Leserbriefe Juni 2024

2FA selbst betreiben

(Sicherheit: Eigene Server mit Pushauthentifizierung schützen; iX 5/2024, S. 62)

Schöner Artikel! Es geht mit PrivacyIDEA auch (fast ganz) ohne die üblichen Big Player.

Es fehlt noch der Hinweis, wenn schon Duo kurz eingangs erwähnt wurde, dass es da unlängst einen Sicherheitsvorfall gab. Steckt halt Cisco dahinter, was ist da anders zu erwarten.

Und zwei, drei andere Hinweise:

1. ssh geht auch direkt mit 2FA TOTP (nicht Google Authentication, sondern RFC 6238), dann halt pro Gerät.
2. Je größer und automatisierter die Infrastruktur, desto eher wird nur noch mit Jumphosts gearbeitet.
3. TOTP geht auch ohne Smartphone und App mit jedem KeePass-XC-Passwortmanager. Ideal für Arbeitsgruppen oder Abteilungen, die sich eine solche KeePass-Datei gemeinsam teilen und synchron halten. Zusätzliche Sicherheit bekommt man da mit einer Schlüsseldatei, die nur im Intranet verfügbar ist.

Was ich aktuell im Mittelstand beobachte: Da wird dank der immer weiter um sich greifenden TOTP-Verbreitung bei Einkaufs-/Bieter-Portalen und B2B-/SAP-Websites ein KeePass XC immer mehr zur Pflicht. Die überall verbreiteten Excel-Tabellen oder gelben Outlook-Notizzettel sterben Gott sei Dank aus.

Tomas Jakobs, aus dem iX-Forum

Ohne Passwörter ins Passkey-Elend

(Sicherheit: Mehr Sicherheit durch risiko- und kontextbasierte MFA; iX 5/2024, S. 52)

Wer verwaltet und speichert denn dann meine Zugänge? Was mache ich, wenn das Zugangsdevice gerade nicht da ist oder permanent weg ist? Wie synchronisiere ich das zwischen verschiedenen Devices? Wie mache ich ein Backup? Mal so, mal so. Mehrere Lösungen parallel. Standard geht anders.

Der ganze Wust aus unterschiedlichen Zugangsregelungen ist jetzt schon unüberschaubar – und da soll ich jetzt noch eine weitere „Lösung“ hinzufügen, die für die meisten User dann auch noch maximal intransparent ist?

Ich habe hier eine Liste mit den wichtigen Zugängen, und da muss ich ständig neue Spalten hinzufügen, da es nicht mehr nur Account und Passwort sind, sondern unterschiedliche PINs zusätzlich, mehrere Zwei-Faktor-Regelungen (Mail, SMS, on Device, physisches Gerät), Sicherheitsfragen, zusätzliche Kennungen und alles in unterschiedlichen Kombinationen oder gar pro Dienst (insbesondere Banken) mit unterschiedlichen Zugriffsrechten, je nach angefragter Funktion oder benutztem Gerät.

bloodflash, aus dem iX-Forum

Ergänzungen und Berichtigungen

Rechtliche Unsicherheit beim Coding mit KI; iX 3/2024, S. 86

Im Absatz zur Apache-Lizenz heißt es, neue Software dürfe nur dann unter die Apache-Lizenz gestellt werden, wenn die Apache Software Foundation (ASF) dem zustimmt. Das ist nicht richtig. Software darf unter Apache-Lizenz veröffentlicht werden, ohne die ASF fragen zu müssen.

Die iX-Redaktion behält sich Kürzungen und auszugsweise Wiedergabe der Leserbriefe vor. Die abgedruckten Zuschriften geben ausschließlich die Meinung des Einsenders wieder, nicht die der Redaktion.