Vorhin haben wir über Google Sesame berichtet. Da Jens leider schneller war und ich gleich in den ersten Artikel auf die Vor- und Nachteile eingegangen wäre, gibt es nun einen weiteren Artikel.
Die Idee hinter Google Sesame ist eigentlich gut und auch das Konzept scheint durchdacht zu sein. Anstelle sein Passwort auf einem fremden Rechner einzugeben, gibt der Nutzer höchstens auf seinem eigenen Gerät das Passwort ein. Alles andere geschieht automatisch.
Natürlich muss der Nutzer auch weiterhin auf darauf achten wo er sich befindet. Vor dem Scannen sollte er schauen, ob der Code auch wirklich von https://accounts.google.com stammt. Zum anderen sieht er auch auf seinem Handy nach dem Scannen welche URL sind hinter dem QR-Code versteckt:
Der Nutzer muss diesen Code dann antippen und sich ggf. einloggen. Hierbei kann er natürlich wieder prüfen, ob er sich auch wirklich auf google.com einloggt. Nach dem erfolgten Login erscheint dieser Hinweis:
Nach dem Tippen auf einen der Buttons wird dann im Tab Google Mail geladen oder eben iGoogle. Der QR-Code ist nur einige wenige Minuten gültig und
Vorteile:
- Man braucht sein Passwort nicht auf einem fremden Gerät einzugeben. Selbst mit der Bestätigung in zwei Schritten kann ein Angreifer schon etwas mit dem Passwort machen. Da er dann nur noch im richtigen Moment einen richtigen Code eingeben muss. Diese Codes sind nach meinen Infos circa 45-60 Sekunden gültig.
- Bei langen und komplexen Passwörtern ist man schneller am Ziel.
Nachteile:
- Dritte können sich mit QR-Code und Android-Phone ins Konto einloggen, wenn man es man aus der Hand gibt.
- Funktion lässt sich derzeit nicht deaktivieren.
Mögliche Lösung:
- Nutzer mit der Bestätigung in zwei Schritten müssen zusätzlich im Browser einen Code eingeben, den das Handy generiert. Ein Angreifer hat dann nur eine 6-stellige Zahl in der Hand, aber nicht das Passwort. Schützt aber nicht vor Nachteil 1.
- Für Nachteil 1: Handy muss hierbei immer nach dem Passwort des Google Accounts fragen.
- Für Nachteil 2: Option integrieren und nur nach zusätzlicher Abfrage des Passwortes erlauben.
Habt Ihr weitere Vor- und/oder Nachteile?