Pwned Passwords: Online-Prüfung für geknackte Passwörter

[Julian1303]

AW: Pwned Passwords: Online-Prüfung für geknackte Passwörter

Mein Phone is schon lange EoL, ich nutze es ja auch nicht zum zocken oder sonst dergleichen wo man eventuell doch mehr Power bräuchte mit der zeit.
Davon abgesehen, wenn du eine SMS bekommst, steht ausser bei yahoo nicht da für was es ist. und dann braucht man als Abfänger auch noch den dazu gehörigen Account plus Passwort. Und da wirds schon schwierig, weil auch das nicht in der SMS vermerkt ist. Im übrigen weiß ich was phishing ist, bin darauf noch nie rein gefallen, da ich immer die direkten Seiten aufrufe und nie über Links gehe, auch nicht wenn die email von der Institution sein sollte.

 

[CiD]

AW: Pwned Passwords: Online-Prüfung für geknackte Passwörter

Zumal bei so einem Versuch ein Code an meine email Adresse verschickt wird den ich dann als Bestätigung einzugeben habe.

Das bedeutet, Email/Benutzername UND Passwort waren dem Fremdling bekannt sonnst hättest du ja keine Verifizierungsmail/SMS erhalten (oder hast du gar nicht?). Ganz schlecht das ist.

Das Einzige was man "Troy Hunt" vorwerfen kann, warum bindet er so viel Google crap ein?

Viel? Es sind genau 3 Dinge: bisschen Werbung (doubleclick), Webseiten-Telemetrie (GoogleAnalytics) und Spamschutz (ReCaptcha).

Wennn man testen will, dann ladet man sich die Datenbank mit den Hashes runter, unter Linux lassen sich hashes per comand im Terminal generieren und dann kann man vergleichen obs nen match gibt!

Ja klar, wenn man mal eben 2-3 Mails und/oder Passwörter checken will, läd man sich erstmal ein 5,5GB File runter.

Zu deiner Zwei-Faktor Meinung, ein Smartphone ist keine richtiger Zweiter-Faktor, besser als User/PW mehr aber auch nicht!

Warum nicht? 2FacAuth bedeutet doch nur, dass man sich durch 2 unterschiedliche Methoden Authentifiziert. Egal welche das sind, bestenfalls sind sie unabhängig von einander (z.B. Mail und SMS). Sie sollen ja auch keine 100%ige Accountsicherheit bringen, dem Angreifer es nur erschweren.
Klar, U2F ist bei weitem besser aber das heist nicht das es "richtige" 2FA ist und das andere "unrichtige". Es ist einfach nur eine andere sicherere 2FA Strategie welche die Dienste, wie du schon geschrieben hast, auch erstmal unterstützen müssen damit man es nutzen kann. Leider sind das nach gut 2,5 Jahren arg wenige: USB Dongle Auth List

 

[razzor1984]

AW: Pwned Passwords: Online-Prüfung für geknackte Passwörter

Viel? Es sind genau 3 Dinge: bisschen Werbung (doubleclick), Webseiten-Telemetrie (GoogleAnalytics) und Spamschutz (ReCaptcha).

Wenn er so auf Security scharf ist dann sollte man sich werbung & Analytic crap nicht einbinden. Das ist alles nur mehr ein Privacyalbtraum!

Ja klar, wenn man mal eben 2-3 Mails und/oder Passwörter checken will, läd man sich erstmal ein 5,5GB File runter.

Wenn man nur 3 mails pws checken will dann ändert man das PW geht schneller - will mans wissen file laden - dazu sehe ich keine Alternative

Warum nicht? 2FacAuth bedeutet doch nur, dass man sich durch 2 unterschiedliche Methoden Authentifiziert. Egal welche das sind, bestenfalls sind sie unabhängig von einander (z.B. Mail und SMS). Sie sollen ja auch keine 100%ige Accountsicherheit bringen, dem Angreifer es nur erschweren.
Klar, U2F ist bei weitem besser aber das heist nicht das es "richtige" 2FA ist und das andere "unrichtige". Es ist einfach nur eine andere sicherere 2FA Strategie welche die Dienste, wie du schon geschrieben hast, auch erstmal unterstützen müssen damit man es nutzen kann. Leider sind das nach gut 2,5 Jahren arg wenige: USB Dongle Auth List

Wenn ich nach der logik gehe ist meine Bankomatkarte auch schon 2FA - Besitz der Karte physisch und mein Pin
Spaß beiseite - rein Formal ist ein Smartphone ein 2FA nur eben ein kaputter - deswegen akzeptiere ich diesen schon lange nicht mehr.
Große Portale wie github,FB,Mailbox.org usw unterstützen verfahren wie U2F oder OTP(+unterarten), von allen kannst du das nicht erwarten, die wachen erst auf wenn diese gehacked werde. Ich hoffe ja noch immer ,dass Sie besser salzen bei den Hashes......
Selbst meine Bank ist von 2FA per Smartphone überzeugt und meinte ,dass eine Tan-App noch sicherer sei
Mich hat leider die Inkompetenz und das fehlende Cardtanverfahren zu einer anderen Bank getrieben, weil aus meiner sicht ist alles andere im E-Bankingbereich, nur mehr als fahrlässig einzustufen.
Wenn man sich mal vorstellt das Banking jetzt per app möglich ist wo, man die tans direkt in die "APP zugeschickt bekommt (one Factor)fällt mir nur das ein
Die opfern gerade jegliche Sichereit nur damit der Usere schnell die Transaktion abschließt!