo ich den Key eingegeben habe, diese Verbindung wieder lösche, indem ich auf das "x" klicke?
Ist der Key dann immernoch auf meinem PC gespeichert, oder ist er dies nur, solange ich auf der Seite die Tans abfragen lasse?
Ich hoffe du verstehst, wie ich das meine ^^  Falls nicht, reiche ich noch ein Video nach, wo erklärt wird, wie dieses google auth für den Benutzer funktioniert und aussieht.

Verstehe die Frage nicht ganz, aber kurz das Prinzip: Es gibt 1) einen SK (Security Key), der von der Seite, die 2-Faktor-Auth nutzt, generiert wird und der lokal auf einem Deiner Geräte gespeichert wird und 2) ein OTP (One Time Password), das fortwährend von diesem Gerät auf Basis des SKs generiert wird. Das generierte OTP ist für jeweils 10 Sekunden gültig. Es wird nirgendwo gespeichert, sondern dient dazu, Dich auf der Seite, die die 2-Faktor-Auth unterstützt, zu authentifizieren. Wenn Du den SK auf Deinem Gerät löscht, ist er weg (darum sollte man ihn sichern). Wenn Du das OTP-Verfahren auf der Seite, die die 2-Faktor-Auth nutzt, löscht, ist Dein SK auf Deinem Gerät nutzlos. Wenn Du auf der Seite die 2-Faktor-Auth wieder aktivierst, wird ein neuer SK generiert.

Was ich meinte ist: wenn man sich diesen GAuth Authenticator auf den PC geladen hat, ihn aufruft, kommt man auf folgende Seite:
http://gauth.gbraad.nl/
(wie das mit diesem Direktlink funktioniert und wo das der SK gespeichert wird weiß ich nicht, aber es soll jetzt erstmal darum gehen, wenn man es vom eigenen PC aus startet)
Jedenfalls kann man hier den SK eingeben und erhält dann die Einmalpasswörter. Man kann hier aber auch auf das "x" links klicken, dann wird der Eintrag bei dem die Einmalpasswörter generiert werden wieder gelöscht.

Was ich nun wissen wollte, war, wenn man davon ausgeht, dass der SK im irgendeiner Datei auf dem PC gespeichert wird, sobal man ihn dort eingibt, ob er auch wieder gelöscht wird, wenn man dieses "x" klickt, sodass es absolut sicher wäre das zu nutzen, solange man das "x" schnell wieder betätgit.

[candoo]

Was ich nun wissen wollte, war, wenn man davon ausgeht, dass der SK im irgendeiner Datei auf dem PC gespeichert wird, sobal man ihn dort eingibt, ob er auch wieder gelöscht wird, wenn man dieses "x" klickt, sodass es absolut sicher wäre das zu nutzen, solange man das "x" schnell wieder betätgit.

Wenn dein PC infiziert ist bringt dir die Methode nicht. Der Keylogger "klaut" dein login passwort zu bitfunder & co SOWIE alle eingaben die du wo anders machst. Also hat er auch dein google key dann und kann sich weitere auths generieren

[Serpens66]

Was ich nun wissen wollte, war, wenn man davon ausgeht, dass der SK im irgendeiner Datei auf dem PC gespeichert wird, sobal man ihn dort eingibt, ob er auch wieder gelöscht wird, wenn man dieses "x" klickt, sodass es absolut sicher wäre das zu nutzen, solange man das "x" schnell wieder betätgit.

Wenn dein PC infiziert ist bringt dir die Methode nicht. Der Keylogger "klaut" dein login passwort zu bitfunder & co SOWIE alle eingaben die du wo anders machst. Also hat er auch dein google key dann und kann sich weitere auths generieren

Achso, ja stimmt... es ist also völlig unerheblich, ob der SK dauerhft iwo auf meinem PC gespeichert ist, wenn ich ihn auf einem infiziertem PC irgendwann mal eingebe... stimmt...

hmm... ich habe zwar einen zweit Pc, allerdings ist dieser auch ans Internet angeschlossen und hat nur eine Freeware Antivirus Software...
Wäre es trotzdem sinnvoll, ihn für GAuth Authenticator zu nutzen, wenn ich dort keinerlei andere wichtige Daten eingebe?

[candoo]

Was ich nun wissen wollte, war, wenn man davon ausgeht, dass der SK im irgendeiner Datei auf dem PC gespeichert wird, sobal man ihn dort eingibt, ob er auch wieder gelöscht wird, wenn man dieses "x" klickt, sodass es absolut sicher wäre das zu nutzen, solange man das "x" schnell wieder betätgit.

Wenn dein PC infiziert ist bringt dir die Methode nicht. Der Keylogger "klaut" dein login passwort zu bitfunder & co SOWIE alle eingaben die du wo anders machst. Also hat er auch dein google key dann und kann sich weitere auths generieren

Achso, ja stimmt... es ist also völlig unerheblich, ob der SK dauerhft iwo auf meinem PC gespeichert ist, wenn ich ihn auf einem infiziertem PC irgendwann mal eingebe... stimmt...

hmm... ich habe zwar einen zweit Pc, allerdings ist dieser auch ans Internet angeschlossen und hat nur eine Freeware Antivirus Software...
Wäre es trotzdem sinnvoll, ihn für GAuth Authenticator zu nutzen, wenn ich dort keinerlei andere wichtige Daten eingebe?

Kauf dir einfach ein Smartphone. Dann lächelt dich auch niemand mehr so seltsam an, wenn du dein Handy aus der Hosentasche holst. Schon allein die App "googlemaps" ist doch ein gottes Geschenk

[Massa]

Da das noch keiner gepostet hat:

Es gibt das gleiche für alle anderen Phones die Java unterstützen.

Projekt: http://code.google.com/p/gauthj2me
Download: http://gauthj2me.googlecode.com/files/gauthj2me.rar

Läuft einwandfrei auf meinem Nokia N97.
Wichtig ist nur, die Zeit muss synchronisiert sein

[Serpens66]

Da das noch keiner gepostet hat:

Es gibt das gleiche für alle anderen Phones die Java unterstützen.

Projekt: http://code.google.com/p/gauthj2me
Download: http://gauthj2me.googlecode.com/files/gauthj2me.rar

Läuft einwandfrei auf meinem Nokia N97.
Wichtig ist nur, die Zeit muss synchronisiert sein

Ähm.. ich kenn mich mit Internet+Handy nicht wirklich aus. Ich habe ein Nokia N79. Damit könnte ich zwar ins Internet, aber das wäre mir zu teuer, da ich mein Handy eh sehr selten nutze (Monatskosten von 1-2€ )
Also brauche ich dafür Internet? und wie synchronisiere ich die Zeit?

Kauf dir einfach ein Smartphone. Dann lächelt dich auch niemand mehr so seltsam an, wenn du dein Handy aus der Hosentasche holst. Schon allein die App "googlemaps" ist doch ein gottes Geschenk

Ich lese immer wieder, dass es viel leichter sein soll, ein Handy/Smartphone zu infizieren, weil es da nur wenige zuverlässige AntivirusApps für geben soll. Deswegen und weil ich mir ungern ständig etwas neues kaufe, sofern das alte nicht kaputt ist, habe ich nur das erwähnte Nokia N79 ohne Internet zu nutzen ^^ Ach und eine Map habe ich auf dem Handy auch =P

Aber sollte der Vorschlag von Massa nicht klappen, wäre es eine sinnvolle Alternative meinen ZweitPC zu verwenden, oder nicht?

[Massa]

Da das noch keiner gepostet hat:

Es gibt das gleiche für alle anderen Phones die Java unterstützen.

Projekt: http://code.google.com/p/gauthj2me
Download: http://gauthj2me.googlecode.com/files/gauthj2me.rar

Läuft einwandfrei auf meinem Nokia N97.
Wichtig ist nur, die Zeit muss synchronisiert sein

Ähm.. ich kenn mich mit Internet+Handy nicht wirklich aus. Ich habe ein Nokia N79. Damit könnte ich zwar ins Internet, aber das wäre mir zu teuer, da ich mein Handy eh sehr selten nutze (Monatskosten von 1-2€ )
Also brauche ich dafür Internet? und wie synchronisiere ich die Zeit?

Is bei mir nicht anders. Ich bin damit so gut wie gar nicht im Netz und wenn dann nur über W-Lan.

Man braucht kein Internet für den Authenticator.
Nur ne sychronisierte Zeit, entweder manuell oder über Internet. Es gibt da noch ne App die auf Java läuft und die Zeit synchronisiert, allerdings müsste ich suchen wo ich die gefunden hatte.