Sind lokale Anwendungen mit Fido2-Lösungen sinnvoll abzusichern?

Es geht nicht um den Ersatz eines Passwortes, das versuche ich die ganze Zeit klar zu stellen. Das Passwort öffnet weiterhin die Software, es ist nur eine zusätzliche Legitimation, die auf einem nicht (! ) gehackten System die Anmeldung mit einem simpelst ausgespähten Passwort und eben ohne Fido-Legi verhindern kann. Es geht mir hier rein um die User. Die Anwendung fragt nach einem Passwort und öffnet die Fido-Abfrage. Anhand der Fido-Anmeldung wird der passende User freigeschaltet, das ermöglicht dann die weitere Nutzung, das Passwort wird verwendet. Um diese Stufe zu nehmen, muss ein Angreifer das Programm manipulieren können, was er aber auch mit einem reinen Passwortschutz min. genauso einfach könnte.
Genau hier liegt der Unterschied: Manipulieren muss ein Angreifer das können, Ausspähen reicht nicht.

Ich bestreite nicht, dass man das mit jeder anderen Wechsel-Hardware oder z.B. Bluetooth genauso lösen könnte. Fido bietet sich nur hier als chance an, sofern es hier etwas aufwandslos (!) zu integrierendes gibt und weil auch die preiswerten Sticks weitere Funktionen zusätzlich zu Fido2 lernen und immer mehr Verbreitung finden, so dass die viel interessantere Kryptoverschlüsselung womöglich irgendwann darüber ebenfalls erfolgen kann.

Verständlich und man müsste das vermutlich auch erklären. Es würde aber ein Stückchen mehr Anwendungssicherheit bringen. Eine latente Gefahr bei reinen Passwort-geschützten ZV-Programmen wäre ja immerhin, dass jemand Buchungen einbringt oder ändert, die dann unbemerkt übertragen werden. Klingt konstruiert, aber wir hatten vor einigen Jahren genau so einen Fall.

Raimund, das Thema ist derzeit technisch schlicht nicht lösbar. Ich weiss nicht, was wir hier immer noch diskutieren. Ich kann auch kein Auto fliegen lassen, indem ich die Aussenspiegel anklappe.

Oha, jetzt ist es persönlich? Was hab ich euch getan?

Nein, aber aus den Erfahrungen aus ähnlichen Kreisdiskussionen mit Dir kann ich sagen, dass man manchmal besser die Diskussion einfach beendet, bevor man Gefahr läuft, das es persönlich werden könnte.

Wenn du kriminelle Energie hast, würdest du gar nicht so weit denken sondern nen einfacheren Weg wählen. So lang wir hier nicht von dem Konto mit den "verschwundenen" 2 Milliarden Wirecard Geldern reden, würde ich als Angreifer das Opfer einfach erstmal anrufen und mal gucken ob er nicht einfach so überweist oder mir seinen Rechner überlässt. Und wenn nicht, dann rufe ich das nächste Opfer an. Und selbst wenn der einen Fido Stick benutzt und selbst wenn das verschlüsselt wäre, ist es mir trotzdem Banane sobald er das selber entsperrt. Ist dasselbe wie mit Keepass und Co. Es ist deshalb sicher, weil nur Nerds das verwenden. Würde man breit gestreut anfangen Viren zu verteilen welche direkt diese Passwort Tools angreifen, hätten wir ein dickes Problem. Weil die dann einfach warten, bis die Software per Passwort aufgemacht wurde, dann auslesen und dann alle Passwörter haben.

Fido soll einfach verhindern das jemand nur mit deinen Passwörtern irgendwo im Inernet Zugriff bekommt. Sobald ein Trojaner dein System befallen haben sollte, ist es doch eh vorbei mit der Sicherheit. In sofern erschließt sich mir der Sinn nicht, damit eine lokale Anwendung abzusichern.

Was hindert eigentlich einen Trojaner daran, einfach zu warten bis du dann deine lokale Anwendung selber mit Fido entschlüsselt haben solltest?

Ich bahaupte einfach mal: Jemand der ernsthaft sein System so absichert, ist sowieso nicht das Opfer potenzieller Angreifer. Weil dafür gibt es genug Opfer bei denen man leichter an das Geld kommt.

Btw. wenn ich 2 Milliarden Wirecard Gelder hätte würde ich nicht mein Hibiscus verschlüsseln sofern ich das verwenden würde, sondern gleich die komplette Festplatte.

Ich geb's auf. Es geht nicht darum, dass mir eine 90%-Lösung nicht gut genug wäre. Es geht darum, dass es schlicht nicht geht. Jedenfalls nicht nach derzeitigem Stand.

Aber selbst dann verstehe ich den Sinn nicht. Sobald die Firma halbwegs größer ist, wird da eh niemand USB-Geräte an den Firmenrechnern zulassen. Aus sehr guten Grund natürlich. Das ist ja auch das Problem an Fido2, es ist einfach praxisfremd.

Einfach aber nicht wasserdicht ist folgendes Vorgehen, das ich praktiziere:

Ich benutze ein Passortprogramm und eine Datei-Verschlüsselungslösung (made in Germany). Alle ernsthaften Daten, die ich habe, werden auf dem verschlüsselten Laufwerk abgelegt, die daraus resultierenden verschlüsselten Daten werden über einen Cloud-Dienst zwischen insgesamt 3 Rechnern synchronisiert. So habe ich immer und überall den aktuellen Datenbestand zur Verfügung. Selbstverständlich sind auch alle Daten des Bankingprogrammes in dem verschlüsselten, synchronisierten Bereich. Ach ja, mit der App des Verschlüsselungsprogrammes kann ich auch vom Smartphone aus auf meine Datencloud zugreifen.

So weit so unspektakulär, aber: Sowohl das Passwortprogramm als auch die Verschlüsselungslösung benutzen für die Verschlüsselung einen Schlüssel, der in einer Schlüsseldatei abgelegt und mit einem Passwort verschlüsselt ist. Somit brauche ich zwei Faktoren, um auf mein Konstrukt zuzugreifen. Erstens die Schlüsseldatei und zweitens eine einzugebende Passphrase. Zuhause kann der jeweilige Rechner die Schlüsseldatei auf einer Freigabe im heimischen Netzwerk lesen - also kein zusätzlicher Aufwand. Unterwegs muss an den Notebook ein an meinem Schlüsselbund befindlicher usb-Stick angesteckt werden, von dem dann die Schlüsseldatei kommt. Das Passwort muss ich natürlich jedes Mal von Hand zusätzlich eingeben.

Effekt der Konstruktion: Sowie ein Rechner ausgeschaltet ist, ist "alles sicher". Wenn er kaputt geht und ich ihn z.B. zur Reparatur aus der Hand geben muss, kann damit nichts "angestellt" werden, da sowohl das Passwort als auch die Schlüsseldatei fehlen, da sie nicht auf dem Rechner vorhanden ist. Auch kann mir unterwegs ein Rechner "problemlos gestohlen" werden, denn der Dieb müßte zum Zugriff außer meinem Rechner auch den Schlüsselbund-usb-Datenträger mit der Schlüsseldatei und mein Passwort haben. Zuhause kann ich mir den zusätzlichen usb-Stick sparen, da die Datei da vom Netzwerk kommt - was ich aber im Fall des Falles jederzeit unterbinden kann. Wenn man auf das Passwort verzichten würde, dann gäbe das sogar eine Vollautomatik. Zuhause merkt man garnichts von der Verschlüsselungsöffnung - der Schlüssel kommt von der Netzwerkfreigabe und es öffnet sich automatisch und unterwegs müsste nur der Stick angesteckt werden und es öffnet sich automatisch. So könnte man das für "technisch unaffinere Menschen" gestalten.

Problematisch ist naürlich, dass die Schlüsseldatei von dem Stick jederzeit kopierbar ist, wenn jemand den Stick in die Finger bekommt. Das ist durch den Platz am Schlüsselbund bei mir so gut wie ausgeschlossen, aber ich bin mir der Problematik bewußt. Man könnte den Schlüssel noch auf einem Stick unterbringen, der eine Hardwareverschlüsselung besitzt, die nur duch Eingabe einer PIN mittels Tasten in dem Stick geöffnet werden kann. Aber da bliebe dann immer noch das Risiko des Trojanders auf dem Rechner. Aber das bleibt immer, wenn etwas lokal verschlüsselt wird. Der Schlüssel muss spätestens während des Entschlüsselns im Speicher vorhanden sein - und könnte da auch geklaut werden.

Aber ich meine, meine Lösung stellt vor dem, was man so tun kann, das Bestmögliche dar und ist sowohl was die Verwendung der Programme als auch Clouddienste betrifft sehr universell gestaltbar.

Nein. Das hatte ich früher mal. Aktuell nutze ich Boycryptor. Gefällt mir besser. Nach meiner Linie muss es möglich sein, den Schlüssel/die Schlüsseldatei selbst bestimmt extern abzulegen. Das ist nicht bei allen einschlägigen Softwaren möglich.

Wenn man so etwas "im größeren Rahmen" praktizieren will (mehr Nutzer, Zusammenarbeit), dann geht das mit Boxcryptor auch. Dabei werden dann die (verschlüsselten!) Schlüssel auf einem Boxcryptor-Server gelagert. Damit ist dann auch Freigabe von bestimmten Dateien/Verzeichnissen für Kollegen und vor Allem eine zentrale Verwaltung durch einen Admin möglich (was ja für ein solches Einsatzszenario unabdingbar ist). Das Login in diese Schlüsselserver von Boxcryptor ist übrigens mit Passwort +Code aus der AuthenticatorApp und/oder HardwareToken (Fido!) geschützt. Damit wären wir wieder beim Fido angelangt