PRISM, Tempora & Co zeigen, dass man sich vor der Totalkontrolle durch NSA, GHCQ und vielleicht noch weiteren fragwürdigen Diensten schützen sollte. Nein, wenn man die orwellsche Überwachung bekämpfen will, muss man sich schützen. Gerade der Spiegel-Bericht Neue Snowden-Enthüllungen: NSA knackt systematisch Verschlüsselung im Internet zeigt erneut das erschütternde Ausmass des Cyber-Wars, den die USA und Großbritanien gegen den Rest der Welt führen.
Insofern ist es wichtig zu wissen, dass die meisten Passwort-Apps kompromittiert und unsicher sind, da sie entweder vom Hersteller des Betriebssystems wie bei BlackBerry geliefert werden und daher qua US-Gesetz kompromittiert sind, weil die Verschlüsselung offengelegt werden muss(te) oder von US-Firmen entwickelt wurden, was auch bedeutet, dass die Verschlüsselung kompromittiert ist.
Und der Rest, der dann noch übrig bleibt, ist regelmäßig auch fragwürdig, da er die Synchronisation in vielen Fällen über iCloud, Dropbox oder andere fragwürdige amerikanische Angebote realisiert oder zulässt. Über die im Falle von Passworten zwingend gebotene und für jeden Anwender nutzbare Zwei-Faktor-Authentifizierung per SMS verfügt außer unserem AppTipp derzeit kein anderes Produkt. Es gibt Lösungen mit zertifikatsbasierter Authentifizierung oder mit Tokens bzw. Smartcards, diese Authentifizierung ist aber breiten Anwenderkreisen, gerade auch im SMB-Markt, nicht ohne zusätzlichen Aufwand zugänglich.
Wir haben den Markt intensiv analysiert und hierbei festgestellt, dass SecureSafe das derzeit einzige Angebot ist, das eine für jeden Anwender problemlos erreichbare Zwei-Faktor-Authentifizierung bietet, die nach PRISM & Co für die Verwaltung von Passworten und schutzbedürftigen Inhalten zwingend geboten ist. Für die Leser, die nicht wissen, was eine Zwei-Faktor-Authentifizierung ist, an dieser Stelle eine kurze Erklärung.
Wenn Sie sich an einer IT-Infrastruktur mit Usernamen und Passwort anmelden, ist dies niemals garantiert sicher – auch wenn Sie sich mit einer vermeintlich sicheren SSL-Verschlüsselung anmelden. SSL (Secure Socket Layer) ist nicht erst seit dem heutigen Spiegel-Artikel kritisch zu hinterfragen. Wir haben auf diese Problematik zuletzt vor 6 Wochen im Beitrag SSL-Verschlüsselung mit Microsoft — Helfen Sie der NSA im Cyber-War? Die Lösung, wenn Ihnen Sicherheit total egal ist! hingewiesen, wobei die Spiegel-Informationen von heute eine neue Bedrohungsqualität verursachen. Wenn aber nun eine Anmeldung mit Username und Passwort nicht mehr als sicher angesehen werden kann – wie kann man sich dann überhaupt noch sicher anmelden?
Genau an dieser Stelle kommt die sichere Zwei-Wege-Authentifizierung ins Spiel. Wenn man nun zusätzlich ein zweites Passwort verwendet, wird es für einen Angreifer ungleich schwerer und im Falle von manchen dieser Methoden unmöglich, den Login zu kompromittieren. Es gibt unterschiedliche Methoden für diesen zweiten Faktor der Authentifizierung, Smartcards, Token und Zertifikate haben sich hierfür etabliert. Das unsicherste hierbei sind Token-Lösungen von amerikanischen Anbietern. Diese müssen nach heutigem Erkenntnisstand über die Umtriebe der NSA als genauso kompromittiert gelten wie alle anderen US-Lösungen, die Verschlüsselung bieten. Zertifikate sind deutlich sicherer, können aber durch einen Einbruch in die ausstellende CA oder durch Kompromittierung derselben ebenfalls erlangt werden. Am sichersten von den drei dargestellten Methoden sind zweifelsfrei Smartcards, bei denen aber auch das Risiko des Abhandenkommens bzw. der Kompromittierung der darauf enthaltenen Zertifikate besteht.
Der unseres Erachtens derzeit beste Weg ist die Zustellung des zweiten Passwortes durch eine SMS. Dieser Weg hat auch den Vorteil, dass er nahezu für jede(n) verfügbar ist, man braucht lediglich ein – ggf. uraltes – Mobiltelefon. Aus diesem Grund haben wir auch in datomo Mobile Password die SMS als zweiten sicheren Kanal gewählt. Dieses Verfahren wird mittlerweile auch von den meisten Banken in Deutschland als ein sicherer Weg für die TAN-Zustellung im Online-Banking genutzt.
SecureSafe ist eine Lösung aus der Schweiz, die Passworte und Dokumente auf Servern in der Schweiz sicher speichert. Der Anwender kann die Lösung weltweit in jedem Browser nutzen und dies durch die oben angeführte Zwei-Wege-Authentifizierung besonders sicher tun. Dieses Authentifizierungsverfahren wird auch auf Android-Geräten angewandt. Wer das gesamte Sicherheitsarchitektur von SecureSafe nachvollziehen möchte, sei auf das Sicherheitskonzept von SecureSafe verwiesen.
Für iOS-Geräte haben die Sicherheitsexperten von SecureSafe eine neue Technologie entwickelt – DoubleSec. Hierbei wird die sichere Zwei-Wege-Authentifizierung mit einer einmaligen SMS initialisiert, die bei iPads auch auf ein iPhone gesendet werden kann.
SecureSafe hat von der Ergonomie derzeit noch deutliches Ausbaupotential, besonders stört mich, dass die Passworte nicht kategorisiert und strukturiert werden können. Der Hersteller hat uns allerdings mitgeteilt, dass dieses Feature geplant ist.
Ein in dieser Form einzigartiges Feature ist die Möglichkeit die Inhalte von SecureSafe gezielt an Berechtigte – beispielsweise im Krankheits– und Todesfall – sicher vererben zu können. Ganz besonders mit diesem Feature sticht SecureSafe alle Wettbewerber deutlich aus.
SecureSafe kann man für bis zu 50 Passworte komplett kostenlos nutzen, was wir allerdings nicht empfehlen. Denn die kostenlose Version ist nicht nur auf 50 Passworte beschränkt sondern verfügt auch nicht über das ganz wesentliche Feature der Zweiwege-Authentifizierung bzw. Doublesec.
Die für die meisten Anwender sinnvollste Version ist die Pro-Version – sie ist der Einstieg in die komplette Sicherheit mit Zweiwege-Authentifizierung und Doublesec für 1,20 € im Monat. Das sollte im Jahr 2013 für sicherheitsorientierte Benutzer(innen) ein Schnäppchen sein. Ein Schnäppchen, das man haben muss! Deshalb mein Tipp an Sie – gönnen Sie noch heute Ihren Passworten, Logins und wichtigsten Dokumenten diese Sicherheit und steigen Sie bei SecureSafe ein oder auf SecureSafe um.
Disclaimer:
„Für den oben stehenden Beitrag sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Nutzer verantwortlich. Eine inhaltliche Kontrolle des Beitrags seitens der Seitenbetreiberin erfolgt weder vor noch nach der Veröffentlichung. Die Seitenbetreiberin macht sich den Inhalt insbesondere nicht zu eigen.“
