Prüfen Sie Kontoanmeldung, Datenzugriffsrechte und Wiederherstellung von Chat-Schlüsseln getrennt; eine Anmeldeschaltfläche beantwortet nicht alle drei Fragen.
„Mit Google anmelden“ bedeutet weder automatisch, dass Google auf den Klartext von Chats zugreifen kann, noch ist es eine Option ohne Vertrauensbedarf. Das Verfahren bindet einen Identitätsanbieter in die Anmeldung ein. Übertragene Informationen und Kontoabhängigkeit müssen anhand der tatsächlichen Berechtigungen und Architektur des Dienstes geprüft werden.
Trennen Sie bei Ihrer Entscheidung die Kontoanmeldung von der Erlaubnis zum Zugriff auf Google-Daten und von den Schlüsseln zur Gesprächsverschlüsselung. Eine Anmeldeschaltfläche beantwortet nicht alle drei Fragen.
Worin unterscheiden sich OAuth und OpenID Connect?
OAuth ist ein Rahmenwerk zur Gewährung von Zugriff auf Ressourcen. OpenID Connect ergänzt es um eine Authentifizierungsschicht. Die Dokumentation zur Google-Anmeldung beschreibt einen auf OpenID Connect basierenden Ablauf zur Identifizierung von Nutzern.
Die Aussage „OAuth gibt dem Messenger das Google-Passwort“ ist daher falsch. Der Dienst muss das betreffende Token korrekt validieren und seine eigene Sitzung absichern. Eine Berechtigung für Gmail, Drive oder andere Daten ist außerdem etwas anderes als die bloße Anmeldung. Erläuterung zu Berechtigungen und Scopes.
Welche Informationen können ausgetauscht werden?
Ein Anmeldevorgang übermittelt dem Dienst in der Regel eine Kennung und je nach Berechtigungen Informationen wie E-Mail-Adresse oder Profildaten. Auch der Identitätsanbieter ist an den Authentifizierungsanfragen beteiligt. Aus dem Namen des Anmeldeverfahrens lässt sich jedoch nicht ableiten, dass jeder App-Start, jede Nachricht oder der gesamte Nutzungsverlauf an diesen Anbieter gesendet wird.
| Frage | Was Sie prüfen sollten |
|---|---|
| Welche Kontoinformationen erhält der Messenger? | Einwilligungsdialog, Scopes und Datenschutzerklärung |
| Wird Zugriff auf zusätzliche Daten angefordert? | Den Unterschied zwischen Anmeldung und Zugriff auf E-Mails, Dateien oder Kontakte |
| Wann wird der Identitätsanbieter erneut einbezogen? | Sitzungs- und Token-Erneuerungsregeln der Implementierung |
| Hängen die Chat-Schlüssel von dieser Anmeldung ab? | Dokumentation zu Schlüsselspeicherung und Wiederherstellung, nicht nur die Anmeldeschaltfläche |
Erteilen Sie keine Berechtigungen, die sich nicht durch Ihren Bedarf erklären lassen. Deuten Sie eine konkrete Berechtigungsanfrage aber auch nicht ungeprüft als „Lesen aller Nachrichten“.
Welche Risiken birgt die Abhängigkeit von einem zentralen Konto?
Ist ein nicht mehr zugängliches Konto Ihr einziger Anmeldeweg für einen Messenger, können neue Anmeldungen beeinträchtigt sein. Die Folgen für bestehende Sitzungen, lokale Daten und Wiederherstellung hängen von der Architektur des Dienstes ab. „Eine Google-Sperre vernichtet zwangsläufig alle Chats“ ist daher keine zutreffende Schlussfolgerung.
Prüfen Sie vor einem Notfall, ob der Dienst ein alternatives Anmeldeverfahren oder einen Wiederherstellungsprozess bietet und wie dessen Einrichtung die Kontosicherheit beeinflusst. Der alternative Weg darf nicht zum einfacheren Weg für Angreifer werden. Ändern oder entfernen Sie eine Kontoverknüpfung nicht, ohne den nächsten Anmeldeweg sicherzustellen.
Beseitigt die direkte Anmeldung mit SRP all diese Risiken?
Eine direkte Anmeldung kann die Abhängigkeit von einem externen Identitätsanbieter verringern. SRP weist bei korrekter Implementierung außerdem die Kenntnis des Passworts nach, ohne es selbst in den Protokollnachrichten zu senden. Der Messenger verarbeitet jedoch weiterhin Kontonamen, Anmeldeereignisse und zugehörige Betriebsdaten. „Ohne digitalen Fußabdruck“ ist keine zutreffende Beschreibung.
Auch der gespeicherte SRP-Verifier muss geschützt werden. RFC 5054 beschreibt das Risiko des Passworterratens nach Offenlegung des Verifiers. Die Sicherheit von Anmeldeseite, Sitzung, Wiederherstellung und Gerät bleibt notwendig.
Kein technischer Grundsatz besagt, dass SRP der einzige datenschutzfreundliche Anmeldeweg oder jede föderierte Anmeldung grundsätzlich unsicher sei. Implementierungsqualität und Bedrohungsmodell sollten ausschlaggebend sein.
Die Grenzen von Livaras Aussagen
Die Sicherheitsseite von Livara beschreibt SRP zur Authentifizierung und nennt ausdrücklich auch die Speicherung bestimmter Betriebsdaten. Das bedeutet nicht, dass die Kontoidentität vor dem Dienst selbst verborgen wird. Dieselbe Seite unterscheidet die Wiederherstellung der kryptografischen Identität vom Chatverlauf.
Bitten Sie für einen praktischen Vergleich jeden Dienst um Antworten auf dieselben Fragen: Welche Daten erhält er, welche Dritten sind beteiligt, wie beendet er Sitzungen und wie werden Chat-Schlüssel wiederhergestellt? Dokumentierte Antworten sind hilfreicher als „Zero-Knowledge“-Slogans.
Vor der Wahl eines Anmeldeverfahrens
Sichern Sie Ihr Hauptkonto und die Wiederherstellungswege, lesen Sie die angeforderten Berechtigungen, prüfen Sie verbundene Geräte und kennen Sie Ihren Plan für den Verlust des Kontozugangs. Wählen Sie anschließend ein Verfahren, das zu Ihren Bedürfnissen und Ihren Verwaltungsmöglichkeiten passt. Komfort und Unabhängigkeit sind beide wertvoll, doch keines von beiden garantiert allein Sicherheit.
