Sorry aber wer da drinne das 2fa feature nutzt hat das konzept von 2fa nicht verstanden.
Als ob ich meine 2fa codes am selben punkt wie meine Passwörter speicher. Das macht garkein Sinn.
Die sind bei mir alle auf einen Yubikey gespeichert.
Aber ich liebe die Aliase von ProtonPass dafür zahle ich gerne Geld. Hab mich schon so oft mit Alias mails bei irgendeinen müll angemeldet weil man damit rabatte oder andere vorteile bekommen hat und hab den Alias anschließend einfach gelöscht xD
Der geneigte Graubartadmin nutzt dafür Wildcard DNS. Ich hab für jeden Account eine eigene Mail (natürlich als Alias). So kann ich im Fall der Fälle sehen, von wo die Adresse geklaut wurde.
So unglaubwürdig es klingen mag, aber in drei Jahren dieser Praxis ist mir bisher nichts passiert. Es kommt fast alles über eine Weiterleitung einer alten GMX-Adresse, für die ich vor zehn Jahren mein Passwort vergessen hab.
Ich habe Mal Spam auf einer Adresse bekommen, die ich nur bei einer Online Apotheke verwendet habe. Deren Support hat behauptet, ich sei gehackt worden. Tja, machste nix… War auch noch vor DSGVO…
wer da drinne das 2fa feature nutzt hat das konzept von 2fa nicht verstanden.
Das würde ich nicht so hart sehen, 2FA im PW-Manager ist immer noch um Welten besser als kein 2FA, und für viele Normalos kannst du nichts komplizierteres als das empfehlen weil sie es sonst halt gar nicht benutzen würden.
Passwörter können auf verschiedenen Wegen in die falschen Hände geraten, 2FA im Passwortmanager schützt immer noch prima gegen alle davon, außer halt wenn der Passwortmanager selbst geknackt wird. Und wenn das passiert, ist die Wahrscheinlichkeit hoch, dass der Angreifer es eh auch schon in eins meiner Geräte reingeschafft hat, und somit auch Zugriff auf eine etwaige getrennte 2FA-App hat. Um das zu verhindern, muss es dann halt wirklich schon die Yubikey-Lösung sein, was aber wiederum aktuell nichts ist, was die Non-Techies in meinem Leben realistisch tatsächlich benutzen würden.
Edit: für meine Argumentation ist es wichtig dass du nicht ohne eins meiner Geräte in den PW-Manager reinkommst, aka das Modell von 1Password. Ich glaube Proton Pass ist nicht ganz so gut abgesichert, weil deine Daten da nur mit dem normalen Account-Passwoet verschlüsselt sind, nicht nochmal mit nem extra-Key
Na ja, dein “wer da drinne das 2fa feature nutzt hat das konzept von 2fa nicht verstanden” klingt – gerade für Laien – schon sehr nach “dann kann man es auch gleich lassen”. Das wollte ich nur richtig stellen.
Das wiederum ist nix für mich. Aliase erstelle ich auf meinem Mailserver, hat mich dann eine spamwelle erwischt kommt die Adresse weg und eine neue dann daher.
PS. Teste gerade ob ich auf feddit account antworten kann.
Ah, endlich noch jemand, der selbst einen Mailserver hat und die Mär von “das kann man nicht selber weil zu anfällig und kompliziert” auch nicht geglaubt hat.
Ist wirklich einfacher als man denkt, ich wollte was mit Containern und bin bei Mailcow glücklich, wobei stalwart mit seinem jmap natürlich interessant klingt. Auch docker Mail soll ja gut sein. Ach, soviel Auswahl.
Ich nutze Dockermailserver. Kann mich nicht beklagen, ich rätsel nur noch, ob ich irgendwie echtes oauth2 da dran bekomme.
Die eigentliche Herausforderung liegt im Whitelisting und DMARC und sowas. Wenn man das aber einmal gemacht hat, ist der Betrieb erschreckend unkompliziert - und ich mache das seit über 10 Jahren so.
Das ist ja nicht das Problem, Keycloak existiert bereits, aber die oauth2 Integration in den Mailserver finde ich bislang irritierend, weil man sich bei zumindest Dockermailserver (was am Ende auch nur ein Postfix/Dovecot ist) wohl trotzdem per IMAP authentifizieren muss. Meine Erwartungshaltung wäre gewesen, dass man dann da den Token übergibt oder sowas, aber ich hab mich auch noch nicht so richtig damit befasst.
Sorry aber wer da drinne das 2fa feature nutzt hat das konzept von 2fa nicht verstanden. Als ob ich meine 2fa codes am selben punkt wie meine Passwörter speicher. Das macht garkein Sinn. Die sind bei mir alle auf einen Yubikey gespeichert.
Aber ich liebe die Aliase von ProtonPass dafür zahle ich gerne Geld. Hab mich schon so oft mit Alias mails bei irgendeinen müll angemeldet weil man damit rabatte oder andere vorteile bekommen hat und hab den Alias anschließend einfach gelöscht xD
Der geneigte Graubartadmin nutzt dafür Wildcard DNS. Ich hab für jeden Account eine eigene Mail (natürlich als Alias). So kann ich im Fall der Fälle sehen, von wo die Adresse geklaut wurde.
Hoffe du teilst dann auch dein wissen bzgl des Verkäufers. Mir ist das oft nicht so bewusst. Erst wenn es mir zu bunt wird Wechsel ich einfach.
So unglaubwürdig es klingen mag, aber in drei Jahren dieser Praxis ist mir bisher nichts passiert. Es kommt fast alles über eine Weiterleitung einer alten GMX-Adresse, für die ich vor zehn Jahren mein Passwort vergessen hab.
Ich habe Mal Spam auf einer Adresse bekommen, die ich nur bei einer Online Apotheke verwendet habe. Deren Support hat behauptet, ich sei gehackt worden. Tja, machste nix… War auch noch vor DSGVO…
Das würde ich nicht so hart sehen, 2FA im PW-Manager ist immer noch um Welten besser als kein 2FA, und für viele Normalos kannst du nichts komplizierteres als das empfehlen weil sie es sonst halt gar nicht benutzen würden.
Passwörter können auf verschiedenen Wegen in die falschen Hände geraten, 2FA im Passwortmanager schützt immer noch prima gegen alle davon, außer halt wenn der Passwortmanager selbst geknackt wird. Und wenn das passiert, ist die Wahrscheinlichkeit hoch, dass der Angreifer es eh auch schon in eins meiner Geräte reingeschafft hat, und somit auch Zugriff auf eine etwaige getrennte 2FA-App hat. Um das zu verhindern, muss es dann halt wirklich schon die Yubikey-Lösung sein, was aber wiederum aktuell nichts ist, was die Non-Techies in meinem Leben realistisch tatsächlich benutzen würden.
Edit: für meine Argumentation ist es wichtig dass du nicht ohne eins meiner Geräte in den PW-Manager reinkommst, aka das Modell von 1Password. Ich glaube Proton Pass ist nicht ganz so gut abgesichert, weil deine Daten da nur mit dem normalen Account-Passwoet verschlüsselt sind, nicht nochmal mit nem extra-Key
Natürlich ist 2fa im PW Manager besser als nichts. Das habe ich ja nie bestritten. Du argumentierst gegen einen Strohmann. :)
Ich meinte dass ich das persönlich dumm finde alles an einem Ort zu haben. Besser als nichts is es alle mal. Das stimmt klar.
Na ja, dein “wer da drinne das 2fa feature nutzt hat das konzept von 2fa nicht verstanden” klingt – gerade für Laien – schon sehr nach “dann kann man es auch gleich lassen”. Das wollte ich nur richtig stellen.
Dann hab ich mich missverständlich ausgedrückt sry. So wars nicht gemeint :)
Das wiederum ist nix für mich. Aliase erstelle ich auf meinem Mailserver, hat mich dann eine spamwelle erwischt kommt die Adresse weg und eine neue dann daher.
PS. Teste gerade ob ich auf feddit account antworten kann.
Ah, endlich noch jemand, der selbst einen Mailserver hat und die Mär von “das kann man nicht selber weil zu anfällig und kompliziert” auch nicht geglaubt hat.
Ist wirklich einfacher als man denkt, ich wollte was mit Containern und bin bei Mailcow glücklich, wobei stalwart mit seinem jmap natürlich interessant klingt. Auch docker Mail soll ja gut sein. Ach, soviel Auswahl.
Ich nutze Dockermailserver. Kann mich nicht beklagen, ich rätsel nur noch, ob ich irgendwie echtes oauth2 da dran bekomme.
Die eigentliche Herausforderung liegt im Whitelisting und DMARC und sowas. Wenn man das aber einmal gemacht hat, ist der Betrieb erschreckend unkompliziert - und ich mache das seit über 10 Jahren so.
Keycloak? Frag mich aber nicht wie, ich hab mal authentik versucht, geht mit caddy ganz ordentlich.
Das ist ja nicht das Problem, Keycloak existiert bereits, aber die oauth2 Integration in den Mailserver finde ich bislang irritierend, weil man sich bei zumindest Dockermailserver (was am Ende auch nur ein Postfix/Dovecot ist) wohl trotzdem per IMAP authentifizieren muss. Meine Erwartungshaltung wäre gewesen, dass man dann da den Token übergibt oder sowas, aber ich hab mich auch noch nicht so richtig damit befasst.