Beiträge von Dan

Ich bin gerade über eine Niederländische IP ins Forum. Ohne Probleme:

Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen.

Nein, würde ich nicht verfolgen. Tapatalk ist eine Datenkrake schlecht hin. Das würde ich gar nicht mehr unterstützen wollen.

Ne, alles gut. Habe ich auch nicht als Alleinstellungsmerkmal aushandeln wollen.
Wollte nur drauf aufmerksam machen, da das viele nicht wissen.

Es kommt eine Push, dass ein Passwort komprimiert wurde. Finde ich klasse.

Ganz nett, finde ich, wenn man mehrere Dateien hochgeladen hat, sieht man jetzt, welche man schon im Text eingefügt hat, anhand des kleinen grünen Kreises mit Pfeil drin.

Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen. Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen.

Es wird ja im iPhone angezeigt, ob der Betreiber RCS kann. Bei mir (Salt) leider nicht. Ist mir echt unverständlich. Geht in die Richtung: „da machen wir nicht mit, bzw. Bleiben erst mal neutral“, oder eher in „lass uns noch die letzten paar Rappen mit SMS Fallback verdienen, wenn wir dem Kunden im Roaming hohe SMS Kosten berechnen können“

Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen. Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen.

Zitat von djiwondee

Bei https://haveibeenpwned.com

Da checkt Apple Passwörter auch autonom immer. Das finde ich auch super.

Wahrscheinlich ist das Ganze aber ein eher unwahrscheinliches Szenario. Wenn man sich richtig auskennt, und den privaten Server richtig absichert, wird das vermutlich sehr sicher sein.

Verwundert war ich ein mal mehr, dass Google keine E2E bei den Passwörtern nutzt.

Zitat von djiwondee

1Password

Hatte ich vor Apple auch. Das Abomodell hat mich dann weg gebracht. Und die in den 2010ern hängen gebliebene GUI.

Die Untersuchung erwähnt 1Password am Rande (in dem PDF):

Zitat

Kritisch:

1Password authentifiziert öffentliche Schlüssel nicht. Das betrifft insbesondere das Sharing. Ein kompromittierter oder bösartiger Server kann falsche Public Keys ausliefern und so Sharing-Angriffe durchführen .

Schwerwiegender ist der sogenannte Vault Substitution Attack. Das Vault-Key wird zwar mit RSA-OAEP verschlüsselt, aber nicht authentifiziert. Der Server kann beim Anlegen eines Vaults ein eigenes Vault-Key einschleusen. Der Client merkt das nicht, entschlüsselt es mit seinem privaten Schlüssel und nutzt anschließend dieses manipulierte Vault-Key weiter .

Folge: vollständige Kompromittierung von Vertraulichkeit und Integrität. Der Angreifer kann alle danach gespeicherten Daten lesen und manipulieren. Voraussetzung: Der Client holt Key-Material vom Server, zum Beispiel bei Login auf einem neuen Gerät oder bei Vault-Erstellung .

1Password ist konzeptionell stärker gegen Offline-Brute-Force durch den Secret Key.
Im bösartigen Server-Modell hat es jedoch ebenfalls strukturelle Schwächen bei der Authentisierung von Schlüsseln und Vault-Keys.

Ich habe die KI mal nach der Analyse befragt:

Zitat

Selbst-Hosting macht dich zum „Server“ im Threat Model. Wird dein Server kompromittiert, greifen dieselben Designprobleme.

Beispiele aus der Studie, die weiterhin relevant bleiben:

• Keine kryptografische Bindung zwischen Vault-Key und Ursprung
• Fehlende Authentisierung von Public Keys bei Organisationen
• Unauthentisierte KDF-Parameter
• Downgrade über Legacy-Code

Das sind Architekturthemen, keine Cloud-Themen.

Offline ohne Internet-Zugriff reduziert die Angriffsfläche massiv.

Aber:

• Ein Angreifer mit Zugriff auf deinen Server kann weiterhin manipulieren.
• Ein kompromittierter Client bleibt ebenfalls ein Problem.
• Updates bleiben kritisch.

Praktisch heißt das:

Self-Hosting ist sicherer gegen externe Angriffe auf den Anbieter.
Es löst nicht automatisch die im Paper beschriebenen kryptografischen Designschwächen.

Alles anzeigen

Da scheint es wohl doch ein paar Designfehler zu geben, wenn ich das so richtig interpretiere.

Gerade gelesen:

Schweizer Forscher knacken beliebte Passwort-Manager

Betroffen sind

• Bitwarden
• LastPass
• Dashlane

Passwortmanager sollen unsere Zugangsdaten schützen. Doch ETH-Forscher zeigen in einer Studie: Drei beliebte Tools mit 60 Millionen Usern weltweit haben massive Sicherheitslücken

https://www.blick.ch/digital/studie-von-eth-zuerich-schweizer-forscher-knacken-beliebte-passwort-manager-id21701779.html

Aus Seite 2 der PDF steht:

Apple und Google haben zwar 55 Prozent Marktanteil, aber wegen fehlendem Quellcode war keine einfache Analyse möglich. Zudem ist End-to-End-Verschlüsselung bei Google nur optional aktiviert, Apple hingegen ist generell End-to-End verschlüsselt.

Was absolut klasse ist.

Was mir hier wirklich (aktuell) gefällt: ich habe irgendwie noch das Gefühl, man kennt sich flüchtig. Also eher, wie Freunde und der Kneipe, als ein anonymes Online-Forum.

Das wird sich sicher ändern, je größer wir werden, aber im Moment ist der Eindruck noch so. Finde ich gut.

Zitat von Odin.666

So viele schwarzen Balken finde ich ned cool!

Einer der Vorteile der KI. „Anonymisiere den Screenshot“

Wir nutzen das, wie heute auch, sehr viel auch für Ankunftsbenachrichtigungen. Live auf der Karte und er Apple Karten App, finde ich schon cool:

Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen.

Was mir, unabhängig von Apple, oder der Passwort App immer als Argument dient (und hier hatte ich damals schon eine Schulung bzgl. Sicherheits-Argumenten):

Da draußen gibt es Firmen, die Millionen $ investieren, um irgendwelche Systeme von Apple zu diskreditieren. Ebenso gibt es wahrscheinlich mehrere tausend „Hacker“, die sich den A… aufreißen, um irgendwelche Schwachstellen zu finden.

Wahrscheinlich gibt es Gleiches für Google, MS, usw.

Was würde es Samsung entgegen kommen, würde man Apple eine Schwachstelle nachweisen. Oder Google, würde man Apple nachweisen, dass sie fahrlässig oder gewinnbringend mit Daten umgehen, obwohl sie Privacy propagieren. Für solche evtl. Unlauteren Konkurrenzgebahren werden Millionenbeträge ausgegeben. Dazu kommen dann noch die ganzen Vereine, Hobby-Hacker, Gruppierungen, die ehrenwert auf der Suche nach solchen Exploits sind.

Dies Alles sind in meinen Augen größere Argumente, als eine Keynote mit:

(Mein Zusammenschnitt von damals)

Ich hoffe, es war kein falscher Fehler 😂

Habe die Navi-Beiträge soweit hier rein geschoben. Ich finde das Thema spannend & bietet viel mehr Diskussionsgrundlage, als wir es hier im Keks-Thema bieten könnten.

So putze ich sie auch. Aber mit dem Tuch, was ich da habe, ist es kein Vergleich. Das ist sensationell.

Tupperware ist ausgeschlossen.

Hui, die sind ja auf Apple Putztuch-Niveau 😂

Das, was ich hier habe, hat nur auf einer Seit Mesh, auf der Rückseite ist es „glatt“.

Ich möchte das Thema noch mal aufgreifen.

Ich habe ein Brillenputztuch, welches sensationell gut ist. Auf der einen Seite Microfaser, auf der Anderen Microfaser-Mesh. Ich habe keine Ahnung, wo ich das her habe, wo man so etwas kaufen kann, und von welcher Marke es ist.

Weiß Jemand, wo es so etwas gibt? Das putzt mit der Mesh-Seite so gut.

Der Inhalt kann nicht angezeigt werden, da du keine Berechtigung hast, diesen Inhalt zu sehen.

AirTag 1 4er Pack = 69,99€

Ich glaube, man kann einfach sowohl beim einen, als auch beim anderen Dienst Pech haben. Ich habe nur (!) Gute Erfahrungen mit Apple Karten gemacht. und zusätzlich ist es noch sehr Akku-schonend.

Das hatte ich in der Dez. Ausgabe von MacWelt gelesen:

Apple Karten, einfach gut 😉

hat gestern den Stau auf der A5 drin gehabt, der bei Google Maps (extra gegen gecheckt) noch nicht drin war, weil er gerade erst am Entstehen war TomTom Verkehrsdaten sind halt auch ganz gut.