[Funktionserweiterung] 2FA /Hardwaretoken

Pack doch dein Benutzerprofil einfach in einen Veracrypt-Container, dann hast du einen zweiten Faktor.

Den Hype um Hardwaretoken bei jeder Gelegenheit (gerne auch zum Einloggen ins E-Mail-Konto, von wo aus man dann unverschlüsselte Mails versendet) habe ich noch nie verstanden.

Ich weiss ehrlich gesagt gar nicht, wie eine Verschlüsselung mit 2FA aussehen soll. 2FA wird zur Absicherung von Logins verwendet. Der Login-Prozess prüft den Hash des Passwortes und zusätzlich den zweiten Faktor. Sowohl Server als auch Client kennen das "Geheimnis" des zweiten Faktors und können daher zu jedem Zeitpunkt einen gemeinsamen Wert (quasi die TAN) ausrechnen.

Das bezieht sich aber auf Logins. Das Master-Passwoet von Jameica ist aber kein Login sondern das Verschlüsselungspasswort des Datencontainers. Ich wüsste nicht, wie ein zweiter Faktor in die Verschlüsselung mit einfließen soll. Aus meiner Sicht geht das schon prinzip bedingt nicht. Denn wir reden hier von zwei völlig verschiedenen Sachen. Das eine ist ein Login. Das andere eine Verschlüsselung.

Die einzige Möglichkeit wären sog. PKI-Tokens. Also Crypto-Zertifikate, die in Hardware gegossen sind. Also auf einem USB-Stick oder eine Chipkarte. Das ist aber was völlig anderes. Und die Dinger sind so exotisch, dass sicher nicht mal jeder tausendste User sowas besitzt. Dafür ist es mit den Aufwand nicht wert. Die Lösung mit einem extra verschlüsselten Laufwerk oder Container wie Kleinsparschwein schreibt, ist da bei weitem pragmatischer und praxistauglicher.

Nicht überall, wo ein Passwort eingegeben wird, macht ein zweiter Faktor aus meiner Sicht Sinn.

Wenn du den Faktor "Besitz" mit drin haben willst, kannst du einfach die Keystore-Datei .jameica/cfg/jameica.keystore auf einem USB-Stick speichern und nur per Symlink in den Benutzerordner verlinken, damit die Datei physisch auf einem mobilen Datentraeger liegt. Das Masterpassword wird legiglich verwendet, um Zugriff auf die Keystore-Datei zu erhalten. In ihr sind die X509-Zertifikate enthalten, auf denen die eigentliche Verschlüsselung basiert. Ohne die Datei nutzt auch das Passwort nichts.

So betrachtet, läßt sich mit Veracrypt sogar ein dritter und vierter Faktor einführen:
zusätzliches Wissen mit einem individuellen PIM, Besitz mit einer Schlüsseldatei statt oder neben Paßwort.