App­Tipp: Secu­re­Safe — Pass­wort­safe für Pass­wor­te und Doku­men­te für Andro­id und iOS in der Schweiz

PRISM, Tem­po­ra & Co zei­gen, dass man sich vor der Total­kon­trol­le durch NSA, GHCQ und viel­leicht noch wei­te­ren frag­wür­di­gen Diens­ten schüt­zen soll­te. Nein, wenn man die orwell­sche Über­wa­chung bekämp­fen will, muss man sich schüt­zen. Gera­de der Spie­gel-Bericht Neue Snow­den-Ent­hül­lun­gen: NSA knackt sys­te­ma­tisch Ver­schlüs­se­lung im Inter­net zeigt erneut das erschüt­tern­de Aus­mass des Cyber-Wars, den die USA und Groß­bri­ta­ni­en gegen den Rest der Welt füh­ren.

Inso­fern ist es wich­tig zu wis­sen, dass die meis­ten Pass­wort-Apps kom­pro­mit­tiert und unsi­cher sind, da sie ent­we­der vom Her­stel­ler des Betriebs­sys­tems wie bei Black­Ber­ry gelie­fert wer­den und daher qua US-Gesetz kom­pro­mit­tiert sind, weil die Ver­schlüs­se­lung offen­ge­legt wer­den muss(te) oder von US-Fir­men ent­wi­ckelt wur­den, was auch bedeu­tet, dass die Ver­schlüs­se­lung kom­pro­mit­tiert ist.

Und der Rest, der dann noch übrig bleibt, ist regel­mä­ßig auch frag­wür­dig, da er die Syn­chro­ni­sa­ti­on in vie­len Fäl­len über iCloud, Drop­box oder ande­re frag­wür­di­ge ame­ri­ka­ni­sche Ange­bo­te rea­li­siert oder zulässt. Über die im Fal­le von Pass­wor­ten zwin­gend gebo­te­ne und für jeden Anwen­der nutz­ba­re Zwei-Fak­tor-Authen­ti­fi­zie­rung per SMS ver­fügt außer unse­rem App­Tipp der­zeit kein ande­res Pro­dukt. Es gibt Lösun­gen mit zer­ti­fi­kats­ba­sier­ter Authen­ti­fi­zie­rung oder mit Tokens bzw. Smart­cards, die­se Authen­ti­fi­zie­rung ist aber brei­ten Anwen­der­krei­sen, gera­de auch im SMB-Markt, nicht ohne zusätz­li­chen Auf­wand zugäng­lich.

Wir haben den Markt inten­siv ana­ly­siert und hier­bei fest­ge­stellt, dass Secu­re­Safe das der­zeit ein­zi­ge Ange­bot ist, das eine für jeden Anwen­der pro­blem­los erreich­ba­re Zwei-Fak­tor-Authen­ti­fi­zie­rung bie­tet, die nach PRISM & Co für die Ver­wal­tung von Pass­wor­ten und schutz­be­dürf­ti­gen Inhal­ten zwin­gend gebo­ten ist. Für die Leser, die nicht wis­sen, was eine Zwei-Fak­tor-Authen­ti­fi­zie­rung ist, an die­ser Stel­le eine kur­ze Erklä­rung.

Wenn Sie sich an einer IT-Infra­struk­tur mit User­na­men und Pass­wort anmel­den, ist dies nie­mals garan­tiert sicher — auch wenn Sie sich mit einer ver­meint­lich siche­ren SSL-Ver­schlüs­se­lung anmel­den. SSL (Secu­re Socket Lay­er) ist nicht erst seit dem heu­ti­gen Spie­gel-Arti­kel kri­tisch zu hin­ter­fra­gen. Wir haben auf die­se Pro­ble­ma­tik zuletzt vor 6 Wochen im Bei­trag SSL-​Ver­schlüs­se­lung mit Micro­soft — Hel­fen Sie der NSA im Cyber-​War? Die Lösung, wenn Ihnen Sicher­heit total egal ist! hin­ge­wie­sen, wobei die Spie­gel-Infor­ma­tio­nen von heu­te eine neue Bedro­hungs­qua­li­tät ver­ur­sa­chen. Wenn aber nun eine Anmel­dung mit User­na­me und Pass­wort nicht mehr als sicher ange­se­hen wer­den kann — wie kann man sich dann über­haupt noch sicher anmel­den?

Genau an die­ser Stel­le kommt die siche­re Zwei-Wege-Authen­ti­fi­zie­rung ins Spiel. Wenn man nun zusätz­lich ein zwei­tes Pass­wort ver­wen­det, wird es für einen Angrei­fer ungleich schwe­rer und im Fal­le von man­chen die­ser Metho­den unmög­lich, den Log­in zu kom­pro­mit­tie­ren. Es gibt unter­schied­li­che Metho­den für die­sen zwei­ten Fak­tor der Authen­ti­fi­zie­rung, Smart­cards, Token und Zer­ti­fi­ka­te haben sich hier­für eta­bliert. Das unsi­chers­te hier­bei sind Token-Lösun­gen von ame­ri­ka­ni­schen Anbie­tern. Die­se müs­sen nach heu­ti­gem Erkennt­nis­stand über die Umtrie­be der NSA als genau­so kom­pro­mit­tiert gel­ten wie alle ande­ren US-Lösun­gen, die Ver­schlüs­se­lung bie­ten. Zer­ti­fi­ka­te sind deut­lich siche­rer, kön­nen aber durch einen Ein­bruch in die aus­stel­len­de CA oder durch Kom­pro­mit­tie­rung der­sel­ben eben­falls erlangt wer­den. Am sichers­ten von den drei dar­ge­stell­ten Metho­den sind zwei­fels­frei Smart­cards, bei denen aber auch das Risi­ko des Abhan­den­kom­mens bzw. der Kom­pro­mit­tie­rung der dar­auf ent­hal­te­nen Zer­ti­fi­ka­te besteht.

Der unse­res Erach­tens der­zeit bes­te Weg ist die Zustel­lung des zwei­ten Pass­wor­tes durch eine SMS. Die­ser Weg hat auch den Vor­teil, dass er nahe­zu für jede(n) ver­füg­bar ist, man braucht ledig­lich ein — ggf. uraltes — Mobil­te­le­fon. Aus die­sem Grund haben wir auch in datomo Mobi­le Pass­word die SMS als zwei­ten siche­ren Kanal gewählt. Die­ses Ver­fah­ren wird mitt­ler­wei­le auch von den meis­ten Ban­ken in Deutsch­land als ein siche­rer Weg für die TAN-Zustel­lung im Online-Ban­king genutzt.

Secu­re­Safe ist eine Lösung aus der Schweiz, die Pass­wor­te und Doku­men­te auf Ser­vern in der Schweiz sicher spei­chert. Der Anwen­der kann die Lösung welt­weit in jedem Brow­ser nut­zen und dies durch die oben ange­führ­te Zwei-Wege-Authen­ti­fi­zie­rung beson­ders sicher tun. Die­ses Authen­ti­fi­zie­rungs­ver­fah­ren wird auch auf Andro­id-Gerä­ten ange­wandt. Wer das gesam­te Sicher­heits­ar­chi­tek­tur von Secu­re­Safe nach­voll­zie­hen möch­te, sei auf das Sicher­heits­kon­zept von Secu­re­Safe ver­wie­sen.

Für iOS-Gerä­te haben die Sicher­heits­ex­per­ten von Secu­re­Safe eine neue Tech­no­lo­gie ent­wi­ckelt — Dou­b­leS­ec. Hier­bei wird die siche­re Zwei-Wege-Authen­ti­fi­zie­rung mit einer ein­ma­li­gen SMS initia­li­siert, die bei iPads auch auf ein iPho­ne gesen­det wer­den kann.

Secu­re­Safe hat von der Ergo­no­mie der­zeit noch deut­li­ches Aus­bau­po­ten­ti­al, beson­ders stört mich, dass die Pass­wor­te nicht kate­go­ri­siert und struk­tu­riert wer­den kön­nen. Der Her­stel­ler hat uns aller­dings mit­ge­teilt, dass die­ses Fea­ture geplant ist.

Ein in die­ser Form ein­zig­ar­ti­ges Fea­ture ist die Mög­lich­keit die Inhal­te von Secu­re­Safe gezielt an Berech­tig­te — bei­spiels­wei­se im Krank­heits- und Todes­fall — sicher ver­er­ben zu kön­nen. Ganz beson­ders mit die­sem Fea­ture sticht Secu­re­Safe alle Wett­be­wer­ber deut­lich aus.

Secu­re­Safe kann man für bis zu 50 Pass­wor­te kom­plett kos­ten­los nut­zen, was wir aller­dings nicht emp­feh­len. Denn die kos­ten­lo­se Ver­si­on ist nicht nur auf 50 Pass­wor­te beschränkt son­dern ver­fügt auch nicht über das ganz wesent­li­che Fea­ture der Zwei­we­ge-Authen­ti­fi­zie­rung bzw. Dou­b­les­ec.

Die für die meis­ten Anwen­der sinn­volls­te Ver­si­on ist die Pro-Ver­si­on — sie ist der Ein­stieg in die kom­plet­te Sicher­heit mit Zwei­we­ge-Authen­ti­fi­zie­rung und Dou­b­les­ec für 1,20 € im Monat. Das soll­te im Jahr 2013 für sicher­heits­ori­en­tier­te Benutzer(innen) ein Schnäpp­chen sein. Ein Schnäpp­chen, das man haben muss! Des­halb mein Tipp an Sie — gön­nen Sie noch heu­te Ihren Pass­wor­ten, Log­ins und wich­tigs­ten Doku­men­ten die­se Sicher­heit und stei­gen Sie bei Secu­re­Safe ein oder auf Secu­re­Safe um.


Ande­re inter­es­san­te Bei­trä­ge:
Ist Good for Enter­pri­se wirk­lich „good for enter­pri­se”?
Vor zwei Tagen habe ich mich schon ein­mal hier im Blog mit Con­tai­ner-Kon­zep­ten beschäf­tigt und mei­nen Test von Touch­down von Nitro­desk im Bei­trag App­Test — Con­tainer­lö­sung Touch­down von Nitro­desk auf iPho­ne und iPad beschrie­ben. In der kur­zen Zeit seit­dem erreich­ten mich drei Leser­zu­schrif­ten,…
Mobi­le Device Manage­ment (MDM) als Mana­ged Ser­vice — Gehosted vom füh­ren­den deut­schen Sicher­heits­dienst­leis­ter AirIT Sys­tems
Pre­tio­so bie­tet schon seit vie­len Jah­ren datomo Mobi­le Device Manage­ment in drei Vari­an­ten an: Gehos­te­ter mana­ged Ser­vice Dedi­ziert gehos­te­ter mana­ged Ser­vice Onsite-Instal­la­ti­on Wir freu­en uns, dass nun­mehr unser Part­ner AirIT Sys­tems mit Stand­or­ten in Han­no­ver, Köln, Frank­furt und Ber…
MDM-Essen­ti­als — Mobi­le Device Manage­ment (MDM) und App-Sicher­heit
Täg­lich errei­chen uns Anfra­gen zur Sicher­heit von Apps auf mobi­len End­ge­rä­ten, was zeigt, dass das The­ma die Köp­fe der Anwen­der erreicht hat. Das ist gut so. Im Kern han­delt es sich bei der Durch­set­zung siche­rer Apps auf den Gerä­ten der Anwen­der um kein schwie­ri­ges The­ma, denn die­se Auf­ga­be ist per …
Pro­dukt­über­sicht Mobi­le Device Manage­ment (MDM) /​Enter­pri­se Mobi­li­ty Manage­ment (EMM)
Markt­über­sich­ten zu den The­men Mobi­le Device Manage­ment (MDM) und Enter­pri­se Mobi­li­ty Manage­ment (EMM) in Fach­zeit­schrif­ten und im Netz feh­len sehr oft zwei wesent­li­che Eigen­schaf­ten: Fach­kom­pe­tenz und gründ­li­che Recher­che. ZDNet​.de hat hier end­lich ein­mal einen qua­li­ta­ti­ven Kon­tra­punkt gesetzt. In…
MDM-Essen­ti­als — Kann man Mobi­le Device Manage­ment mit Mobi­le App­li­ca­ti­on Manage­ment (MAM) erset­zen?
Nein! Zumin­dest dann nicht, wenn der siche­re Betrieb der mobi­len Infra­struk­tur wich­tig ist. Und wo ist er dies nicht? Doch der Rei­he nach. Vor zwei Tagen haben wir im Bei­trag MDM-​Es­sen­ti­als — Was hat Mobi­le Device Manage­ment mit App Wrap­ping zu tun? auf die Gren­zen und Risi­ken von App Wrap­ping h…

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Geben Sie bitte das Ergebnis ein: * Time limit is exhausted. Please reload CAPTCHA.