beim Anschauen einiger APIs für Dienste im Internet (Auktionsplattformen, Geldanlage, Girokonto, Versionsverwaltung, ...) gibt es zwar eine Dokumentation für viele API-Funktionen, aber es fehlt immer die Konto-Verwaltung. Man kann zwar Profileinträge programmatisch ändern, aber z. B. nicht das Passwort. Den Nutzernamen ändern, einen neuen Account anlegen, 2FA einrichten, alles das geht nicht über die offizielle API.
Warum lassen die gerade das weg?
Ich fände es viel sicherer, wenn mein Passwortmanager sich würde z. B. einmal im Monat bei allen Diensten einloggen und dort das Passwort ändern. Der normale Login würde auch direkt vom Passwortmanager durchgeführt werden. So würde nie irgendwo ein Passwort angezeigt oder eingegeben werden. Es könnte so auch nicht abgefisht werden.
2FA per API anlegen widerspricht dem Sinn von 2FA, weil dann ja garantiert der Zweite Faktor im selben Passwortmanager wie der erste liegt.
Namen Ändern bei einer Bank ist eine Sache wo nach diversen Geldwäsche-Gesetzen usw. wohl vorher der Name auf deinem Perso geändert werden sollte.
Erzwungenes Passwort-Ändern ist unsicher, und nach den aktuellen BSI-Regeln ist das Erzwingen von regelmäßigen Passwort-Änderungen eine schwere Sicherheitslücke, die unbehoben dem entsprechenden Anbieter wohl seine Zertifizierungen kostet, wenn er denn welche hatte.
Ich fände es viel sicherer, wenn mein Passwortmanager sich würde z. B.
einmal im Monat bei allen Diensten einloggen und dort das Passwort
ändern. Der normale Login würde auch direkt vom Passwortmanager
durchgeführt werden. So würde nie irgendwo ein Passwort angezeigt oder
eingegeben werden. Es könnte so auch nicht abgefisht werden.
Eine sich periodisch wiederholende Abfrage ist der Garant dafür das man Dinge abfischen kann. Was denkst du wie dein "Passwortmanager" arbeitet? Er übermittelt das Passwort...
Solch eine Thematik hat selbst Enigma einst den Hals gebrochen.
nach den aktuellen
BSI-Regeln ist das Erzwingen von regelmäßigen Passwort-Änderungen eine
schwere Sicherheitslücke, die unbehoben dem entsprechenden Anbieter wohl
seine Zertifizierungen kostet, wenn er denn welche hatte.
Falls du bei der Platform selbst per OpenID oder Oauth oder WebID oder DID dein eigener Identity Provider sein kannst, kannst du für solche Sachen APIs selbst machen.
PS: Ja, mittlerweile gibt es viel zu viele Standards. Sie haben nicht alle den gleichen Anwendungsbereich, aber sie sind alle überverkompliziert.
Ich kann da aber keine "schwere Sicherheitslücke" von ableiten.
Der Text spricht eindeutig von SOLLTE und nicht MUSS oder wenigstens
MÜSSTE...
Hast du mal so ein IT-Sicherheits-Audit mitgemacht?
Wenn du irgendwie von den "SOLL"-Bestimmungen abweichst, kriegt der Auditor ganz feuchte Augen, weil er sein Honorar gerade um mehrere k€ wachsen sieht. Und dann fordert er erstmal ein paar Akten-Meter an, wie du zu der Entscheidung gekommen bist, wer sie Abgesegnet hat, welche Alternativen evaluiert wurden, wie die Entscheidung dokumentiert wurde, wer die Dokumentation kontrolliert und freigegeben hat usw.
Ansonsten sind die "SOLL" Bedingungen in dem Dokument schon recht zwingend...
z.B. "SOLLST" du ein sicheres Verfahren zum Passwort-Reset nutzen.
"MUSST" aber nicht.
Wäre eine Login-Maske die per "Reset"-Knopf jedes beliebige Passwort auf "123456" ändert OK?
Wozu benoetigt man eine API fuer die angefragten Operationen ?
Um schnell und bequem Tausende von Konten zu erzeugen, zu uebernehmen, oder umzukonfigurieren.
Wenn du irgendwie von den "SOLL"-Bestimmungen abweichst, kriegt der
Auditor ganz feuchte Augen, weil er sein Honorar gerade um mehrere k€
wachsen sieht. Und dann fordert er erstmal ein paar Akten-Meter an, wie
du zu der Entscheidung gekommen bist, wer sie Abgesegnet hat, welche
Alternativen evaluiert wurden, wie die Entscheidung dokumentiert wurde,
wer die Dokumentation kontrolliert und freigegeben hat usw.
Die entsprechende Doku hat man natürlich beim Audit bereits vorliegen, weil man den entsprechenden Prozess natürlich evaluiert und ausgearbeitet hat.
Ich kann da aber noch immer keine "schwere Sicherheitslücke" von ableiten.
Und die wäre zusätzlich zum BSI GS im KRITIS Umfeld dann schon doof.
Der BSI GS dreht sich ganz oft um Prozesse und Organisation. Wenn man die halt nicht hat: Dumm gelaufen.
