Dropbox führt 2-Faktor-Authentifizierung ein

Letztens gelangte Dropbox negativ in die Schlagzeilen, aufgrund dieser Tatsache kündigte man auch die Einführung der 2-Faktor-Authentifizierung an. Dieses Sicherheitsfeature hatte ich schon für LastPass, Google und Facebook beschrieben. Neben dem Passwort wird für den externen Zugriff auch das Smartphone benötigt. Die 2-Faktor-Authentifizierung liegt momentan für die experimentellen Versionen von Dropbox vor. So funktioniert es:

Forum Build 1.5.12 installieren, diese Seite besuchen – dort findet man nicht nur die verbundenen Geräte vor, sondern auch die Möglichkeit, die 2-Faktor-Authentifizierung zu aktivieren. Findet sich unten links.

Aktiviert man dies, so wird man gefragt, ob man den Sicherheitscode per SMS oder per App bekommen möchte.

Die App-Variante arbeitet mit dem Google Authenticator zusammen. Sofern man diesen installiert hat, scannt man den Barcode, um das Dropbox-Konto hinzuzufügen. Danach muss man, wenn man an fremden Rechnern ist, neben dem Passwort auch den Code eingeben, der von der Authenticator-App angezeigt wird.

Abschließend bekommt man noch einen Code, der im Verlustfalle des Smartphones notfalls Zugriff erlaubt, um die 2-Faktor-Authentifizierung von Dropbox zu aktivieren.

Ihr wollt das nun direkt selber ausprobieren? Hier ist die aktuelle Forum-Build, die ich oben erwähnte. Alle weiteren Fragen dürfte das Support-Center beantworten.

Windows: http://dl-web.dropbox.com/u/17/Dropbox%201.5.12.exe
Mac OS X: http://dl-web.dropbox.com/u/17/Dropbox%201.5.12.dmg
Linux x86_64: http://dl-web.dropbox.com/u/17/dropbox-lnx.x86_64-1.5.12.tar.gz
Linux x86: http://dl-web.dropbox.com/u/17/dropbox-lnx.x86-1.5.12.tar.gz

Gefällt dir der Artikel? Dann teile ihn mit deinen Freunden.

Hallo, ich bin Carsten! Baujahr 1977, Dortmunder im Norden, BVB-Getaufter und Gründer dieses Blogs. Auch zu finden bei Twitter, Google+, Facebook, Instagram und YouTube. PayPal-Kaffeespende. Mail: carsten@caschys.blog

34 Kommentare

  1. Made my Day !!

  2. Gute Sache wenn man sich öfters über PCs einloggt, über welche man nicht die volle Kontrolle hat (Keylogger, what ever im Hintergrund).

    Da ich sowas aber nicht mache – wayne 😉

  3. Ist es wirklich nötig das Forum Build zu installieren. Ich hab das aktivieren der 2-Faktor-Authentifizierung nämlich auch ohne geschafft…

  4. Schöne Sache und ich bin super froh dass auch diese den Google Authenticator nutzen. Somit habe ich nun Google, Lastpass und Dropbox in einer App vereint.

  5. Als echter Sicherheits-Hypochonder hab ich’s direkt aktiviert. Herrlich.

  6. @Tim: Wie konntest du es denn so aktivieren?

  7. @Alex: Diesem Link (http://www.dropbox.com/try_twofactor) folgen, einloggen und neben „Two-step verification“ auf „change“ klicken.

  8. In der Tat. Perfekt, vielen Dank! 🙂

  9. Ähm, ja? Für reine PC-Nutzung ok, aber viele haben Dropbox ja auch auf dem Handy/Tablet, da bringt das nicht wirklich viel.

    Multi-Factor-Authing ist gut und wichtig, aber dann doch bitte ordentlich.

  10. @Manu: Die App muss auch 2 Faktor-mäßig freigeschaltet werden 😉

  11. Bloß blöd, wenn man vom Handy aus surft. Dann war’s das mit 2-Faktor…

  12. So ganz verstehe ich das noch nicht.

    Mit der App komme ich ganz normal rein, ohne etwas geändert zu haben. Auch auf dem PC habe ich nichts Neues installiert und es läuft noch.

    Und hat das irgendwelche Auswirkungen auf Boxcryptor? Oo

  13. Danke für den Hinweis. Hab gerade umgestellt.

  14. Wenn man von unterwegs, von fremden PCs auf seine Daten zugreifen will, macht das sicher Sinn.
    Aber meinen eigenen Rechnern vertraue ich, sodass hier eine einfache Authentifizierung per Passwort (welches eh im Browser-Passwortmanager steht) völlig ausreicht.
    Ich will doch nicht bei jedem Login erstmal das Handy rauskramen und auf eine SMS warten.

  15. Dein Heim-PC bleibt authentifiziert.

  16. Ich soll einer Company, deren Service ich zugegeben ansprechend finde, die aber wegen nicht unerheblicher Sicherheitslücken aufgefallen ist, auch noch meine Handynummer geben? oO

    Wenn also mein Account kompromittiert wird, dann so richtig?!
    Da erscheint mir doch das bisherige System das kleinere Übel, im Schadensfall ist „nur“ der Dropbox Account betroffen, so der Account und meine Mobilnummer.

    Oder habe ich nur was falsch verstanden?
    Bitte um *konstruktive* Aufklärung. 🙂

  17. @Al3x

    Das funktioniert genau so wie googles 2 Faktor Auth. Die Auth wird nur beim einloggen benötigt. Meldet sich eine Anwendung an, muss man das zunächst mit dem zweiten Faktor bestätigen. Die Anwendung bekommt im Hintergrund dann ein eigenes Auth-Token zugewiesen welches sie dann für alle zukünftigen Anmeldungen nutzt. Sie nutzt, bei korrekter Implementierung, dann nicht mehr deinen Benutzernamen und dein Passwort. Je nach Implementierung ist dieses Token
    dann an ein bestimmtes Gerät / Anwendung gekoppelt und kann nur mit dieser genutzt werden.
    Theoretisch wäre die einzige Schwachstelle die mir dabei einfällt, dass jemand die Daten welche zur Identifizierung des Geräts / der Anwendung genutzt werden emuliert, das Token vom Endgerät stibitzt und sich damit dann einloggt. Möglich, ja – aber wesentlich aufwendiger als ohne 2-Faktor Auth.

    Zudem: wenn du davon aus gehst dass dein System kompromittiert ist, dann ist sowieso jeder Schutz dahin. Selbst OTPs bringen dann nichts mehr.

    @Darian

    Dropbox bietet die SMS Auth an – als Service. Du kannst aber auch (wesentlich bequemer) eine entsprechende Auth App nutzen – z.b. den „Google Authenticator“. Im Gegensatz zur allgemeinen Annahme ist dieser nämlich nicht nur für Googles 2-Faktor-Auth. Er kann auch z.b. Mit Lastpass oder mit einem selbst betriebenen 2-Faktor-Auth Dienst genutzt werden (RC-Devs haben sowas zum beispiel mit dem OpenOTP Server in der Mache…). Dropbox erhält dann keine Telefonnummer von dir und du hast trotzdem 2-Faktor-Auth.

  18. Super Sache, direkt aktiviert!

  19. @masi Leider funktioniert bei mir die Authentifizierung mittels Goggle Authenticator nicht. Habe das Prozedere mehfach durchgeführt, aber die generierte Nummer wurde seitens Dropbox immer als falsch zurückgewiesen. Den angezeigten QR-Code habe ich über die App einscannen lassen – hat soweit auch alles gut funktioniert. Bis zum Passwort.

    Mache ich da etwas falsch? Hast das bei Dir funktioniert?

  20. Wo ich noch Verständnislücke habe…auch bei dergleichen bei Google:

    Wird der PC authentifiziert, dann wird dort ein Cookie gespeichert ???

    Wenn ich nun täglich die Cookies lösche, dann muss ich also jedes mal wieder per Smartphone den PC authentifizieren?

  21. @Robin
    Ja. Jedes Mal wenn ich die Cookies lösche, muss ich mich per Bestätigungscode neu authentifizieren bei Google. Dropbox habe ich noch nicht getestet.

  22. @Hermann: Wenn die Uhrzeit auf dem Smartphone nicht exakt passt, dann stimmen die Codes natürlich auch nicht! (Hatte übrigens genau dasselbe Problem 😉

  23. @HCL
    Danke Dir.
    Ist also nichts für mich, schliesslich löscht mein Browser alle Cookies beim Schliessen.
    Also mehrmals täglich alles neu anfordern und eintippen ist wirklich keine Option…

  24. Funktioniert problemlos mit dem Browser. Kann es aber sein, dass schon angemeldete Clients keine weitere Authentisierung benötigen, z.B. mein 1.4.x´er Client unter Windows?

  25. @Michael Vielen Dank für den Tipp. Da muss man erst einmal drauf kommen. Die Uhrzeit wird aber doch automatisch bezogen. Wie hast Du das gelöst? Laut meiner Funkuhr passt die Zeit auf dem Handy. Google konnte ich mit der gleichen App problemlos bedienen. Merkwürdig das 🙂

  26. Das generierte otp ist zeit basiert. Sowohl uhrzeit als auch zeitzone müssen stimmen. @ robin dafür gibt es ja die desktop anwendung. Kenne sonst niemanden der dropbox regulär überd den browser nutzt und selbst da gibt es ja ausnahmeregeln fur das löschen von cookies.

  27. @masi

    Ich hatte mir das so vorgestellt, dass man eine TAN auf Handy bekommt, mit der dann eine Session von einer IP gültig ist bzw. die Änderung bestimmter Einstellungen (wie die E-Mail-Adresse) bestätigen muss.

    Deshalb dachte ich, dass wenn man das auf dem Handy macht, auf das die TAN gesendet wird, 2Factor einfach unwirksam ist, wenn das Handy kompromittiert ist.