#1password

The LastPass hack in November was much worse than we were initially led to believe. Catastrophically worse. And it came after an earlier breach last August. The entire situation has been a disaster of opacity, sparse information sharing and the company making efforts to retain business at the expense of user security, which was the only thing we were paying them for.

I’ve just migrated over to 1Password, which was fortunately a very easy process, because now I begin the painstaking and time eating process of updating every password that I haven’t changed since that November breach. Nothing can be assumed safe.

If you stuck with LassPass, you should really change that today. And if you’re an iOS/MacOS premium account holder, demand a refund; if Apple is processing refunds to third-party Twitter app users for something that those companies didn’t do (Twitter shut off their access) then they should certainly do likewise here when the company is wholly at fault.



Mit Zwang in die Cloud

1Password zwingt Nutzer in die Cloud

Weil viele Menschen sich weigern ihre Daten irgendwelchen Clouds anzuvertrauen, kommt nun die Zwangsdigitaliserung. Die neue iPhone- und Android-Version 8 der Passwortverwaltung macht ein Cloud-Abo erforerlich. Alles soll mit 1Password 8 für iOS und Android schneller und besser werden.

Man muss dafür aber einen 1Password-Account in der Cloud haben. Lokale Tresore oder alternative Synchronisationmechanismen sind nicht mehr erlaubt. Schon in der Version 7 war es nicht mehr möglich lokale Tresore neu anzulegen. Für die neue Version gibt es auch keine Möglichkeit mehr die App zu kaufen, es gibt nur noch Abos.

Da können wir nur an die freien und kostenlosen Alternativen wie KeePassX als Passworttresor und VeraCrypt für die Datenscherschlüsselung erinnern. Niemand muss beim Cloud-Wahnsinn mitspielen!

Mehr dazu bei https://www.heise.de/news/Passwortmanager-1Password-8-unterstuetzt-keine-lokalen-Tresore-mehr-7216560.html

Contributors

ddaengsec

btsarmysafety

At System76, we pride ourselves on making computers by nerds, for nerds. Our dedicated group of engineers work hard to create the best solutions for like-minded professionals, including on our website.

Today, we’re happy to announce new security updates for all system76.com accounts in the form of Recognizer, our open source authenticator service. The most notable changes this tool brings are the introduction of two-factor authentication and an upgrade in password hashing to further protect your login credentials. These updates, releasing this Thursday (February 11th 2021), will substantially increase security and make our site more flexible as we grow. Once the update is released, all users will be required to reset their password.

Two-Factor Authentication

Setting up two-factor authentication protects your account in the event that someone gets ahold of your login credentials. Beginning Thursday, February 11th, you can turn on 2FA by signing in to your system76.com account. From there, go to the Account Details page, where you’ll find the Two-Factor Authentication section. Follow the instructions to link your account with your third-party authentication app, such as Google Authenticator or 1Password.

Under the hood, System76 uses the Erlang ‘pot’ library, which generates RFC 6238 time based one-time tokens compatible with these third-party apps. Our authentication system also uses OAuth2.0 and JSON Web Token (JWT), two secure industry standards for authorization flows and communication between systems. The use of OAuth2.0 opens up the door for the potential to sign in with a third party, or even Pop!_OS, using a “Log In with System76” button; though for now, it’s only being used with System76 projects.

Password Hashing

Another piece within Recognizer is the migration to Argon2 password hashing. In addition to sounding delicious, password hashing is a secure way to store passwords for when you want to access your account at login. Passwords are transformed into a long string of characters that cannot be converted back to your actual password. A “salt” is added for further security, which adds a random set of characters to your password hash. This ensures your password is linked solely to your account, even in the event that another account uses the same password as you. Lastly, we increased our password requirements to include a minimum character length, special characters, capital letters, and numbers.

While your passwords have always been stored safely, we’re taking this opportunity to move to a newer and stronger algorithm. We chose Argon2 for its modern hashing technique and resilience to new attack methods. It also has a standard format for storing the hash, salt, and parameters as a single string, making it easy to change hashing options in the future without having to force a password reset. However, because existing passwords are currently hashed using an alternative algorithm, all existing users will need to reset their passwords to migrate their accounts over to this new algorithm on Thursday, February 11th.

Open Source Security Measures

System76 has always led by example with open source solutions. So far, we’ve open sourced our Protobuf messages, our notification microservice, and our Zendesk integration. The newest addition, Recognizer, is written in Elixir, styled in Bulma, and released under a GPLv3 license.

Das Wunder bleibt aus

Keine Ahnung, was mit diesem Tweet gemeint ist, aber selbstgemalte Hashtag-Briefmarke und funktionierende Digitalisierung, das klingt gut und ich habe ein Päckchen zu verschicken. Ich suche nach der DHL-App und kann unter “Post & DHL”, “E-Post”, “Connect – Deutsche Post DHL”, “DHL Connect”, “DHL Logistics”, “DHL Sendungsverfolgung”, “DHL My Truck” und “DHL Scanner” wählen. Die erste App klingt am plausibelsten.

Nach dem Herunterladen muss ich mich anmelden. Ich versuche es mit meinen zwei Standardpasswörtern für nicht sicherheitsrelevante Angebote und scheitere. Vielleicht kennt DHL mich noch gar nicht, denke ich, und lege ein neues Kundenkonto an. Als ich alles eingegeben habe, wird die Registrierung mit dieser Mailadresse abgelehnt. Ich bin wohl doch schon registriert.

Ich sehe in 1Password nach und finde ein überraschend kompliziertes DHL-Passwort, das ich zweimal eingebe. Es ist falsch. Ich wähle “Passwort vergessen” und beschäftige mich ein paar Minuten lang mit etwas anderem, bis der Link zum Zurücksetzen des Passworts ankommt. Diesmal vergebe ich aber wirklich das leicht zu merkende Passwort für nicht sicherheitsrelevante Angebote.

Dann suche ich nach dem Weg zur selbstgemalten Hashtag-Briefmarke: “Versenden” – “Portoberater” – “Versandtasche” – “Deutschland” – “bis 1 kg” – “bis 35 x 25 x 5 cm” – “Nachverfolgbar” – “Marke online kaufen” –AGB bestätigen – “Nächster Schritt” ...

Dieser nächste Schritt führt hierhin:

Meine Bereitschaft, mich mit Registrierungen oder der Wiederherstellung vergessener Passwörter zu befassen, ist für heute aufgebraucht. Außerdem klingt “POSTCARD-Nr” und “POSTCARD-PIN” nach einer Spezialhölle aus den 1990er Jahren, in die ich nicht hinabsteigen will. Ich schließe die App und öffne “DHL Online-Frankierung” auf dem Laptop. Das geht, weil ich mich gerade in einem Haushalt befinde, in dem es einen Drucker gibt. Die Online-Frankierung liefert nichts Betwitternswertes, nur einen undekorativen, mit Paypal bezahlten Barcode zum Ausdrucken und Aufkleben auf mein Päckchen. Aber dafür ganz ohne Anmeldung, und das ist mir für heute Digitalisierungswunderwerk genug.

Update: Etwas später lese ich doch noch nach, was es mit der Hashtagbriefmarke auf sich hat, die offiziell “Mobile Briefmarke” heißt, und erfahre, dass man damit sowieso nur Briefe und Postkarten frankieren kann.

If you use Google, ESPECIALLY if you use Chrome to store passwords... check what devices and apps have access to your account. I’ve spent the past several hours helping shore up the leaks in my family’s internet security, and at this point I’m beyond unimpressed with the process.