IT Security on Pascua Theus

Sicherheit oder Sackgasse? 2-Faktor-Authentifizierung der Bahn unter der Lupe

Mon, 05 Feb 2024 16:33:00 +0000

Die Deutsche Bahn setzt auf die Sicherheit von 2-Faktor-Authentifizierung (2FA), doch es scheint, dass es dabei einige Unannehmlichkeiten für die Nutzer gibt. In diesem Artikel werfe ich einen kritischen Blick auf die Herausforderungen und schlage mögliche Verbesserungen vor.

Vergiss es!

Thu, 28 Mar 2019 18:25:13 +0000

In Zeiten fast unbegrenzten Speicherplatzes für E-Mails, Fotos, Messenger-Nachrichten und Co tendieren wir immer mehr dazu, alles zu speichern, was irgendwie geht. Experten fordern von Unternehmen das Prinzip der Datensparsamkeit. Fangen wir doch einmal bei uns selbst damit an!

MHPG mit Auto-Copy

Thu, 10 Jan 2019 10:07:04 +0000

Mein Mobiler Hash-Passwort-Generator (MHPG) hat schon vor zwei Wochen ein Update bekommen. Die neue Auto-Copy-Funktion bietet zusätzlichen Komfort und auch mehr Sicherheit, denn die erzeugten Passwörter müssen so nicht mehr im Klartext angezeigt werden.

Wie du eine E-Mail fälschst

Wed, 18 Jul 2018 09:49:37 +0000

In meinem letzten Artikel habe ich über den DFB geschrieben, der in seinen E-Mails des Portals DFBnet Absenderadressen fälscht, um E-Mails mit den Adressen der Schiedsrichteransetzer und Staffelleiter etc. zu versenden. Dies ist verblüffend einfach, weil in E-Mails standardmäßig keinerlei Authentifizierung vorgeschrieben ist. Du musst dich heutzutage zwar so gut wie immer vorher beim E-Mail-Server anmelden, um E-Mails verschicken zu können (das war in der Vergangenheit auch mal anders), dieser kontrolliert aber häufig nicht, ob die angegebene Absenderadresse zu dir passt.

Warum es keine gute Idee ist, den E-Mail-Absender zu fälschen

Thu, 15 Mar 2018 13:22:46 +0000

Ich habe in einem früheren Blog-Artikel ja schon einmal über das Ansetzungssystem des DFB für seine Schiedsrichter geschrieben. Da ich selbst einer dieser Schiedsrichter bin, bekomme ich regelmäßig E-Mails mit den Spielen, die ich in naher Zukunft zu leiten habe. Bisher wurden diese E-Mails immer mit der E-Mail-Adresse des Ansetzers als Absender versendet. Das hat sich nun geändert.

Der DFB und seine Passwörter

Wed, 27 Sep 2017 08:29:51 +0000

Ich bin nicht nur Informatik-Student, sondern stehe in meiner Freizeit immer noch (zumindest hin und wieder) als Schiedsrichter auf den Fußballplätzen des Fußball-Verbands Mittelrhein (FVM). Der FVM ist einer der 21 Landesverbände des DFB und nutzt daher zur Ansetzung seiner Schiedsrichter (also der Zuteilung der Schiedsrichter zu den Fußballspielen) und für die Spielberichte das DFB-Portal SpielPlus. Mein Benutzerkonto für dieses Portal unterliegt der Sicherheitsstufe Mittel. Deshalb muss ich alle 180 Tage mein Passwort ändern.

Endlich https!

Fri, 21 Apr 2017 15:52:50 +0000

Ich hatte vor kurzem einen Artikel darüber geschrieben, wie man seinen Browser dazu zwingen kann auf bestimmten Seiten https zu nutzen. Grund war der Frust über die fehlende Reaktion eines Browsergame-Anbieters auf meinen Hinweis der fehlenden Verschlüsselung beim Login. Nun gibt es Grund zur Freude.

HTTPS erzwingen

Sun, 26 Mar 2017 10:43:09 +0000

Um im Internet wirklich sicher unterwegs zu sein, gehört eine ordentlich verschlüsselte Verbindung zu den Webseiten zu den wichtigsten Dingen. In den letzten Jahren hat, nicht zuletzt durch die erleichterte Beschaffung von kostenlosen TLS-Zertifikaten mittels Let’s Encrypt, der Anteil der Server mit HTTPS-Unterstütung deutlich zugenommen. Umso verwunderlicher, dass manche Seiten standardmäßig immer noch keine verschlüsselte Verbindung anbieten.

Noch bessere Passwörter

Mon, 27 Feb 2017 09:26:34 +0000

Nach meinem Artikel über gute Passwörter habe ich einmal gedankenverloren durch den Wikipedia-Artikel gestöbert. Dort wird vorgeschlagen, die Generierung eines diensteindividuellen Passwortes einem Generator zur überlassen. Das ist keine schlechte Idee!

Gute Passwörter erstellen

Sun, 29 Jan 2017 12:24:49 +0000

Gute Passwörter sollen’s sein und auch nicht zweimal das gleiche irgendwo. Gar nicht so einfach, denkt sich da wahrscheinlich so mancher und hält sich einfach nicht daran. Es ist schließlich viel bequemer das gleiche Passwort für Facebook, E-Mail-Konto und Twitter zu benutzen. Problematisch ist das vor allem dann, wenn man sich die Hacks vergangener Zeit anschaut. Die Liste ließe sich beliebig fortführen. Zwar ist nicht bei allen Hacks immer direkt klar, ob Passwörter bzw. ihre gehashten (also „verschlüsselten“) Abbilder erbeutet wurden, doch ist dies der Fall, dann hat der Angreifer potentiell Zugriff auf alle Accounts, die mit diesem Passwort gesichert wurden. Das geht allein schon deshalb, weil man sich häufig statt mit einem Benutzernamen mit seiner E-Mailadresse einloggt. Ein Angreifer, der also dein Facebook-Passwort herausfinden konnte, der braucht so nur noch auszuprobieren, ob er mit deiner E-Mailadresse und dem Passwort auch dein Amazon-, Google- oder Instagram-Konto übernehmen kann.