Verbesserung der Sicherheit für gespeicherte Passwörter möglich?

Zitat von Christian123

Fragen:
1.) Gibt es die Möglichkeit den Zugriff unter Einstellungen => "Passwörter anzeigen" mit einem Masterpasswort zu sichern?

Jain.

Wenn du ein Masterpasswort benutzt, dann greift das überall, und nicht nur dort.

unter Einstellungen-->Sicherheit-->Zugangsdaten & Passwörter gibt es doch die Option -->Master-Passwort verwenden

https://support.mozilla.org/de/kb/Gespeich…swort-schuetzen

Alternativ kannst du auch einen externen PW-Manager zur Verwaltung nutzen. Es gibt ja einige kommerzielle sowie open-source Kandidaten.
Keepass z.B. kann so eingestellt werden, dass die Win-Zwischenablage umgangen wird sodass Keylogger (eigentlich) keinen Zugriff mehr auf Zugangsdaten haben (sollten). Über entsprechende Shortcuts kannst du Keepass dann starten und die Daten aus dem Safe laden lassen.

Oder du nutzt neben Keepass noch eine Erweiterung für Firefox die die Datenbank von Keepass lädt. Zwei interessante Kandidaten wären: KeePass Tusk und Kee

Nutzt du eine entsprechende App auf dem Smartphone (Stichwortsuche im Playstore oder dem alternativen Store F-Droid z.B. mit "keepass") und synchronisierst die Daten regelmäßig, hast nebenbei noch redundante Backups deiner wichtigen Daten.

Edit
Link korrigiert.

Danke.

Zitat von Stoiker

...Zwei interessante Kandidaten wären: KeePass Tusk und Kee

Beides der gleiche Link :-?? Bitte berichtigen. Danke

Zitat von Christian123

Das mit dem Masterpasswort habe ich gerade getestet. Ist leider unpraktikale, da man es ja jedesmal eingeben muss?

Und daraus kannst du keine Sicherheit ableiten?

Zitat

Mir geht es darum, dass keiner über Einstellungen=> Datensicherheit darauf zugreifen kann (Frau Kind Kegel usw.). Weder bei Handy noch auf dem PC. Den Komfort mit Autologin möchte ich weiterhin nutzen.

Dir wurde schon erklärt, dass das Masterpasswort vor Zugriff schützt.

Zitat von Christian123

wie hoch ist Gefahr, dass die Daten durch eine Drittsofware/Anbieter ausgespäht werden können und ev. im Netz auftauchen, wie bei den Mail-account-Skandalen?

Bei meinem Girokonto habe ich das Passwort nur im Kopf und speichere es nirgens.

Du machst dir ja Gedanken, und das ist auch gut so.
Aber meines Erachtens nach siehst du die Gefahren nicht wirklich an den richtigen Stellen.

Denn das Problem ist, wenn du davon ausgehst das sich Schadsoftware auf deinem Rechner befindet, und davon gehst du ja scheinbar latent aus, dann gibt es nichts was dich dann noch davor schützt, denn du weißt ja nicht was diese Schadsoftware macht, wie sie es macht, und was sie eigentlich will.

Der Zug ist dann abgefahren, und es ist vergeudete Zeit sich ein Sicherheitssystem für ein bereits infiziertes System zu überlegen. Du fährst dann nur im Kreis.

Dein Sicheheitssystem sollte nach dem System gehen:
- Mein System ist sauber, und ich will das es so bleibt
und
- Meine Daten sind sicher, und ich will das sie sicher bleiben.

Zitat von Christian123

das Passwort nur im Kopf und speichere es nirgens.

Wenn du als Schadware einen Keylogger hast, dann wartet der nur darauf welche Tasten du drückst :wink:

https://de.wikipedia.org/wiki/Keylogger

Zitat von Christian123

Wenn ich sehe, wie leicht man bei firefox auf die Zugangsgangsdaten zugreifen kann, stellt man sich die Frage, wie schnell dies ggf. auch andere von außen können, FALLS es mal dazu kommen sollte und wie man dies verhindert.

Wenn jemand Zugang zu deinem System hat, hat er nunmal auf alles Zugriff. Das hat mit Firefox überhaupt nichts zu tun.

Zitat von Christian123

Masterpasswort ist unpraktisch.

Dann weiß ich nicht, was du willst. Entweder willst du deine Passwörter schützen oder du willst es nicht. Und der Schutz durch ein Passwort (Master-Passwort) ist wirklich die einfachste umsetzbare Form eines Schutzes. Einen Fingerabdruck-Sensor haben die meisten Computer nicht, einen Umgebungs-Sensor ebenfalls nicht, 2FA wäre aufwändiger als die Eingabe des Master-Passworts. Viel mehr Möglichkeiten fallen mir nicht ein. Also wie genau soll deiner Meinung nach denn der Schutz erfolgen?

Zitat von Christian123

Was ich nicht möchte, ist jedesmal ein Masterpasswort eingeben zu müssen, wenn ich ins Forum gehe.

Du gibst das Master-Passwort ja auch nicht jedes Mal ein, sondern ein einziges Mal pro Firefox-Sitzung. Weniger geht wirklich nicht.

Zitat von Christian123

Wie einfach wäre es für Schadsoftware bei firefox an die Passwörter zu kommen im Vergleich zum IE, wo es meines Erachtens nicht so schöne Menüpunkte wie bei firefox gibt, was nicht heißt dass es sicherer ist.

Siehe oben, das hat mit Firefox nichts zu tun. Wenn eine Schadsoftware bereits Zugang auf dein System hat, hast du Probleme, die über Firefox hinausgehen. Denn dan kann die Schadsoftware bereits alles machen, was sie will. Zum Beispiel einen Keylogger installieren und einfach alles mitlesen, was du eingibst, einschließlich Passwörter, siehe Beitrag von Andreas.

Deine Passwort-Datenbank kannst du aber durch das Master-Passwort zusätzlich schützen. Nur willst du das ja offensichtlich nicht, obwohl genau das ja deine Frage im Original-Beitrag war, ob die Passwörter mit einem Master-Passwort geschützt werden können.

Ich glaube, dass du dir einer Sache nicht bewusst bist: Firefox soll die gespeicherten Passwörter für Logins auf Webseiten verwenden. Dafür muss Firefox auf die Passwörter im Klartext zugreifen. Anders würde das technisch überhaupt nicht funktionieren. Deswegen ist es ausgeschlossen, die Passwörter in einer Weise zu schützen, die nicht auch für einen Angreifer zurückführbar ist. Durch das Master-Passwort wird der Schutz aber abhängig von deinem Passwort. Mit deinem Passwort kann Firefox die Passwörter wieder entschlüsseln und ein Angreifer kann Gleiches nur tun, wenn er dein Master-Passwort kennt. Und deswegen ist es auch wichtig, dass es ein Passwort gibt, wenn du die Daten schützen willst.

Wenn es dir nur darum geht, dass man die Passwörter nicht im Klartext sieht, kannst du den Button und die Kontextmenüeinträge einfach per userContent.css ausblenden.

Der Nachteil an dieser Methode ist, dass es dabei keinen Knopf gibt, um diese Maßnahme zu deaktivieren, der Code müsste halt wieder entfernt werden, wenn die Funktionen wieder da sein sollen. Aber der Vorteil ist, dass es sehr einfach umsetzbar ist:

#context-editusername + menuseparator, #context-copypassword, #context-editpassword, #togglePasswords { {
  display: none !important;
}

Falls das eine Option ist: Bist du damit vertraut und weißt, wohin mit diesem Code, oder brauchst du hierfür eine genauere Anweisung?

Bedenke aber: Das ist nicht der einzige Weg an die Passwörter zu kommen. Sobald Firefox das Passwort auf einer Webseite ausfüllt, muss einfach nur über die Entwicklerwerkzeuge der Input-Type des Passwortfeldes geändert werden und man sieht das entsprechende Passwort auch wieder im Klartext. Oder man kopiert sich die Passwort-Datei aus deinem Firefox-Profil und fügt sie in einem anderen Firefox-Profil ohne Modifikation wieder ein. Oder man entfernt die userChrome.css-Datei aus deinem Profil.

Wenn du einen wirksamen Schutz möchtest, der nicht ausgehebelt werden kann, sind wir wieder an dem Punkt, dass du ein Master-Passwort benötigst. Der vorgeschlagene Weg ist also nicht mehr als eine Hürde, versteckt aber zumindest den offensichtlichen Weg.

Verhindert aber auch nicht, das Lesen der Passwörter durch einfachen Import in einen anderen Browser.

Zitat von Christian123

durch den Import in einen anderen Browser

Einfach die benötigte Datei aus dem Profilordner vom Fx kopieren, und dann z.B. in einen anderen Firefox wieder einfügen.

Zitat von Christian123

Wo muss ich den Code einfügen?

Einzutragen in die userContent.css

Sollte der Ordner chrome nicht vorhanden sein musst du ihn dir erst erstellen, und in ihm dann eine userContent.css
Du mußt dir im Profilordner einen neuen Ordner chrome erstellen und in diesem dann eine Textdatei ( mit einem Editor ) in die du den Code kopierst, bzw. einträgst.

Dann schließt du die Datei und speicherst sie als userContent.css ab.
Danach mußt du den Fx neu starten.

PS:
Du musst dir dazu die versteckten Dateiendungen anzeigen lassen.

Um das einzustellen klickt man im Windows 10 Explorer (wenn man einen Ordner offen hat) erst oben links auf Ansicht..dann rechts oben auf

"Optionen" > "Ordner und Suchoptionen ändern" > "Ansicht"
und entfernt das Häkchen bei "Erweiterungen bei bekannten Dateitypen ausblenden"

Wo finde ich meinen Profilordner

Eine genaue Beschreibung dazu befindet sich auch unter diesem Link ab Abschnitt 2.2:

Anpassungen von Webseiten mittels userContent.css

Ich meinte nicht unbedingt den Import in einen anderen Firefox, sondern mehr den Import mittels der hauseigenen Funktion in z.B. Chrome, Opera oder Edge. Installiert man zum Beispiel Chrome neu und passt dabei nicht auf, werden Lesezeichen und Passwörter aus anderen Browsern automatisch importiert.

Wie gesagt: Der Weg über userContent.css versteckt nur den offensichtlichen Weg. Deswegen schrieb ich das ja so deutlich. Selbst innerhalb von Firefox kommt man auch mit diesem Schnipsel noch an die Klartext-Passwörter. Nur ein Master-Passwort kann tatsächlichen Schutz gewährleisten. Ohne Master-Passwort führen verschiedene Wege nach Rom, mit CSS alleine kommt man da nicht aus.

Der beste Weg ist wohl noch für jeden Benutzer ein eigenes Benutzerkonto auf dem PC und nur dieser darf dieses benutzen. Wobei der findige Nachbarsjunge, mit Zugang zum PC einfach eine Live-Linux DVD startet und Windows somit einfach aushebelt. Dann einfach per Linux alle Partitionen mounten und schwupps kann man von jedem Benutzer alles erfahren. Hier würde dann nur ein BIOS-Passwort helfen.