Zwei-Faktor-Authentisierung bald Pflicht bei Ancestry

[Gastonian]

Hallo allerseits:

Wie bekannt, haben Unbefugte jüngst DNA-Daten bei 23andMe abgesaugt. Diese Unbefugte hatten Zugang zu den Daten durch "credential stuffing" - d.h., sie haben sich in Konten angemeldet, wo der Benutzer die gleiche Benutzername/Passwort-Kombination wie anderswo benutzte und diese Kombination schon anderswo geknackt worden ist. In anderen Worten, es war nicht ein Hack von 23andMe, sondern ein Hack von unvorsichtigen Benutzern - aber durch diesen Hack wurden nicht nur die Daten der unvorsichtigen Benutzer, sondern auch die von deren Matches den Unbefugten zugänglich.

Dieses credential stuffing kann dadurch vermieden werden, daß man beim Anmelden zum Konto eine Zwei-Faktor-Authentisierung verlangt - d.h., eine Benutzername/Passwort-Kombination ist nicht genug, sondern es wird eine zusätzliche Authentisierung durch einen an das Handy oder Mailadresse versandte Verifizierungscode verlangt.

Ancestry.com (aber noch nicht ancestry.de) hat jetzt angekündigt, daß zum Schutz der DNA-Daten in baldiger Nähe eine Zwei-Faktor-Authentisierung zum Zugang zu Ancestry DNA verlangt werden wird (siehe Anhang). Ich habe diese Zwei-Faktor-Authentisierung schon ausprobiert; den Code kann man entweder im Handy oder in einem Mail erhalten, aber es wird zum Anmelden zum Ancestry-Konto benötigt und nicht nur zum Zugang zu den DNA-Daten.

Und jetzt, da ich dies bei ancestry.com eingeschaltet habe, wird eine Zwei-Faktor-Authentisierung auch für ancestry.de verlangt.

VG

--Carl-Henry

[TempusFugit]

MFA wird aber teilweise auch überschätzt, bzw falsch implementiert.

Offensichtlich zB bei Onlinebanking am Smartphone, wo beide Faktoren am gleichen Gerät behandelt werden. MFA darf eigentlich nicht an einem einzigen Gerät alleine funktionieren. Daher zB Chiptan beim Banking.

In diesem hier Falle ist MFA auch fraglich. Das Stuffing funktioniert ja, weil Leute das gleiche Passwort immer wieder verwenden. Also warum nicht auch zB beim Emailaccount, welcher den zweiten Faktor empängt.

Besser wäre es, die Nutzer über das grundlegende Problem aufzuklären.

Noch besser wäre es, das Passwort für den Nutzer zu generieren und ihm so die Möglichkeit zu nehmen, selber Password-Recycling zu betreiben.

In Zeiten von Passwortmanagern ist ein hinreichend komplexes Passwort kein Problem mehr.