Hallo MTN-Forum,

ich bin derzeit dabei, meine Passwörter zu migrieren, und auf folgendes Problem gestoßen:
Während im Schlüsselbund immer die Eingabe des Nutzerpassworts Pflicht war, lässt sich die Passwörter-App bereits per (einmaligem) TouchID zur Preisgabe aller gespeicherten Passwörter überreden.

Ich sehe das aber als wesentlich unsicherer an, da Fingerabdrücke relativ leicht zu erlangen sind bzw. deren Abgabe leicht zu erzwingen ist.

Gibt es eine Möglichkeit, hier TouchID zu deaktivieren, ohne gleich jegliche TouchID-Fähigkeiten im ganzen System zu verlieren?

Das Entfernen einzelner oder gar aller Häkchen in den Systemeinstellungen hat leider nichts genützt.


Danke für eure Hinweise

Bei Apple würde man dir wahrscheinlich entgegnen, dass man viel leichter an dein Passwort herankommt als an deinen Fingerabdruck. Dementsprechend lässt sich m.W. Touch ID für die Passwörter-App auch nicht deaktivieren, weil Apple es wohl als eine sehr sichere Entsperrmethode betrachtet.

reklov2708
Gut möglich. Aber dann wird mir Apple sicher auch meine finanziellen und ideellen Verluste ersetzen, wenn's schief geht :B

Ne im ernst, durch das Hinzufügen einer zweiten Entsperrmethode (TouchID) alternativ zur ersten (Passwort) – nicht zusätzlich – kann man es nicht sicherer machen. Bestenfalls wird es nicht unsicherer.

Ich finde, solche kritischen Entscheidungen sollte man dann schon dem überlassen, der es ausbaden muss, indem man einen kleinen Switch in den Einstellungen platziert, wo doch aus gutem Grund schon welche sind.
Es macht ja auch keinen Sinn, einen Switch gegen das automatische Ausfüllen mittels TouchID zu platzieren, aber keinen gegen das Einsehen aller Passwörter mit TouchID in der Passwörter-App.

Langfristig gibt es die Bestrebungen, auf Passörter zu verzichten und Passkeys zu setzen. Meiner Meinung der richtige Weg, weil Phishing dann ins Leere läuft. Für den Austausch der Schlüssel braucht man dann ein Biometrische Verfahren und damit Touch- oder Face-ID.

Ich persönlich habe bereits beim Webzugang zur iCloud, Amazon und Facebook auf Passkey gewechselt und damit die Zugänge gesichert. Wünsche mir nichts lieber, das Online-Banking möglichst bald nachzieht.

Das Problem ist ja nicht Touch ID, sondern, dass für die Passwörter-App dasselbe Passwort gilt wie für den Benutzeraccount. Wer Zugang zum Mac erlangt, kommt dann auch an alles andere, ob nur per Passwort oder Finger ist dann auch egal.

Soweit ich weiß, lässt sich der Sensor nicht so leicht überlisten. Die Wege, an ein Passwort zu gelangen, sind da vielfältiger. Keylogger, Tonaufnahme von Tastenklackern, Abfilmen, heimlich Zuschauen, Malware die wie ein Systemdialog daher kommt und evtl. noch mehr.

Zurück zum Thema: Nimm einen anderen Passwort-Manager, dann kommst du auch noch an deine Daten ran, wenn dich Apple aus deinem Account aussperrt. Kann ja auch durch technische Fehler passieren. Alles bei einem Anbieter zu speichern, ist generell nicht die beste Idee.

Besonders offen sind Passwort-Manager auf KeePass-Basis. Gefällt dir eine App nicht mehr, kannst du mit einer kompatiblen anderen weitermachen. Strongbox ist ein mächtiger Kandidat, auch wenn die macOS-Version etwas umständlich zu bedienen ist. Die kann aber von Passkeys bis Wifi-Sync so ziemlich alles, was auch proprietäre Lösungen wie EnPass bieten.

Falls nicht bekannt, hier mal was zum PassKeys:

M@rtin
Ja, ich verwende auch schon ein paar Passkeys (ganze 2 Stück ). Aber mehrere hunderte Passwörter kann ich derzeit noch nicht durch Passkeys ersetzen.
Passkey ist übrigens quasi der Marketing-Begriff für den FIDO2-Standard.

Hmm, aber 2 starke Jungs und mein Finger liegt auf dem Sensor ob ich will oder nicht 😬. Ähnliches bzgl. Exekutivorganen. Ideal wäre für mich die Kombination aus Passwort und Biometrie (statt logischem 'oder').
Das habe ich mir auch schon oft überlegt. Bin aber sehr verunsichert, weil ich immer wieder von kritischen Sicherheitslücken bei vielen Dritthersteller-PW-Managern gelesen habe. Außerdem vertraue ich tatsächlich Apple mehr als einer mir unbekannten Firma darin, dass sie selbst keinen Zugriff haben.
Könntest du dazu vielleicht noch eine persönliche Einschätzung geben?
Werde ich mir anschauen, danke für den Tipp!

Noch besser wäre die Kombinnation aus Passwort und Biometrie, bei dem verschiedene Passwörter verschiedene Schlüsselbünde öffnet. Nehmen wir an, man wird mit einem 5 Euro Schraubschlüssel bedroht, den man auf den Kopf gehauen bekommt, wenn man nicht das Passwort rausrückt.

Habe ich 2 verschiedene, eins für den geheimen Bereich, eins für den „offiziellen“ Bereich, so gebe ich das „falsche“ für den offiziellen Bereich raus. Der Einbrecher ist glücklich. Aber der wahre Schatz ist mit einem ganze anderen Passwort gesichert.

Und das ganze dann mit Biometrie als weiteren Faktor.

Zwei taffe Mädels und du gibst alles freiwillig.

Und wie schützt dich das dann, wenn dir Gewalt angedroht wird? Wenn man deine Schwachpunkte findet, kommen sie auch an dein Passwort.
KeePass ist ein offenes, dokumentiertes Format, das diverse Audits hinter sich hat und als sicher gilt. Natürlich musst du den Entwicklern der Clients vertrauen, dass sie da nicht eine Funktion hinzuerfinden, um entschlüsselte Daten abfließen zu lassen. Viele KeePass-kompatible Programme sind ebenfalls Open Source, selbst das kommerzielle Strongbox. Die bekannt gewordenen Sicherheitslücken betrafen meist Server von Anbietern, etwa bei LastPass, das ja auch Zugriff per Browser gewährleisten will. Bei KeePass ist das so gar nicht vorgesehen. Die Daten liegen lokal vor und werden über eine beliebige Cloud oder direkt per WLAN synchronisiert.

Solltest du generell möglichen Netzwerkzugriffen misstrauen, ist auch Apple keine gute Wahl. Selbst, wenn du alles lokal nutzt, ist der Code für iCloud ja vorhanden. Da können lediglich Bugs zu unerwünschten Problemen führen. Man denke nur an den jüngsten Vorfall bei Notizen, wo plötzlich alle Inhalte (vermeintlich) weg waren, nachdem man geänderte AGBs abgesegnet hatte.

Deswegen gibt es mit Strongbox Zero sogar eine Spezialversion, die komplett von Netzwerkcode befreit wurde.

Ob eine App sicher ist, wird letztlich niemand sagen können. Unabhängige Audits sind aber ein gutes Instrument, um Schwachstellen zu finden und zu beheben, sofern die Entwickler nicht anderer Meinung sind. Apple gibt sich da leider recht verschlossen.

Ich würde nur Apps nehmen, die mit dem sogenannten Hardening vor Code-Injections und RAM-Zugriff geschützt sind. Das ist beim Schlüsselbund scheinbar nicht der Fall. Ob das wie vor 4 Jahren noch ausgenutzt werden kann, weiß ich aber nicht. Die Beurteilung ist auch schwieriger, weil die Passwörter-App und die Schlüsselbundverwaltung offenbar nur ein Interface zu Systemfunktionen sind.

Vor Jahren fiel der Mac & i auf, dass sich beim Passwort-Manager SafeInCloud das Masterpasswort im RAM auslesen ließ. Das verwendete Tool Bit Slicer scheitert an hardened Programmen, weshalb ich mal vermute, dass das in dem Fall deutlich aufwendiger wird. SafeInCloud ist übrigens auch heute noch nicht hardened. Ob das mit den russischen Wurzeln zusammenhängt, wie einige vermuten, ist aber wohl eher Spekulation. Damals wurde der Entwickler mit den Befunden konfrontiert und er meinte, RAM-Schutz sei nicht nötig. Offenbar sieht er das auch heute noch so, die App ist immer noch nicht hardened. Strongbox, KeePassium, EnPass und Minimalist Password sind hier vorbildlich. BitWarden überraschenderweise nicht. Da dürften die Serverkomponenten aber das größere Problem sein, sofern sie von außen erreichbar sind.

Wer eine gewaltsame „Entnahme“ des Passworts befürchtet, kann bei Minimalist Password den "Safe for Inspection Mode" einrichten. Das ist quasi ein alternatives Passwort, das nur bestimmte selbst gewählte Daten preisgibt, um nicht verdächtig zu wirken.

Wie gesagt, Behörden.Solange ich nicht in der JVA Gablingen einsitze, hab ich da in DE zum Glück weniger Angst bei der Polizei.

Bei so etwas hilft "glaubhafte Abstreitbarkeit". Du musst vertrauliche Daten so verbergen, so dass deren Existenz oder Ursprung nicht nachgewiesen werden kann.
Siehe Stichwort "plausible deniability" bei VeraCrypt

Nebula
Danke für deine Ausführungen. Habe mich gestern Abend selber eingelesen und Proton Pass ausprobiert, dessen UI ich nicht schön finde (aber wohl noch besser als das der Konkurrenz ist).
Wie hardened diese Manager heute ist, war etwas schwierig für mich festzustellen, da es bislang nur ein Audit aus 05/2023 gibt, als Proton Pass sehr neu auf dem Markt war.

Zu Strongbox gibt es wohl kein aussagekräftiges Audit . Ich liebäugele wirklich damit, aber ich frage mich, wie wahrscheinlich es ist, dass ausreichend cyber security Experten den quelloffenen Code eines kleinen Startups in ihrer Freizeit reviewen.

Ja und nein Wenn die Gegenseite das tatsächlich plausibel findet und sich damit zufrieden gibt, ist ja gut. Aber dafür gibts keine Garantie – Richter und Polizisten sind keine Tech-Experten, und das Durchprobieren einiger Entschlüsselungsmethoden eines Haufen scheinbarer Zufallsdaten hat noch niemandem geschadet, also könnte man sich auch dazu entschließen, die Abgabe deines Fingerabdrucks zu erzwingen.

Kurzum, das bloße Verlassen auf den Fingerabdruck als Sicherung hat Schwächen, die nicht sein müssen, und könnte durch ein zusätzliches Passworterfordernis mitigiert werden.
Dass die Welt danach immer noch nicht perfekt ist, bestreitet natürlich keiner.

Du hast das glaube ich missverstanden. Bei glaubhafter Abstreitbarkeit wird die Passwortdatei so verborgen, dass Du behaupten kannst, dass es gar keine Passwortdatei gibt. Die Richter und Polizisten wiederum können die Existenz nicht nachweisen.

Du meinst, dass die gar nicht wissen, wo die Datei liegt? Ich hatte nur deinem Link zu VeryCrypt gefolgt und dann auf "plausible deniability" geklickt , wo dann von verschlüsselten Festplatten/Volumes die Rede war.
[Dort stand auch, dass man für Dateien, die nur "Rauschen" ohne Muster enthalten, keine plausible Erklärung hat. Im Gegenteil zu ganzen Festplatten, die als "zuvor durch Überschreiben gelöscht" erklärt werden können.]

Auf das Vorliegen solcher Dateien kann man doch sicher in einem Suchvorgang prüfen, oder nicht? Z.B., in dem man die Shannon-Entropie berechnet? Dann hätten Behörden wieder einen Ansatzpunkt für die Forderung nach einem Schlüssel.

Ob eine App hardened ist, kannst du bspw. mit Apparency testen: . Ich meinte damit wirklich nur um die besondere Form der Binärdateien.
Du hast Recht, das hatte ich wohl nur zu flüchtig gelesen. Da sie auf KeePass setzen, sind zumindest das Dateiformat und der Code zum Ver-/Entschlüsseln Audits unterzogen worden. Hier sind natürlich große Player wie Enpass besser aufgestellt. Das bietet ebenfalls eines serverlose Synchronisation an und verzichtet auf ein Webinterface samt Datenhaltung auf deren Servern.

Und sofern du Apple traust, könnte Access einen Blick wert sein , das nutzt konsequent Apples Frameworks für die Verschlüsselung und den E2EE-verschlüsselten iCloud-Sync . Die App ähnelt zudem stark Apples Passwörter-App, bietet aber mehr Freiheiten wie beliebig viele Felder und Anhänge. Es fehlt aber bislang die Integration in Safari & Co..

Ah, verstehe, du meintest nicht app hardening als Cybersecurity-Konzept sondern die Eigenschaft bzgl. macOS's SIP. Das hat Proton Pass immerhin
Danke auch für den Hinweis auf EnPass!

Bzgl. meines ursprünglichen Anliegens habe ich einen Feature Request an Apple geschickt :B Mal schauen, wie viele Jahrzehnte vergehen, bis den jemand liest