D3 Authenticator / Fragen etc.

[Argon]

Ja, ein Autheticator kann mittels der beiden Nummern, die man in dem Programm sieht, vollständig "wiederhergestellt" werden. Hat jemand diese Nummern, kann er diesen Auth. auf jedem beliebigen Smartphone wiederherstellen, ganz egal welche Seriennummer sie haben.
Ich nehme an, diese SMS Sache würde dich davor schützen, sofern eine Auth. Wiederherstellung auch im Acc bestätigt werden müsste, aber das glaube ich gerade nicht.

 

[Cammi]

@nicht jedes mal den code eingeben:

das ist einfach, damit du nicht jedes mal wenn du mal nen disc hast oder so, wieder den auth code eingeben musst. aber sobald eine andere ip sich probiert in deinen account einzuwählen, wird der code wieder abgefragt.
d.h. nen hacker der zu 100% ne andere ip haben wird wie du, muss dann den code eingeben, auch wenn du selbst nicht gefragt wurdest.

das hört sich super an. hab vor kurzem das ding auf meinen htc eingerichtet und ersma eingestellt das er jedes mal nachfragen muss weil ich dachte bringt ja nix wenn ich einma eingebe und der acc dann sozusagen freigegeben ist, also der hacker braucht ihn (den code) dann nichtmehr eingeben.
allerdings ist das dann extrem nervig wenn die server wieder überlastet sind mit login fehler und man 2ma das glück haben muss das der login funktioniert (einmal nach pw eingabe und einma nach authenticator code eingabe)^^

 

[Arghmage]

Sry, nicht verstanden, mein Auth. hat 6 Zeichen, haben TANs 8 Zeichen?

Mein Auth hat 8 Zeichen, haben sie dir 2 geklaut?

 

[Escort]

Mein Auth hat 8 Zeichen, haben sie dir 2 geklaut?

Scheint so, denn mein Auth. hat definitiv 6 Zeichen.
(Hardware Auth. liegt direkt neben mir.)

ot
-------------
Hab grad mal überlegt was ich mache wenn die Batterie mal alle ist, hatte mal was von 3- 5 Jahren Laufzeit gelesen, hab den aber auch schon 4 Jahre.
Schätze ich würde den aufbrechen und ne neue Knopfzelle einbauen

 

[Argon]

Es gibt einen "alten Dial-in Authenticator", vermutlich hast du diesen.

 

[Nytemare]

Das System hatte am Anfang als es für WoW raus kam nur 6 Stellen, irgendwann später wurde das bei neueren Geräten/der App auf 8 erweitert. Das geht halt bei den alten physikalischen Geräten nicht, denke aber 6 Stellen reichen aus.

In WoW war es damals so, dass die Auth Codes für ein kurzes Zeitfenster gültig waren, durch die Hacks ist es aber so geändert worden (sofern ich das richtig in Erinnerung habe), dass sie nur genau ein mal genutzt werden können und danach ungültig werden.
Die einzige Möglichkeit das zu umgehen liegt wohl jetzt nur noch darin, den Clienten per Hack so abzuändern, dass er sich bei Dateneingabe gar nicht erst zum Server verbindet und dann gleichzeitig den Code in dem bestehenden 30 Sekunden Fenster selber zu verwenden.


/edit
Die Zeichenanzahl im Code hat btw. nix mit dem ominösen "Dial-in Auth" zu tun. Diesen gab es nie in Deutschland, sondern nur in der USA.

 

[deleted_24196]

Stimmt so nicht. Es gibt auch Trojaner, die Deine Pin fishen und dann innerhalb der Zeit von 30 sec weitergeben, nachdem Du ihn eingegeben hast. Bei WOW ist das wohl einige Male passiert. Also immer mit dem neuesten Virenscanner arbeiten!


Erster Accounthack mit Authenticator – Trojaner emcor.dll ist Schuld | Five Sec Rule

Jede generierte Zahlenfolge ist immer nur für einen Login gültig. Insofern kann ein Hacker gar nichts mit der gephishten "TAN" anfangen.

 

[Macintom]

das hört sich super an. hab vor kurzem das ding auf meinen htc eingerichtet und ersma eingestellt das er jedes mal nachfragen muss weil ich dachte bringt ja nix wenn ich einma eingebe und der acc dann sozusagen freigegeben ist, also der hacker braucht ihn (den code) dann nichtmehr eingeben.
allerdings ist das dann extrem nervig wenn die server wieder überlastet sind mit login fehler und man 2ma das glück haben muss das der login funktioniert (einmal nach pw eingabe und einma nach authenticator code eingabe)^^

Werde nicht zu faul!
Wenn Du die regelmäßige Nachfrage abschaltest ist der Account nicht mehr sicher. Ich weiß daß die regelmäßige Eingabe des Codes nervig ist. Aber Du wirst Dich im Falle einer Kompromittierung in den Hintern beißen daß Du die paar Sekunden nicht investiert hast.

 

[Wilmots]

Jede generierte Zahlenfolge ist immer nur für einen Login gültig. Insofern kann ein Hacker gar nichts mit der gephishten "TAN" anfangen.

Also, hast Du bitte den Artikel gelesen? Verstehe Deine Stellungnahme dann nicht. Magst Du sie mir in Bezugnahme zum Artikel erklären?

 

[FGA]

Ich versteh das Prinzip noch immer nicht. Wenn man auf den Authenticator drückt wird ja eine Nummer generiert, was aber wenn man mehrmals drückt woher weiss der Online Acc das dann?

Und kann man beide Verfahren (Smartphone App und Hardware Auth) gleichzeitig nutzen?

Und kann man die Smartphone App auch auf dem Pc emulieren, wenn ja wie?

 

[deleted_24196]

Also, hast Du bitte den Artikel gelesen?

Nur die Überschrift. Dass der Rechner jedoch soweit kompromittiert wurde dass gar keine Verbindung zum BattleNet aufgebaut wird, habe ich dadurch natürlich nicht mitbekommen.

Mi scusi.

 

[Arghmage]

Ich versteh das Prinzip noch immer nicht. Wenn man auf den Authenticator drückt wird ja eine Nummer generiert, was aber wenn man mehrmals drückt woher weiss der Online Acc das dann?

Durch das Drücken wird nur das Display eingeschaltet, die Codes werden ständig generiert.

Und kann man beide Verfahren (Smartphone App und Hardware Auth) gleichzeitig nutzen?

Du kannst in deinem Account nur einen Authenticator registrieren.

Und kann man die Smartphone App auch auf dem Pc emulieren, wenn ja wie?

Ja das geht, braucht im Grunde nur einen Android-Emulator (irgendwo gabs eine Anleitung im off. Forum).
Es gibt auch WinAuth, damit gehts ohne Emu direkt unter Windows.

 

[Argon]

Aber das bricht dir das Sicherheitskonzept der zwei getrennten Stationen... ein Trojaner reicht dann aus um deinen Account zu hacken. Wäre der Auth. extern, so könnte ein Trojaner zwar dein Passwort bekommen, aber nicht den Auth. Code (bzw. er wäre nur wenige Sekunden gültig - zu wenig Zeit).

 

[DoctorCox]

Hi

Wenn man sich den Authenticator gerade besorgen mag im Blizzard Shop, den Schlüsselanhänger, wenn man kein neueres Mobiltelefon hat, aber bei dem Schritt: Zahlung, nicht weiter kommt, was kann man dann tun? Die wollen ne Kreditkarte? Ich zb habe sowas aber nicht vonwegen Mastercard, Visa, American Express oder so, kann ich mir das dann nicht kaufen? Dachte das ging auch mit Überweisung oder Paypal? Muss es doch so ne Möglichkeit geben?

 

[rabbel]

Mein Auth hat 8 Zeichen, haben sie dir 2 geklaut?

Der Hardware-Authenticator (also das physische Ding was man bei Blizzard für 6€ bestellen kann) generiert eine 6-stellige Zahlenfolge. Die Smartphone-App eine 8-stellige.


Es gibt übrigens durchaus Möglichkeiten einen Account mit Authenticator zu hacken, ist aber ungleich aufwendiger. Ein bekanntes Verfahren ist der sogenannte "Man-in-the-Middle"-Angriff. Dabei hast Du eine Schadsoftware auf dem Rechner, die den Authenticator-Code beim einloggen abfängt, einen falschen Code an die Server sendet und die echte Zahlenfolge an den Hacker weitersendet. Der hat dann ca. 45-60 Sekunden um sich mit den abgefangenen Login-Daten einzuloggen, danach wird der Authenticator-Code ungültig.

 

[deleted_24196]

Muss es doch so ne Möglichkeit geben?

Bei amazon.de kaufen.

 

[TiTaThoemi]

@Sunterra: Das Problem ist, ich habe die Bindestriche wegelassen der Code sieht so aus:
US-xxxx-xxxx-xxxx

Das wären ohne Bindesteiche und "US" immernoch 12 Zeichen?

 

[Escort]

Der Hardware-Authenticator (also das physische Ding was man bei Blizzard für 6€ bestellen kann) generiert eine 6-stellige Zahlenfolge. Die Smartphone-App eine 8-stellige.


Es gibt übrigens durchaus Möglichkeiten einen Account mit Authenticator zu hacken, ist aber ungleich aufwendiger. Ein bekanntes Verfahren ist der sogenannte "Man-in-the-Middle"-Angriff. Dabei hast Du eine Schadsoftware auf dem Rechner, die den Authenticator-Code beim einloggen abfängt, einen falschen Code an die Server sendet und die echte Zahlenfolge an den Hacker weitersendet. Der hat dann ca. 45-60 Sekunden um sich mit den abgefangenen Login-Daten einzuloggen, danach wird der Authenticator-Code ungültig.

Sry, nein !

Die Auth. Daten + Session-Id = LogIn
Man kann nur EIN Login pro Nummer generieren.
Eine zweite Anmeldung benötigt eine neue Nummer.

(Wenn "Man in the Middle" deinen Versuch einzuloggen, unterbricht, benötigt er eine neue Nummer)

Es ist nicht möglich die Session ID aus (z.B. England, China) mit den Auth. Daten zu kombinieren und ein echtes LogIn zu bekommen.
Die Id wird mit deinen lokalen ID deines Inet Anbieters kombiniert.
Schätze es gibt mehr Möglichkeiten der Kombination als es Atome im Universum gibt.

ot
---------
glaube bei Blizz kostet der Auth nicht 6 sondern 9.99 EUR, bei MM glaube ich 4.99 EUR)

 

[deleted_24196]

@Escort
Die ID wird mit dem Internetanbieter kombiniert? Gaaaanz sicher? Wie soll das denn mit einem (offline) Gerät funktionieren?

 

[Escort]

@Escort
Die ID wird mit dem Internetanbieter kombiniert? Gaaaanz sicher? Wie soll das denn mit einem (offline) Gerät funktionieren?

Sry, 4 Bier, welches Offline Gerät?
Du kombinierst einen Generator mit hinterlegter Seriennummer + Generator Nummer + deinem PC (mit einzigartiger IP) = Login Nummer.

Ein Programm das dieses auslesen kann ist schlechterdings nicht denkbar. (Obwohl ich sicher bin das die NSA das kann,
aber ich bin aber auch paranoia)