Unsichere App?

Zitat von Veteran

Davon ist auszugehen – oder hat man hier schon mal davon gehört, daß Nutzer von GMail immer und immer wieder die Authentifizierungsprozedur durchlaufen müssen. Ich kann mich nicht erinnern.

Natürlich nicht. Lass uns doch mal überlegen, woran es wohl liegen könnte, dass diese Nutzer sich gar nicht neu anmelden müssen? Der Hilfeartikel zeigt es bereit auf: Weil sie den Passwortspeicher benutzen und Cookies zugelassen haben. Oh Mann ... .

Zitat von Veteran

Aber natürlich – ich vergaß: 'Wer ein Google/GMail Konto hat, hat auch nichts zu verbergen' und wählt gewöhnlich den bequemsten Weg.

Was sollen denn jetzt solche Allgemeinplätze? Mit OAuth hat das ja nun grad gar nichts mehr zu tun. Dass E-Mails beim Provider gescannt werden, ist längst kein Alleinstellungsmerkmal von Google mehr. Auch GMX und WEB . de beispielsweise mischen da inzwischen kräftig mit.

Zitat von Veteran

Solange das Refresh Tokens gültig ist, bleibt die Schwachstelle des OAuth Protokolls – fehlende Authentifizierung bei der Nutzung des Tokens – bestehen.

Auch das ist leider wieder dieselbe Halbwahrheit wie die ganze Zeit über. Um an ein gültiges Token zu kommen, müsste der Angreifer die Infrastruktur von Google hacken. Der kann dann auch Zugriff auf dein Konto mit dem App-Passwort erlangen. Zudem verliert jedes Token mit dem Log Out seine Gültigkeit, ganz im Gegensatz zu dem von dir favorisiertem App-Passwort. Das ist viel leichter angreifbar als OAuth.

Zitat von Veteran

Das hat nichts mit schlechter Stimmung gegen Googles Änderungen zu tun.

Die Art, wie du hier ständig bei jeder Gelegenheit gegen OAuth schreibst, lässt kaum einen anderen Schluss zu.

Nur der Vollständig halber. Dieses Token ist jenes, das ich bisher der Einfachheit halber unter Benutzername/Passwort geführt habe. Es ist im Prinzip auch genau das. Löscht man es aus dem Passwortspeicher, muss man sich neu anmelden. Wie bei einem normalen Paswort auch.

Es hat nichts mit den Tokens zu tun, die dann das eigentliche OAuth ermöglichen, sprich das Nutzen dieser Anmeldung für weitere Dienste. Die dafür nötigen Tokens werden zwischen den beteiligten Servern ausgetauscht.

Nachtrag: Jetzt hätte ich beinahe das Wichtigste vergessen. Dieses Benutzertoken aus dem Passwortspeicher lässt sich natürlich nicht einfach auf einen anderen Rechner übertragen. Das ist ein wesentlicher Unterschied zu einem normalen Passwort. Man kann es nicht einmal auf demselben Rechner in eine anderes OS übertragen. Das hier

Zitat von Veteran

Danach kann jeder im Besitz des Tokens auf das Konto zugreifen.

Ist und bleibt falsch. Und wieder gilt: Das hättest du einfach vorher mal testen sollen, anstatt hartnäckig weiterhin die Unwahrheit zu behaupten.

Moin,

Jeanne kannst Du bitte richtig zitieren?! Nicht nur das es dir die Arbeit erleichtert, es hilft auch den Lesern beim Verständnis. Genauso solltest Du bedenken, das mit "@VE" du niemandem hinterm Busch hervorlockst... nur @Veteran klappt. (Sorry Veteran das Du dafür herhalten mußt )

BTT:

Zitat von Jeanne

"App Passwort"=jene Eingabe, die beim Tb-Start zu machen ist?

Das kommt drauf an, wenn du keine Paßwörter speicherst aber beim Start von TB die Mails abrufst dann mußt Du evtl. das App-Paßwort eingeben...

Zitat von Jeanne

Testhalber Kekse erlaubt, half nix. Dann OAuth gesetzt, ....

Für Anmeldung ohne OAuth2 brauchst du keine Cookies...

Zitat von Jeanne

Testhalber Kekse erlaubt, half nix. Dann OAuth gesetzt, Fenster ging auf, für Gmailpassworteingabe. Beliess es damit, nicht eingegeben. Ist ausserdem die Rufnummer anzugeben?

Die Rufnummer muß man für OAuth2 nicht angeben bei Google, wie kommst du auf die Idee...

Zitat von Jeanne

Wo sind die Kekse gespeichert, was beinhalten diese, was verraten sie Google?

Wie Susi to visit sehr ausgiebig geschrieben hat, für die erstmalige Anmeldung mit Oauth2 sind Cookies nötig, nur dann kann daraus der Token-Kram erstellt werden und dann sind erst mal keine Cookies mehr nötig, wie MSFreak gezeigt hat. Diese Cookies beinhalten Informationen damit der OAuth2 Token gebildet wird... da er danach nicht gebraucht wird sollte dieser eigentlich von alleine gelöscht werden... das ist kein Cookie zum Tracking, (da er ja gelöscht wird).

Aber gut - wenn du wirklich wissen willst was in den OAuth2 Anmeldecookies steht dann mußt Du wirklich tief ins Anmeldeverfahren gucken, halte ich für nicht sinnvoll, die Anmeldecookies beinhalten nicht wesentlich mehr Daten als das was du Google selbst verraten hast.

Grüße dErzOnk

Einmal kurz nachgedacht: Wenn man sich anmeldet, ist man identifiziert. Das ist ja gerade der Sinn der Sache. Da braucht Google dann logischerweise kein Tracking-Cookie mehr. Die wissen dann ja, wer sich angemeldet hat.