Dropbox führt 2-Faktor-Authentifizierung ein
von caschy | 34 Kommentare
Letztens gelangte Dropbox negativ in die Schlagzeilen, aufgrund dieser Tatsache kündigte man auch die Einführung der 2-Faktor-Authentifizierung an. Dieses Sicherheitsfeature hatte ich schon für LastPass, Google und Facebook beschrieben. Neben dem Passwort wird für den externen Zugriff auch das Smartphone benötigt. Die 2-Faktor-Authentifizierung liegt momentan für die experimentellen Versionen von Dropbox vor. So funktioniert es:
Forum Build 1.5.12 installieren, diese Seite besuchen – dort findet man nicht nur die verbundenen Geräte vor, sondern auch die Möglichkeit, die 2-Faktor-Authentifizierung zu aktivieren. Findet sich unten links.
Aktiviert man dies, so wird man gefragt, ob man den Sicherheitscode per SMS oder per App bekommen möchte.
Die App-Variante arbeitet mit dem Google Authenticator zusammen. Sofern man diesen installiert hat, scannt man den Barcode, um das Dropbox-Konto hinzuzufügen. Danach muss man, wenn man an fremden Rechnern ist, neben dem Passwort auch den Code eingeben, der von der Authenticator-App angezeigt wird.
Abschließend bekommt man noch einen Code, der im Verlustfalle des Smartphones notfalls Zugriff erlaubt, um die 2-Faktor-Authentifizierung von Dropbox zu aktivieren.
Ihr wollt das nun direkt selber ausprobieren? Hier ist die aktuelle Forum-Build, die ich oben erwähnte. Alle weiteren Fragen dürfte das Support-Center beantworten.
Windows: http://dl-web.dropbox.com/u/17/Dropbox%201.5.12.exe
Mac OS X: http://dl-web.dropbox.com/u/17/Dropbox%201.5.12.dmg
Linux x86_64: http://dl-web.dropbox.com/u/17/dropbox-lnx.x86_64-1.5.12.tar.gz
Linux x86: http://dl-web.dropbox.com/u/17/dropbox-lnx.x86-1.5.12.tar.gz
Wird geladen ...
Made my Day !!
Gute Sache wenn man sich öfters über PCs einloggt, über welche man nicht die volle Kontrolle hat (Keylogger, what ever im Hintergrund).
Da ich sowas aber nicht mache – wayne 😉
Ist es wirklich nötig das Forum Build zu installieren. Ich hab das aktivieren der 2-Faktor-Authentifizierung nämlich auch ohne geschafft…
Schöne Sache und ich bin super froh dass auch diese den Google Authenticator nutzen. Somit habe ich nun Google, Lastpass und Dropbox in einer App vereint.
Als echter Sicherheits-Hypochonder hab ich’s direkt aktiviert. Herrlich.
@Tim: Wie konntest du es denn so aktivieren?
@Alex: Diesem Link (http://www.dropbox.com/try_twofactor) folgen, einloggen und neben „Two-step verification“ auf „change“ klicken.
In der Tat. Perfekt, vielen Dank! 🙂
Ähm, ja? Für reine PC-Nutzung ok, aber viele haben Dropbox ja auch auf dem Handy/Tablet, da bringt das nicht wirklich viel.
Multi-Factor-Authing ist gut und wichtig, aber dann doch bitte ordentlich.
@Manu: Die App muss auch 2 Faktor-mäßig freigeschaltet werden 😉
Bloß blöd, wenn man vom Handy aus surft. Dann war’s das mit 2-Faktor…
@Al3x Weil?
So ganz verstehe ich das noch nicht.
Mit der App komme ich ganz normal rein, ohne etwas geändert zu haben. Auch auf dem PC habe ich nichts Neues installiert und es läuft noch.
Und hat das irgendwelche Auswirkungen auf Boxcryptor? Oo
Danke für den Hinweis. Hab gerade umgestellt.
Wenn man von unterwegs, von fremden PCs auf seine Daten zugreifen will, macht das sicher Sinn.
Aber meinen eigenen Rechnern vertraue ich, sodass hier eine einfache Authentifizierung per Passwort (welches eh im Browser-Passwortmanager steht) völlig ausreicht.
Ich will doch nicht bei jedem Login erstmal das Handy rauskramen und auf eine SMS warten.
Dein Heim-PC bleibt authentifiziert.
Ich soll einer Company, deren Service ich zugegeben ansprechend finde, die aber wegen nicht unerheblicher Sicherheitslücken aufgefallen ist, auch noch meine Handynummer geben? oO
Wenn also mein Account kompromittiert wird, dann so richtig?!
Da erscheint mir doch das bisherige System das kleinere Übel, im Schadensfall ist „nur“ der Dropbox Account betroffen, so der Account und meine Mobilnummer.
Oder habe ich nur was falsch verstanden?
Bitte um *konstruktive* Aufklärung. 🙂
@Al3x
Das funktioniert genau so wie googles 2 Faktor Auth. Die Auth wird nur beim einloggen benötigt. Meldet sich eine Anwendung an, muss man das zunächst mit dem zweiten Faktor bestätigen. Die Anwendung bekommt im Hintergrund dann ein eigenes Auth-Token zugewiesen welches sie dann für alle zukünftigen Anmeldungen nutzt. Sie nutzt, bei korrekter Implementierung, dann nicht mehr deinen Benutzernamen und dein Passwort. Je nach Implementierung ist dieses Token
dann an ein bestimmtes Gerät / Anwendung gekoppelt und kann nur mit dieser genutzt werden.
Theoretisch wäre die einzige Schwachstelle die mir dabei einfällt, dass jemand die Daten welche zur Identifizierung des Geräts / der Anwendung genutzt werden emuliert, das Token vom Endgerät stibitzt und sich damit dann einloggt. Möglich, ja – aber wesentlich aufwendiger als ohne 2-Faktor Auth.
Zudem: wenn du davon aus gehst dass dein System kompromittiert ist, dann ist sowieso jeder Schutz dahin. Selbst OTPs bringen dann nichts mehr.
@Darian
Dropbox bietet die SMS Auth an – als Service. Du kannst aber auch (wesentlich bequemer) eine entsprechende Auth App nutzen – z.b. den „Google Authenticator“. Im Gegensatz zur allgemeinen Annahme ist dieser nämlich nicht nur für Googles 2-Faktor-Auth. Er kann auch z.b. Mit Lastpass oder mit einem selbst betriebenen 2-Faktor-Auth Dienst genutzt werden (RC-Devs haben sowas zum beispiel mit dem OpenOTP Server in der Mache…). Dropbox erhält dann keine Telefonnummer von dir und du hast trotzdem 2-Faktor-Auth.
Super Sache, direkt aktiviert!
@masi Leider funktioniert bei mir die Authentifizierung mittels Goggle Authenticator nicht. Habe das Prozedere mehfach durchgeführt, aber die generierte Nummer wurde seitens Dropbox immer als falsch zurückgewiesen. Den angezeigten QR-Code habe ich über die App einscannen lassen – hat soweit auch alles gut funktioniert. Bis zum Passwort.
Mache ich da etwas falsch? Hast das bei Dir funktioniert?