Zwei-Faktor-Authentisierung für Foren-Account

ehrlich gesagt lieber nicht.

mich nervt sowas einfach nur.

Früher konnte man sich anmelden, einloggen und loslegen.

Heute muss man sich anmelden, auf den Freischaltcode warten, diesen bestätigen, mitteilen, dass man kein Bot ist und kann dann endlich einloggen.

Gerade die 2FA nervt mich einfach nur.

Sind ja hier keine Bankdaten, wenn jemand meine PMs lesen will, soll er es sagen.

Sehe das wie Farold. Hab zuhause nur wlan, dementsprechend auch kein Empfang für eventuelle sms-Codes

Desweiteren interessiert es bestimmt kein Mensch, einen Forum Account zu „hacken“

Zitat von Leibi133

Wie in den meisten Systemen kann man die 2FA auch optional statt obligatorisch anbieten. Ich lege viel Wert auf Sicherheit, auch - oder vor allem - in Foren. Foren werden öfter angegriffen als andere Webseiten. Außerdem klafften in Woltlab oder anderen Foren-Softwares immer mal wieder ein paar kritische Sicherheitslücken, mit denen die Passwort-Hashes ausgelesen werden konnten. Die sind zwar "verschlüsselt", lassen sich aber wunderbar mit einer sog. Rainbow Table "knacken".

Die 2FA via SMS wird immer weniger verwendet, da SMS ebenfalls unverschlüsselt verschickt werden. Meistens nutzt man dafür den Google Authenticator, der mit einer Internetverbindung super arbeitet. Eine Internetverbindung ist sowieso die Voraussetzung für den Zugriff auf das Forum, daher gäbe es bei der Nutzung keine Probleme.

Also wer das nervig findet, weil damit eine Einbuße der Usability einhergeht, dem sei verziehen. Kann gerne jeder handhaben wie er oder sie es will. Aber für sicherheitsbedachte Benutzer wie mich ist die 2FA unverzichtbar.

Passwortklau wird damit zwar nicht ausgeschlossen, aber der mögliche Schaden durch Ausnutzung der Passwörter mit der Annahme, dass man für jeden Internet-Account ein anderes Passwort verwendet, wird dadurch erheblich verringert. Stellt euch z. B. vor, einem Admin würde ein Passwort geklaut und einer der weniger betuchten Nutzer würde das missbrauchen. Backup sei Dank kann alles wiederhergestellt werden, aber dafür muss ein Einbruch erstmal festgestellt werden.

Vielen Dank für die Aufklärung, war echt gut geschrieben! Allerdings muss ich hier auch ganz klar kritisieren, das ein hinterlegen sämtlicher Daten, auch die Daten einer 2FA, bei einer solchen "unnötigen" Webseite ebenfalls eine Gefahr darstellt. Denn wenn ein Angriff kommt, wird dieser Zentral auf den Server kommen. Ein Angriff auf einen einzelnen Account, verzeih mir bitte, halte ich für generell unwichtig. Und jener der das so macht, der hat in seinem Leben auch nur wenig Erfolg was das hacken angeht.

Also kommen Angriffe, so ist es wichtiger, den zentralen Speicher zu schützen, statt die Datenbank unnötig weiter vollzumüllen mit einer 2FA, die widerrum bei einem zentralen Angriff eingesehen werden kann. Ich benutze generell andere Passwörter für solche Foren.

Zitat von Leibi133

Also wer das nervig findet, weil damit eine Einbuße der Usability einhergeht, dem sei verziehen. Kann gerne jeder handhaben wie er oder sie es will. Aber für sicherheitsbedachte Benutzer wie mich ist die 2FA unverzichtbar.

Passwortklau wird damit zwar nicht ausgeschlossen, aber der mögliche Schaden durch Ausnutzung der Passwörter mit der Annahme, dass man für jeden Internet-Account ein anderes Passwort verwendet, wird dadurch erheblich verringert. Stellt euch z. B. vor, einem Admin würde ein Passwort geklaut und einer der weniger betuchten Nutzer würde das missbrauchen. Backup sei Dank kann alles wiederhergestellt werden, aber dafür muss ein Einbruch erstmal festgestellt werden.

wenn man auf Sicherheit aus ist, sollte man sich aber fragen wie viele Daten du über Google laufen lassen willst. Dann schreibe ich lieber gleich mein Passwort hier in das Forum hin und das im Klartext. :DD

Google, Facebook etc. müssen mir nie mit Sicherheit kommen, deren Ziel sind nur eure Daten und eure Vernetzungen. Damit werden die Reich und Erfolgreich. Eure Sicherheit interessiert die nicht im geringsten und der Datenschutz erst recht nicht.

Stichwort : Cambridge Analytica

In meinen Augen würde ich sehr aufpassen wo man den Google Authenticator einsetzt.

Ich bin sicher die nutzen diese Daten um zu zeigen, wer von euch welche Programme, Logins, Internetseiten nutzt, wann, wie lange, wie oft und für was.

Das ihr meint sicher zu sein, weil keiner in euren Account rein kann ist nur der Nebeneffekt, den sie euch vermitteln. In Wahrheit gibst du denen bereits mehr Infos über dich preis, als das du dir selber bewusst bist.

Zitat von Leibi133

Oje, jetzt muss ich mit einem etwas längeren Text intervenieren

Also erstmal...

Danke für die netten Worte. Ich muss trotzdem etwas über die Funktionsweise klarstellen.

1. Die Datenbank wird bei der Nutzung einer 2FA nicht großartig erweitert.

2. Wenn das System angegriffen wird, in diesem Fall das Forum, dann werden im schlimmsten Fall alle Daten der Datenbank offengelegt. Somit alle Mailadressen, PNs, Passwörter. Die Passwörter sind nicht im Klartext hinterlegt, sondern "gehasht".

Hashing bedeutet, dass die Passwörter mit Hilfe eines Hashingalgorithmus verschlüsselt werden. Allerdings sind Hashes nicht umkehrbar, d. h. keiner kann sie auf direktem Wege "entschlüsseln".

Mit Hilfe einer Rainbow Attack (bei Hash-Algorithmen wie SHA1/SHA2 oder anderen) oder einer Wörterbuchattacke ist es Angreifern möglich, viele abertausende, zufällige Wörter zu "hashen" und diesen Hash mit dem Passwort-Hash zu vergleichen. Das geht mittlerweile in Sekundenschnelle je nach Komplexität der Passwörter. Aufgrund der Altersgruppe der hier aktiven Mitglieder denke ich, dass viele ihr Passwort so einfach wie möglich gestalten. Aus Bequemlichkeit werden viele auch das gleiche Passwort bei anderen Diensten verwenden.

Mit Hilfe des Zugriffs auf viele Accounts kann ein erheblicher Schaden entstehen. Stellt euch vor es würden Gerüchte verbreitet oder Nachrichten verschickt werden... Wenn jemand Zugriff auf dein Konto hat, ist alles möglich.

Mittels 2FA könnte sich der Angreifer zwar anmelden, aber würde am zweiten Schritt, dem zweiten Faktor Smartphone, scheitern. Wenn er keinen Zugriff auf dein Smartphone hat, kommt er auch nicht rein.

Da hast du ja nicht ganz Unrecht. Natürlich können die Schindluder mit den Metadaten betreiben.

Trotzdem kann Google, Facebook oder wer auch immer nur mittels Google Authenticator nicht auf die Konten zugreifen. Schon mal gut.

Wenn durch die 2FA auch andere Unberechtigte nicht auf mein Konto zugreifen können, finde ich das noch besser.

Wenn du gegen die Massenüberwachung kämpfen und deinen Account trotzdem absichern möchtest, kannst du natürlich auch Alternativen zum Google Authenticator wie FreeOTP Authenticator nutzen. Ist sogar Open Source

Ich bin extrem auf IT-Sicherheit aus und auch in der Branche tätig. Deshalb weiß ich: wenn jemand auch nur eine Zugriffsmöglichkeit auf einen Account eines Benutzers findet, wird er meistens auch mehr Zugriffsmöglichkeiten suchen und finden. Das will ich verhindern.

Alles anzeigen

Auch und gerade wenn du in der Branche tätig bist, bin ich im übrigen auch, weist du den Kosten / Leistungsaufwand auch wertzuschätzen. Denn ein für uns "einfaches" implementieren, stellt für freiwillig engagierte wohl mehr Arbeit in Anspruch.

Desweiteren bin ich zwar auch ganz klar einer, der für Sicherheit ist, muss aber ganz klar sagen, dass sich in meinen Augen eine Sicherheit nur in versch. Bereichen lohnt. Und gerade in solchem Forum finde ich es nicht für passend. Nicht, weil Sicherheit nicht etwas schönes ist, sondern viel mehr, weil es hier das Clientee wohl nicht interessiert und für mich ein erheblicher Aufwand für das einloggen besteht. Ich möchte, gerade wenn man in solch einem Berufsfeld ist, privat doch schon gerne mal etwas "lockerer" mich irgendwo einloggen.

Und gerade Du solltest wissen, dass du deine Daten nicht an Dritte weitergeben solltest. Gerade in diesem Forum hier, solltest du doch andere Passwörter wählen. Da die anderen Anbieter, ich sag mal die "wichtigen" Anbieter, bereits 2FA verpflichten, so ist ein einfaches einloggen, selbst wenn man die Daten von hier gestohlen hat, eh nicht mehr so möglich.

Und wenn ich schon ein Verbrechen plane, dann priorisiere ich natürlich Foren oder Internetseiten mit Erfolgsgarantie, statt einem Forum, wo ich mir maximal die MC-Accounts sichern kann Für den ein oder anderen mag das wohl sein Erfolgsrezept zu sein, für mich allerdings nicht. Ich bin mir im übrigen nicht bewusst, in wie fern hier das Thema Passwortrichtlinie geplant und umgesetzt wurde. Vielleicht sollte man doch hier lieber die Baustelle öffnen und das schärfer schalten. Und bevor man das tut, eher zentral Baustellen bearbeiten (Cloudflare, DDOS-Schutz, etc. etc. etc.)

Bin ebenfalls in der Branche tätig und kann dazu nur sagen, hier gehts um Minecraft Forum Accounts mehr nicht.

Konversationen gibts dann bald nurnoch mit PGP oder ?

Im schlimmsten Fall muss man sein Foren Passwort ändern.

Wer die selben Zugangsdaten für seinen Minecraft Account benutzt ist leider selber Schuld.

Viel Wert auf Sicherheit legen und gleichzeitig Java nutzen ist eh so ne Sache..

Vorteile gäb es mit 2Fa nicht wirklich, Nachteile für den Betreiber schon eher, viele haben keine Lust auf sowas - Traffic sinkt.

Zitat von Leibi133

Danke für deine Antwort

Bin natürlich Verfechter und Power-User eines Passwort-Safes. Klar. Für jeden Dienst natürlich ein anderes Passwort.

Kosten/Nutzen ist mir auch bewusst, aber die Installation eines 2FA-Plugins (wie z. B. https://pluginstore.woltlab.com/file/3007-2-fa…uthentisierung/) für optionale 2FA birgt auch keinen großen Aufwand.

Sehr geile Leute hier!

Ich hoffe der erste und der letzte Satz waren keine Ironie. Wenn keine Ironie -> Danke für die Diskussion ❤️

Heyho,

Da das Thema in der Vergangenheit (Mai) bereits vorgeschlagen und abgelehnt wurde, sehe ich keine große Chance, dass sich an der Einstellung des Teams etwas dazu geändert hat. Ergebnis der Suchfunktion meldet: Zwei-Faktor-Authentisierung (2FA)

Desweiteren kann ich mich an der Stelle an einige Aussagen anschließen oder diese ergänzen.

• Ja, Sicherheit im Internet ist (gerade in der heutigen Zeit) sehr wichtig geworden.
  • Cyberkriminalität nimmt immer mehr zu und die persönlichen Daten sind ein immer interessanteres Ziel für Angreifer geworden.
• Jeder ist für die Sicherheit seiner Daten selbst verantwortlich. Dazu gehört auch die Wahl der Passwörter & PIN's.
  • Ein gutes Passwort besteht aus Groß- & Kleinbuchstaben, Zahlen & Sonderzeichen und ist mindestens 8 (besser 12) oder mehr Zeichen lang.
  • Ein gutes Passwort enthält keine aufeinanderfolgenden Zahlen/Buchstabenkombinationen, keine persönliche Daten (Name, Jahrestag, etc.) und keine generische Ausdrücke (normale Wörter/Namen).
  • Zudem verwendet man das Passwort ausschließlich für diesen entsprechenden Dienst und keine anderen.
• Man speichert Passwörter niemals in Drittanwendungen, Cloud-Diensten oder lokalen Dateien auf der Festplatte.
  • (Einmal Schadsoftware auf dem Gerät/Daten-Leak und alle Passwörter sind "potentiell" in der Hand der Angreifer.)

• Eine freiwillige 2FA im Forum anzubieten, fände ich persönlich zwar auch hilfreich und nützlich. Objektiv sehe ich aber ein anderes Problem:
  • Die Personen, die sicherheitsbewusst genug sind eine 2FA zu aktivieren und zu nutzen, sind meist auch die, welche sowieso um ihre Sicherheit im Netz bedacht sind und oben stehende Hinweise beachten.
  • Das Publikum, dass "leicht zu knacken" ist, nimmt diese Passwörter in der Regel aus Unwissenheit/Bequemlichkeit und wird auch eine 2FA nicht anwenden, wenn diese angeboten wird...

Als Kundenberaterin von Großkunden in der IT- & Telekommunikationsbrache, ist das Thema "Sicherheit" auch bei mir ganz weit oben... "End-to-End"-Lösungen, Verschlüsselung des Datenverkehrs & allgemeine Self-Awareness stehen dabei an oberster Stelle. Der schwächste Faktor ist bedauerlicherweise immer noch der Mensch.

Auch ich bin in der IT-Security-Branche und wir stehen immer im Spannungsfeld zwischen Security und Usability. Für mich steht ich hier eindeutig die Usability im Vordergrund - für einen Forumsaccount eines Spieleservers reicht das Sicherheitsniveau eines starken Passworts. Optional eine 2FA anzubieten ist natürlich ok.

Zitat von 50U7R34P3R

Der schwächste Faktor ist bedauerlicherweise immer noch der Mensch.

Und das unterschreib ich auch sofort

Guten Abend @Leibi133,

deine Idee wurde erfolgreich im Forum umgesetzt.

Die 2FA ist seit dem letzten Foren-Update für alle Spieler freigegeben und auf freiwilliger Basis nutzbar.

Vielen Dank für dein Feedback und viel Spaß weiterhin auf GrieferGames.net!