Google sicherer

Es ist schon ein paar Wochen her, ich wurde im Freundeskreis wegen diverser Computerprobleme (Layer 8) gerufen.

Einer der Probleme war …ach das ist ja schön mit dem Android mailen und chatten…. aber du machst das ja auch am PC, will ich auch…. Und damit gings dann los. PC an, Browser auf, ab zu Tante Google, oben rechts gibts den Button Anmelden, E-Mail-Adresse und Passwort eingeben. Passwort? Ach ja…. Eingegebener Nutzername oder Passwort ist falsch. Nochmal versucht, immer noch falsch.Na dann klick doch mal auf das Fragezeichen hinter dem Hinweis, sicher hilft Tante Google weiter (hoffe ich, hatte ich noch nicht, ich hab meine Passwörter im Kopf oder sonstwo gesichert), aha Handy-Nummer, Erinnerungsfrage, diverse Fragen zur bisherigen Nutzung…… nichts hilft wirklich weiter.

Das Problem dabei war vor allem dem Hilfesuchenden zu vermitteln, dass diese Schritte ja auch von jedem Fremden/Angreifer so durchgeführt werden könnten. Der Anbieter (in dem Fall Google) muss also schon sicher sein, dass die Person, die hier vorgibt das Passwort nur „vergessen“ zu haben, auch wirklich die berechtigte Person ist. (kann ja jeder sagen)

Google hat hier schon so einiges zu bieten und hilft mit Fragen recht weit und durchdacht. Aber wenn man beim Einrichten eines Accounts sorglos ist, keine gültige Mailadresse und/oder Mobilnummer angibt oder diese Daten veraltet sind, hilft es halt nix, wenn das Kind in den Brunnen gefallen ist.

Auch ein noch funktionsfähiges eingeloggtes Android hilft hier nicht weiter. Schliesslich könnte ein verlorenes/gestohlenes Handy ja sonst als Ausgangsbasis für eine „feindliche Übernahme“ des Accounts missbraucht werden. Ok, das war hier nicht der Fall, das Smartphone befindet sich weiterhin im rechtmäßigen Besitz der Person. (In dem Zusammenhang frage ich mich aber auch, was ist zu tun, bei Diebstahl des Mobilgerätes mit einem funktionierenden Google Account, dessen Passwort der Accountinhaber nicht mehr hat *hierfür gerne mal Kommentarfunktion nutzen)

Ende vom Lied war, der alte Account (und noch ein Google-Account mit dem gleichen Problem) liegen jetzt weiter auf dem Androiden, bis der mal das zeitliche segnet und es wurde ein neuer Account erstellt, am PC „…für den ich mir jetzt aber ganz ehrlich ganz sicher das Kennwort notiert habe...“ na dann, die Hoffnung stirbt zuletzt?

Das ganze brachte mich aber mal dazu, meinen eigenen Account zu prüfen, was wäre wenn… Ok alles gut eine valide alternative Mailadresse und eine gültige Handynummer sind hinterlegt. Und falls beides mal irgendwann nicht mehr funktioniert, gibt es für beide noch eine alternative Nummer/Adresse.

Kann eigentlich nix mehr schief gehn oder??? Hm und wenn der Account gehackt wird und auch diese Infos gelöscht, verändert werden?

Vor einigen Tagen wurde ich dann von einem Kollegen auf ein Sicherheitsfeature für meinen Google-Account hingewiesen und gestern habe ich mir das mal selber angeschaut. Es geht um die Zwei-Wege-Authentifizierung.

Jeder der Onlinebanking nutzt kennt die diversen PIN/TAN Verfahren. Es reicht nicht sich einzuloggen, sondern man muss einen einmaligen Code aus einer Liste oder einen temporär generierten Code eingeben, zumindest um eine Aktion, wie Überweisung, anlegen/ändern/löschen eines Dauerauftrages usw. auszulösen.

Dieses Prinzip hat Google aufgegriffen und bietet oben erwähnte Methode optional an, in den Einstellungen zum Google Konto (bitte nicht mit den gmail Einstellungen verwechseln) unter Sicherheit gibt es die Option Bestätigung in zwei Schritten.

Ist diese Option eingeschaltet, wirst du beimLogin ausser nach deinen üblichen Zugangdaten noch nach einem Code gefragt, den du per SMS oder Sprachnachricht am Handy/Telefon bekommst oder aber per App auf deinem Smartphone. Letzteres funktioniert auch wenn das Handy mal kein Netz hat (vergleichbar, mit den kleinen TAN Generatoren die manche Banken ihren Kunden anbieten). Für das Internetcafe im Urlaub oder im Falle eines defekten/nicht verfügbaren Handys gibts dann auch noch eine Liste mit Codes zum ausdrucken. Einfach in die Brieftasche und du bist im Fall der Fälle gewappnet.

Zusätzlich kannst du vertrauenswürdige Rechner (z.B. deinen PC zuhause) als vertrauenswürdig einstufen, an diesem wirst du dann nicht ständig nach diesem Code gefragt.

Welchen Rechner der Anwender als vertrauenswürdig einstuft, muss jeder selber entscheiden, den Rechner im Internetcafe wohl sicher nicht, auch nicht den Firmenrechner und vielleicht auch nicht das Netbook das sich häufig in öffentlichen WLANs verbindet.

Alles in Allem gefällt mir diese Idee und bringt für uns Anwender wieder ein Stück mehr Sicherheit

Zwei-Wege-Grüße DxU

update zum Thema: Heise Artikel vom 26.02.2013 Googles Zwei-Faktor-Authentifizierung ausgetrickst

Der kühne Reier ist gelandet

Nun ist es endlich soweit, mein Hauptrechner hat das Upgrade auf „Hardy Heron„, also (k)Ubuntu 8.04 geschafft. Gestern abend, schnell mal die /etc/apt/sources.list angepasst, also alle zusätzlichen Paketquellen entfernt (Achtung auch die gutsy-security und canonical Partner Quellen sollten entfernt werden) und los gings. Ich weiß jetzt nicht wie lange das dauerte, aber dank meiner neuen schnellen 6000er DSL-Leitung, muß das wohl recht flott abgelaufen sein. Heute morgen, mußte ich dann noch ein paar Fragen des Upgrade-Prozesses beantworten, die entfernten/auskommentierten Quellen prüfen, aktualisieren und wieder aktivieren und schon hatte ich ein aktuelles System. Da jetzt ja Firefox3 beta zur Verfügung steht, mußten dort aber etliche Add-ons aktualisiert und leider viele deaktiviert/deinstalliert werden, von denen es leider noch keine Version für den 3er Feuerfuchs gibt. So vermisse ich z.B. jetzt „Tab-Mix-Plus“ und ein paar andere Sachen. Aber wenigstens läuft ScribeFire (wow, toller Relaunch der Seite) weiterhin.

Nur das Problem mit der Graka besteht weiterhin. Beim abmelden friert der X-Server ein und der Rechner lässt sich nur mit Affengriff runterfahren oder rebooten, ein Userwechsel ist so dann auch nicht möglich. Interessanterweise trat das Problem auch mit der Testinstallation von kubuntu 8.04 beta auf, nur ubuntu (also gnome) spielt da ordentlich mit.

Jetzt kommt noch der alte 500Mhz xubuntu Rechner und mein Laptop an die Reihe.
Josis Rechner wollte das upgrade nicht, jetzt läuft da nur noch die Konsole, ich hoffe das noch hinzubekommen, wenn nicht $HOME sichern udn neu installieren.

Kühne Grüße DXU

edit 2008-05-03:
Problem erkannt und gebannt Tab-Mix-Plus für Firefox 3 ist erschienen. Dank an die Mailingliste von ubuntu-berlin.de
Bereits am 24.4. ist bei heise-open ein Artiekl erschienen: Ubuntu 8.04 LTS ist da ,
sehr lesenswert.