Bei allen Proton Diensten inklusive Pass kann ich mich mit einem Passwort anmelden.
Sollte nicht gerade der Passwort-Manager ein eigenes Passwort haben.
Wenn man 2FA aktiviere, benötigt man einen zweiten Passwort-Manager/Authentifikator, um sich an seinem ersten „Passwort-Manager“ anzumelden.
Dazu erhöht das ein Passwort für alle Dienste die möglichen Angriffsvektoren. Eine ausgenutzte Schwachstelle in einem anderen Dienst oder Programm (App) kompromittiert eventuell alle Passwörter.
Bin ich der Einzige, der so denkt, oder habe ich mit meiner Logik Unrecht.
Mein Fazit: Proton Pass ist so eher ein Sicherheitsrisiko als sicherer Hafen dir seine Daten!
Die Kernidee hinter einem 2. Faktor ist genau das.
Du musst etwas besitzen, um dich bei dem Dienst anzumelden.
Den 2. Faktor in einem Passwort-Manager zu speichern, schwächt das Konzept dahinter.
Im Gegenteil.
Es verringert die möglichen Angriffsvektoren und konzentriert diese auf einen Dienst (den SSO-Dienst).
Wie willst Du denn vom Mail- oder VPN-Dienst auf die Passworte zugreifen können?
Mit einem erfolgreichen Angriff auf den SSO-Dienst würde sich ein Angreifer, Zugriff auf den Passwort-Manager verschaffen. Das ist aber bei einem Angriff auf einen Passwort-Manager mit eigenem Passwort das selbe.
In der Folge kann sich der Angreifer dann eh Zugriff auf alle damit verwalteten Dienste verschaffen.
Die Nutzung eines Passwort-Managers ist ein Sicherheitsgewinn.
Wie groß der ausfällt, hängt davon ab, wie der implementiert ist.
Ein Cloud-basierter Passwort-Manager ist meisten weniger sicher, als ein Offline-Passwort-Manager. Das ist aber immer noch sicherer, als kein Passwort-Manager.
Naja ein Passwort für Mail, Kalender, VPN und Passwort-Manager gibt 4 Möglichkeiten, das das Passwort durch einen Fehler in Apps oder Phishing abgegriffen wird. Im Gegensatz zu einem eigenen Passwort für den Passwort-Manager.
Also erhöht sich sehr wohl der Angriffsvektor.
Es gibt ja nicht mal die Möglichkeit ein anderes Passwort auszuwählen. Sondern 1 für alle Dienste ist gesetzt.
Ja was das Speichern des zweiten Faktor im Passwort-Manager betrifft, gebe ich dir Recht. Aber immer noch besser als keinen zweiten Faktor. (Wie deine Schlussfolgerung das ein Passwort-Manager besser ist als kleiner)
Vor allem sind E-Mail und Passwort-Manager die zwei Systeme, die wenn beide gleichzeitig in die Hände von Kriminellen fallen würden, wohl das schlimmste wäre, was passieren kann. ( deshalb ist es auch nicht sinnvoll das E-Mail Passwort im Passwort-Manager zu haben genausowenig, wie beiden das gleiche Passwort zu geben)
Du hast Zugangsdaten für den SSO-Dienst.
Alle anderen Dienste bekommen das Passwort nicht zu sehen.
Die bekommen ein Token, das dann nur für den Zugriff auf den spezifischen Dienst gültig ist und auch nur bestimmte Zeit.
Wenn ein Angreifer Zugriff auf eine Passwortdatenbank bekommt, hat er Zugriff auf alle, darin gespeicherten Accounts. Wenn nicht Teile der Zugangsdaten extern gespeichert sind (2FA).
Insoweit ist das Schlimmste was passieren kann, der Zugriff auf die Passwortdatenbank.
Das sehe ich anders.
Aber da wären wir dann bei der Frage nach einem Sicherheitskonzept.
Und das wäre dann ein Thema für einen neuen Thread.
Du hast nicht das gleiche Passwort für beide Dienste.
Du hast 1 Passwort für den SSO-Dienst, mit dem Du dann Zugriff auf die anderen Dienste erhältst.
Ich muss mich in jeder der vier Apps auf dem gleichen Gerät beim ersten einrichten anmelden. Mit Username und Passwort. Ich melde mich auf den Webseite einmal an, kann dann zwischen dem Diensten über die Webseite switchen. (Das ginge genauso mit einem normalen zentralen Login).
Ich bleibe dabei: 4 Apps vier mögliche Fehlerquellen. Genauso ist es mit der Website. Ein Phishing kann auf jeden Dienst abzielen und die Username/Passwort-Seite nachbauen. Damit hat er dann Zugang zu allen Proton Diensten.
Was persistent sessions für einen Passwort-Manager bedeuten könnte, will ich mir gar nicht ausmalen.
Mit Zugriff auf Username und Passwort kann ich zwar viel Unfug treiben, aber in der Regel nie einen Account übernehmen, da bei jeder Änderung eine E-Mail abgesetzt wird und ich die E-Mail nicht ohne Zugriff auf ein E-Mail Konto ändern kann.
Jeder soll sich da seine Meinung bilden. Für mich gehören solche kritischen Systeme nicht unter einem Passwort vereint. (Vor allem, da ein physischer Schlüssel, wie in vielen Firmen oder Behörden als zusätzlicher Faktor haben, nicht zwingend erforderlich ist)
Auch wenn das Thema schon etwas älter ist (oder auch gerade deshalb) hier mal ein Update in der Sache.
Ich denke, dass Proton Pass immer noch ein Fail ist, was das „Design“ angeht.
Aktuell gibt es den Dienst nur als Browser-Extension. Dort muss man sich via SSO einloggen um den Dienst zu nutzen (in jedem Browser separat).
Klappt soweit gut - und kann mit einem „6-Digit-PIN“ zusätzlich gesichert werden.
Aber durch SSO ist man quasi in jedem Browser wo man die Extension nutzt dauerhaft und immer mit all seinen Proton Diensten angemeldet. Ob man will, oder nicht.
Wenn man Proton Pass abmeldet, wird man auch vom Rest abgemeldet. Aber man müsste sich immer wieder bei der Extension an und abmelden (in jedem Browser separat).
Ich bin der Meinung, dass das dringend entkoppelt werden muss.
Da es (zumindest im Visionary Tarif jetzt auch schon eine separat Mail App für Proton gibt) braucht man in den Browsern ja nicht mehr angemeldet zu sein mit seinen SSO Credentials. Muss man aber, da man sonst Proton Pass nicht nutzen kann…
Ich weiß ja nicht. So richtig schick/sauber ist das alles nicht. Wie der Titel es ein wenig sagt : „Fail by design…“ Zumindest im jetzigen Versionsstand.