Dropbox führt 2-Faktor-Authentifizierung ein
von caschy | 34 Kommentare
Letztens gelangte Dropbox negativ in die Schlagzeilen, aufgrund dieser Tatsache kündigte man auch die Einführung der 2-Faktor-Authentifizierung an. Dieses Sicherheitsfeature hatte ich schon für LastPass, Google und Facebook beschrieben. Neben dem Passwort wird für den externen Zugriff auch das Smartphone benötigt. Die 2-Faktor-Authentifizierung liegt momentan für die experimentellen Versionen von Dropbox vor. So funktioniert es:
Forum Build 1.5.12 installieren, diese Seite besuchen – dort findet man nicht nur die verbundenen Geräte vor, sondern auch die Möglichkeit, die 2-Faktor-Authentifizierung zu aktivieren. Findet sich unten links.
Aktiviert man dies, so wird man gefragt, ob man den Sicherheitscode per SMS oder per App bekommen möchte.
Die App-Variante arbeitet mit dem Google Authenticator zusammen. Sofern man diesen installiert hat, scannt man den Barcode, um das Dropbox-Konto hinzuzufügen. Danach muss man, wenn man an fremden Rechnern ist, neben dem Passwort auch den Code eingeben, der von der Authenticator-App angezeigt wird.
Abschließend bekommt man noch einen Code, der im Verlustfalle des Smartphones notfalls Zugriff erlaubt, um die 2-Faktor-Authentifizierung von Dropbox zu aktivieren.
Ihr wollt das nun direkt selber ausprobieren? Hier ist die aktuelle Forum-Build, die ich oben erwähnte. Alle weiteren Fragen dürfte das Support-Center beantworten.
Windows: http://dl-web.dropbox.com/u/17/Dropbox%201.5.12.exe
Mac OS X: http://dl-web.dropbox.com/u/17/Dropbox%201.5.12.dmg
Linux x86_64: http://dl-web.dropbox.com/u/17/dropbox-lnx.x86_64-1.5.12.tar.gz
Linux x86: http://dl-web.dropbox.com/u/17/dropbox-lnx.x86-1.5.12.tar.gz
Wird geladen ...
Wo ich noch Verständnislücke habe…auch bei dergleichen bei Google:
Wird der PC authentifiziert, dann wird dort ein Cookie gespeichert ???
Wenn ich nun täglich die Cookies lösche, dann muss ich also jedes mal wieder per Smartphone den PC authentifizieren?
@Robin
Ja. Jedes Mal wenn ich die Cookies lösche, muss ich mich per Bestätigungscode neu authentifizieren bei Google. Dropbox habe ich noch nicht getestet.
@Hermann: Wenn die Uhrzeit auf dem Smartphone nicht exakt passt, dann stimmen die Codes natürlich auch nicht! (Hatte übrigens genau dasselbe Problem 😉
@HCL
Danke Dir.
Ist also nichts für mich, schliesslich löscht mein Browser alle Cookies beim Schliessen.
Also mehrmals täglich alles neu anfordern und eintippen ist wirklich keine Option…
Funktioniert problemlos mit dem Browser. Kann es aber sein, dass schon angemeldete Clients keine weitere Authentisierung benötigen, z.B. mein 1.4.x´er Client unter Windows?
@Michael Vielen Dank für den Tipp. Da muss man erst einmal drauf kommen. Die Uhrzeit wird aber doch automatisch bezogen. Wie hast Du das gelöst? Laut meiner Funkuhr passt die Zeit auf dem Handy. Google konnte ich mit der gleichen App problemlos bedienen. Merkwürdig das 🙂
Das generierte otp ist zeit basiert. Sowohl uhrzeit als auch zeitzone müssen stimmen. @ robin dafür gibt es ja die desktop anwendung. Kenne sonst niemanden der dropbox regulär überd den browser nutzt und selbst da gibt es ja ausnahmeregeln fur das löschen von cookies.
@masi
Ich hatte mir das so vorgestellt, dass man eine TAN auf Handy bekommt, mit der dann eine Session von einer IP gültig ist bzw. die Änderung bestimmter Einstellungen (wie die E-Mail-Adresse) bestätigen muss.
Deshalb dachte ich, dass wenn man das auf dem Handy macht, auf das die TAN gesendet wird, 2Factor einfach unwirksam ist, wenn das Handy kompromittiert ist.