Egomane, on 19 June 2014 - 12:03 PM, said:
In diesem Fall würde ein gewiefter Angreifer aber auch den eingebenen Code des Authentifikators mit abfangen. Sobald die Daten auf dem Server sind, arbeitet dort ein Skript und führt sofort eine Anmeldung mit diesen Daten durch (auf der MWO Seite wird der echte Benutzer in diesem Moment automatisch abgemeldet), ändert das Passwort und entfernt den Authentifikator als Vorraussetzung für die Anmeldung. Der Original-Benutzer ist nun erstmal raus. Trotz des angeblichen zusätzlichen Schutzes.
Touché, Du hast mit meinem Szenario den Authenticator ausgehebelt, grummel
Egomane, on 19 June 2014 - 12:03 PM, said:
Danach kann man sich Methoden überlegen, die mehr sind als bloße Augenwischerei. Und den Authentifikator halte ich wirklich für nichts anderes.
Hier sind wir unterschiedlicher Meinung. Ein Authenticator mit einem guten Algorithmus ist mMn keine Augenwischerei. Er muss lediglich vernünftig eingebettet werden. D.h. daß er lediglich im Spiel-Client verwendet werden sollte und nicht im Forum. Das Forum bietet eine Recht große Angriffsfläche da Anwender Inhalte einstellen dürfen, der Client eine sehr Kleine. Wenn der Authenticator nur im Spiel Client verwendet würde und man auch nur dort das Passwort ändern könnte sähe die Sache schon anders aus.
Egomane, on 19 June 2014 - 12:03 PM, said:
Eine schwache Schutzmaßnahme bleibt eine schwache Schutzmaßnahme. Egal wie viele man davon zusätzlich einbaut, sie geben keinen Mehrwert an Schutz. Entweder man verstärkt das System sinnvoll, oder man läßt es. Wenn vor meiner Tür bereits ein Balken liegt, dann helfen die drei zusätzlichen Kablebinder auch nicht mehr wirklich. Sie erhöhen nur den Aufwand für das normale Betreten der Wohnung. Also ja... vieleicht sage ich doch, das man dann drauf verzichten sollte.
Ich glaube wir haben eine unterschiedliche Definition für "schwache Schutzmaßnahme":
Schwach: Benutzername und Passwort, Sicherheitsabfragen
Moderat: RSA-Token, Client-Zertifikat
Stark: mobile-TAN, Chip-Karte
Mit "schwache Schutzmaßnahme" meine ich nicht sinnlose Maßnahmen. Die kann man wirklich unterlassen...
Egomane, on 19 June 2014 - 12:03 PM, said:
Ein sicheres Anmeldesystem, wie ich es mir vorstelle, ist für ein Online-Spiel wie MWO leider nicht umsetzbar.
Hier sind wir uns ohne Einschränkung einig
Zacharias McLeod, on 19 June 2014 - 09:31 AM, said:
Da hat Zacharias einen wichtigen Punkt angebracht. Wenn PGI einen Authenticator ins Spiel bringen würde müssten sie den Kunden ohne Smartphone alternativ einen "Hardware" Token-Generator anbieten (wie z.B. Blizzard das macht). Das bekommt PGI niemals organisatorisch gewuppt. Man kann ja bis heute nicht einmal Aufkleber oder T-Shirts bestellen (Schade eigentlich)...
Zurück on topic: Letztlich bleiben aber immer noch eine ganze Reihe von Dingen die PGI umsetzen könnte:
(1) Passwort des Forums und des Spiel-Clients trennen
(2) Passwort des Spiel-Clients kann auch nur dort geändert werden
(3) Bei einer Passwort-Änderung bekommt der Kunde eine "TAN" an seine email-Adresse geschickt die er zusätzlich eingeben muss
(4) Bei einer Passwort-Änderung/Wiederherstellung muss der Kunde Sicherheitsfragen beantworten
Alle 4 Maßnahmen sind nach meinem Empfinden "schwache Sicherheitsmaßnahmen", aber sie würden die Sicherheit verbessern.