Martins key.matiq-Blog
>> Zurück zum Artikelverzeichnis >>
Das Kind doch nicht mit dem Bade ausgeschüttet
Geschrieben: 02.09.2020
Letzte Überarbeitung: 22.04.2021
Stichwörter: Sicherheit
Der Update von Firefox®* 79 auf Android™* kommt ohne Masterpasswort. Nicht nur wegen des rassismusverdächtigen Wortteils "Master". Wer key.matiq verwendet, weiß sich zwar zu helfen. Doch können die Kennwörter überhaupt noch unter Android sicher gespeichert werden?
Ein brandneues Design
Mit einem Update des Firefox®* Browsers auf Android™* wurde ein brandneues Design versprochen.
Das Erste, das auffiel, war, dass jetzt die Adressleiste unten statt oben war. Möglicherweise eine Verbesserung: Sie ist dem Daumen näher und damit kann etwas leichter die Suche eingegeben werden.
Aber es gibt viel Kritik am neuen User-Interface. Ein wahrer Shitstorm entbrennt ...
Die Kennwörter sind weg
Ich benutze lieber Web-Apps als Apps. Es gibt eine Unzahl an Apps, und unter diesen werden viele als unsicher oder gar als Malware eingestuft.
Bei einer Web-App habe ich die Gewissheit, dass diese nur sehr begrenzt (über Cookies und anderen Web-Speicher des Browsers) auf mein Gerät zugreifen kann. Enthält der Browser keine kritische Sicherheitslücke, bin ich gut geschützt.
Für den Zugriff auf Web-Apps brauche ich aber Kennwörter, die ich bislang mit einem Masterpasswort (aus dem vom Browser ein 256-Bit-Schlüssel generiert wurde) geschützt hatte.
Doch nun sind sämtliche bislang eingegebenen Kennwörter verschwunden.
Glücklicherweise habe ich ja meine key.matiq-Box, von der ich das Hauptkennwort im Kopf habe. Das Kopieren und Neueintragen dürfte lästig aber nicht tragisch sein.
Das Masterpasswort ist weg
Beim Speichern des ersten Passworts fällt mir aber auf, dass gar nicht nach dem Masterpasswort gefragt wird. Stattdessen soll ich die PIN des Smartphones eingeben oder den Fingerabdruck verwenden.
Die Befürchtung wird laut, ...
... dass die Kennwörter überhaupt nicht mehr verschlüsselt gespeichert werden. So wie es bisher beim Desktop-Firefox der Fall war, wenn kein Hauptpasswort verwendet wurde.
Das hieße ja, dass mit dem neuen Design, das Kind mit dem Bade ausgeschüttet wurde, dass Sicherheitsbewusste den neuen Firefox gar nicht mehr ohne Weiteres verwenden können!
Diese Befürchtung wird von vielen Benutzer*innen geteilt. Wir wenden uns an die Mozilla-Gemeinde. Und dann stellt sich heraus, das Problem wurde bereits ausführlich diskutiert.
Nein, unter Android lässt der Firefox die Kennwörter durch den Android Keystore verschlüsseln und sichern. Es sieht nicht so aus, als ob irgendein Kennwort unverschlüsselt auf die Platte gelegt wird oder von einer anderen App als Firefox ausgelesen werden kann.
Doch eher besser als schlimmer
Man braucht ein bisschen Zeit, bis man versteht, dass der Schutz der Kennwörter noch gegeben ist. Beim Android Keystore ist der Schutz auch nicht so leicht erkennbar, wie bei einer Verschlüsselung durch ein Hauptpasswort. Diese mangelnde Transparenz scheint ein Nachteil der neuen Methode zu sein.
Dennoch scheint letztlich diese Änderung eine Verbesserung zu sein: Bisher hat nur nur ein kleiner Teil der Firefox-Benutzer*innen ein Masterpasswort benutzt, während jetzt alle Benutzer*innen auf Android ähnlich gut geschützt zu sein scheinen, wie es früher nur mit dem Masterpasswort möglich war.
Dass man das Hauptpasswort nicht mehr eingegeben muss, ist auch ein großer Vorteil. Diese Erleichterung kann man nutzen, um z. B. die PIN für die Entsperrung des Smartphones durch ein längeres Kennwort zu ersetzen. So erhält man ohne Aufpreis doch im Endeffekt eher etwas mehr Sicherheit als weniger.
Welche Risiken bleiben?
Beim Hauptpasswort hatte man eine leicht nachvollziehbare starke Verschlüsselung ohne jeden Nachteil. Selbst, wenn es jemand gelänge, einen Keylogger zu installieren, so würde dieser doch eine manuelle Eingabe von Kennwörtern genauso angreifen, wie die Eingabe des Hauptpassworts.
Beim Android Keystore ist dies nicht ganz so einfach. Der Android-Quellcode ist zwar öffentlich, aber der Keystore ist nicht ganz so durchsichtig wie die Verschlüsselung mit einem Key, der von einem Hauptpasswort abgeleitet ist.
Schwachstellen sind also möglich. Die Aussichten sind nicht schlecht, dass diese irgendwann aufgedeckt und behoben werden. Aber in der Zwischenzeit könnten insbesondere US-Geheimdienste diese ausnutzen (oder sogar durch Beeinflussung von Entwickler*innen zu erzeugen versuchen), um mit dem Browser-Passwortmanager gespeicherte Kennwörter abzugreifen, während ihnen dies evtl. über eine einen Keylogger nicht so einfach möglich wäre.
Doch dies ist bislang reine Spekulation. Geheimdienste dürften auch bemüht sein, Spuren zu vermeiden, da sie damit das Aufdecken von Einfallstoren provozieren würden. Deshalb kann man damit rechnen, dass Angriffe, die mit Veränderungen des Betriebssystems verbunden sind, von den US-Diensten nur in Einzelfällen erfolgen.
Gegen normale Internet-Kriminelle, die nicht über soviel Ressourcen und Möglichkeiten wie staatliche Geheimdienste verfügen, dürfte der Android Keystore dagegen in aller Regel genügend Schutz bieten.
Dort wo Angriffe durch US-Geheimdienste, etwa zur Wirtschaftsspionage, wahrscheinlich sind, sollten aber Alternativen zum Browser-Passwortmanager in Betracht gezogen werden: Ein lokaler Passwortmanager wie KeePass2Android könnte helfen, wichtigste Kennwörter auf dem Smartphone schnell verfügbar zu halten, seltener gebrauchte Passwörter könnten von der key.matiq-Box bei Bedarf abgerufen werden.
*) Hinweise zu Marken Dritter:
"Android" ist eine Marke der Google LLC.
"Firefox" ist eine eingetragene Marke der Mozilla Foundation.