Passwörte in Firefox gegen Auslesen schützen

[Hobbycoder]

Hi,

aus gegebenen Anlass stehe ich vor einem Problem. Unsere Mitarbeiter im Ausland müssen sich über verschiedene Benutzer und Passwörte an einigen Internetseiten anmelden. Nun sollen diese Mitarbeiter aber die Kennwörter selbst nicht kennen, da wir verhindern wollen, dass sie sich von Zuhause anmelden und ggf. Daten exportieren. Aus technischen Gründen müssen wir Firefox verwenden.

Bisher haben wir die Passwörter mit einem Masterpasswort abgesichert und über die userChrome.css das Einstellungsmenu und die Möglichkeit sich das Passwort im Formular anzeigen zu lassen entfernt. Doch seit dem letzten Firefoxupdate kann man sich plötzlich das Passwort wieder im Formular anzeigen lassen, außerdem hätte der User die Möglichkeit die userChrome.css manuell zu entfernen (das könnte man ggf. noch anders absichern). Also suchen wir jetzt nach anderen Möglichkeiten.

Ich habe mir jetzt verschiedene Passwort-Safe-Programme angesehen. Jedoch haben diese die Schwachstelle, dass man sich am Passwort-Safe-Programm ja anmelden muss, und dann dort auch wieder die Passwörter für die Logins einsehen kann. Ich habe noch keines gefunden, wo ich unterschiedliche Admin-User-Zugänge vernüftig verwalten kann.

Selber was Programmieren wollte ich nicht, weil a) ich mit nicht erst in die Addon-Entwicklung für Firefox einarbeiten will (aus Zeitgründen) und b) die Firefox-Steuerung mittels externem Programm auch nicht so ganz trivial ist.

Meine Fragen:
- Kennt jemand ein AddOn, welches den Zugriff auf die in Firefox gespeicherten Kennwörte wirklich wirksam unterbindet?
- Kennt jemand ein Programm, welches als externer Passwort-Safe funktioniert, aber dem Benutzer nicht erlaubt die Kennwörter auszulesen? (Wir wollen die auch nicht in einer Cloud ablegen)
- Hat jemand ein änliches Problem und wir habt ihr das gelöst?

[Sherlock]

Ihr verfolgt den falschen Ansatz mit Eurem Sicherheitskonzept. Die Passwort DB eines Browser soll ja vom Benutzer verwaltet werden können. Erlaubt den Zugriff lieber nur von bestimmten IPs aus.

Sherlock

[Moombas]

Also, ich sehe keinen Weg ohne

Zitat:

Selber was Programmieren wollte ich nicht, weil a) ich mit nicht erst in die Addon-Entwicklung für Firefox einarbeiten will (aus Zeitgründen) und b) die Firefox-Steuerung mittels externem Programm auch nicht so ganz trivial ist.

[Hobbycoder]

Zitat:

Zitat von Sherlock (Beitrag 1450936)

Ihr verfolgt den falschen Ansatz mit Eurem Sicherheitskonzept. Die Passwort DB eines Browser soll ja vom Benutzer verwaltet werden können.

Sherlock

Schon klar. Deswegen auch die Überlegung mit einem Password-Safe-Programm. Nur wie gesagt, das ganze macht nur Sinn, wenn das Passwort dem Benutzer nicht als Klartext angezeigt werden kann (Was leider bei allen Programmen, die ich bis jetzt gesehen habe, nicht möglich ist)

Zitat:

Zitat von Sherlock (Beitrag 1450936)

Erlaubt den Zugriff lieber nur von bestimmten IPs aus.

Sherlock

Können wir nicht. Die Webseiten, auf denen sich die Mitarbeiter einloggen müssen, unterliegen nicht unserer Kontrolle.

[Luckie]

Von bestimmten IPs nicht auf bestimmte IPs.

[Hobbycoder]

Zitat:

Zitat von Luckie (Beitrag 1450957)

Von bestimmten IPs nicht auf bestimmte IPs.

Wie meinst du das?

Mal ein Beispiel: Der Mitarbeiter soll sich tagsüber bei der Delphi-Praxis mit einem bestimmten Login anmelden. Wie will ich nun verhindern, dass er das nicht auch von Zuhause tut (mit meinen Anmeldedaten). Ich könnte ihm das Kennwort nicht geben, sondern micht morgens für ihn anmelden, so dass er den ganzen Tag damit arbeiten könnte. Nun bin ich aber nicht jeden Tag im Büro, oder nicht immer vor Ihm da.
Also suche ich nach einer Möglichkeit ihm den Login auf eine Internetseite zu ermöglichen ohne dass er das Kennwort kennen soll bzw. es auslesen können soll.

[TBx]

Davon abgesehen, dass ich das ganze Ansinnen etwas fragwürdig finde, denke ich, dass du das nur mit einem Proxy wirst lösen können. Dieser Proxy muss dann auf die einzelnen Seiten so programmiert werden, dass er sich automatisch anmeldet.

[Luckie]

Du erlaubst nur das Einloggen mit IPs aus eurem Firmennetz.

[ConstantGardener]

@Luckie

Zitat:

Können wir nicht. Die Webseiten, auf denen sich die Mitarbeiter einloggen müssen, unterliegen nicht unserer Kontrolle.

[/QUOTE]

[Luckie]

Was willst du mir damit sagen? Wenn eigene IP nicht x, dann kein einloggen auf Seite mit IP y. Die IP Adresse der Zielseite ist unerheblich. Es kommt nur auf die eigene IP an.

[ConstantGardener]

....wer soll die eigene IP auf einem privaten Rechner prüfen bzw. das einloggen verhindern wenn der Nutzer das Passwort vom Screen in der Firma abgeschrieben hat?

[Hobbycoder]

Zitat:

Zitat von TBx (Beitrag 1450962)

Davon abgesehen, dass ich das ganze Ansinnen etwas fragwürdig finde, denke ich, dass du das nur mit einem Proxy wirst lösen können. Dieser Proxy muss dann auf die einzelnen Seiten so programmiert werden, dass er sich automatisch anmeldet.

Was ist daran bitte fragwürdig?
Stell dir Mal vor du hättest eine Firma, die im Kundenauftrag mit den Daten des Kunden etwas verarbeiten soll. Diese Daten bekommst du über eine Weboberfläche, welche aber über das ganz normale Internet zu erreichen ist.
Du musst also deine Angestellten diesen Zugang zur Verfügung stellen.
Wenn du denen aber Benutzernamen und Kennwort zugänglich machst, kannst du nicht sicherstellen dass diese nicht auch zu Hause nutzen um z.B. Daten listenweise auszulesen.
Genau das wollen wir ausschließen.

Was ist also hinsichtlich des Datenschutzes daran fragwürdig?

[Hobbycoder]

Zitat:

Zitat von ConstantGardener (Beitrag 1450969)

....wer soll die eigene IP auf einem privaten Rechner prüfen bzw. das einloggen verhindern wenn der Nutzer das Passwort vom Screen in der Firma abgeschrieben hat?

Du hast verstanden was ich meine.

[Luckie]

Ok, eventuell ist meine Idee technisch nicht ausgereift.

Aber soll hier nicht ein ein soziales Problem technisch gelöst werden? Wenn ihr euren Mitarbeitern nicht traut, warum haben sie denn dann die Möglichkeit? Als ich an der Berufsschule als Hilfe des Admins angefangen habe, hatte ich vom ersten Tag alle Adminpasswörter und alle Schlüssel.

Aber da ich es auch hasse, wenn jemand ankommt: "Warum nutzt du nicht das und das", verlasse ich besser die Diskussion. ;-)

[ConstantGardener]

Zitat:

Aber soll hier nicht ein ein soziales Problem technisch gelöst werden?

:thumb:

[Moombas]

Zitat:

Zitat von ConstantGardener (Beitrag 1450974)

Zitat:

Aber soll hier nicht ein ein soziales Problem technisch gelöst werden?

:thumb:

Schwarze Schafe gibt es überall... in meiner alten Firma auch nach über 10 Jahren Beschäftigung ist jemand zum "schwarzen Schaf" geworden...

Was spricht generell dagegen so etwas absichern zu wollen? Es sorgt nicht nur intern für mehr Sicherheit, auch Kunden kann man dies dann als Sicherheitsmerkmal in der eigenen Firma mitgeben = mehr Vertrauen für den Kunden...

Aber nun hört mal auf mit dem OT, die Sinnhaftigkeit zu Diskutieren, denn wenn alle Menschen auf dieser Welt vertrauenswürdig wären, bräuchten wir keine Passwörter...

Helft lieber dem TE beim finden einer Problemlösung, denn dafür steht die DP und nicht für unsinnige Diskussionen!


Ich bleibe bei der Meinung, das ihr nicht umhin kommt euch mit den Addons oder der API vom Browser zu befassen. Denn wenn euch die Sicherheit wirklich so wichtig wäre, sind folgende Argumente vollkommen egal:

Zitat:

a) ich mit nicht erst in die Addon-Entwicklung für Firefox einarbeiten will (aus Zeitgründen) und b) die Firefox-Steuerung mittels externem Programm auch nicht so ganz trivial ist.

[Hobbycoder]

Danke für eure Unterstützung.
In der Tat hatte ich mir eine Antwort erhofft, die "Nimm doch dieses Programm" lautet o.ä.

Zitat:

Zitat von Moombas (Beitrag 1450980)

Schwarze Schafe gibt es überall... in meiner alten Firma auch nach über 10 Jahren Beschäftigung ist jemand zum "schwarzen Schaf" geworden...

Was spricht generell dagegen so etwas absichern zu wollen? Es sorgt nicht nur intern für mehr Sicherheit, auch Kunden kann man dies dann als Sicherheitsmerkmal in der eigenen Firma mitgeben = mehr Vertrauen für den Kunden...

So sieht's aus. Ich habe das bei einem Kunden erlebt, als eine langjährige Mitarbeiterin als Antwort auf ihre betriebsbedingte Kündigungen erstmal ganze Netzlaufwerke gelöscht hat. Wenn die noch Zugriff auf Online-Daten gehabt hätte, hätte sie davor auch nicht halt gemacht.

Zitat:

Zitat von Moombas (Beitrag 1450980)

Ich bleibe bei der Meinung, das ihr nicht umhin kommt euch mit den Addons oder der API vom Browser zu befassen. Denn wenn euch die Sicherheit wirklich so wichtig wäre, sind folgende Argumente vollkommen egal:

Nachdem ich nun weiß, dass eine weitere Suche wahrscheinlich nicht den gewünschten Erfolg liefert, muss ich mich wohl oder übel damit auseinandersetzen. Hat einer da ggf. eine gute Referenzseite für das Thema FF+Api. Ich muss quasi auf eine laufende Instanz von FF und die aktuelle Webseite zugreifen umd dann Benutzernamen und Kennwort eintragen.

[Aviator]

Zitat:

Zitat von Hobbycoder (Beitrag 1450993)

Ich muss quasi auf eine laufende Instanz von FF und die aktuelle Webseite zugreifen umd dann Benutzernamen und Kennwort eintragen.

Dann hast du aber auch schon das nächste Problem. Du müsstest dann auch noch die Developer Tools des Browsers sperren. Denn man kann ein Passwort Feld auch einfach zu einem Text Feld umfunktionieren und dann das Passwort im Klartext lesen.

[DieDolly]

Zitat:

Unsere Mitarbeiter im Ausland müssen sich über verschiedene Benutzer und Passwörte an einigen Internetseiten anmelden. Nun sollen diese Mitarbeiter aber die Kennwörter selbst nicht kennen, da wir verhindern wollen, dass sie sich von Zuhause anmelden und ggf. Daten exportieren. Aus technischen Gründen müssen wir Firefox verwenden.

Das klingt für mich nach Vertrauen in die Mitarbeiter. Sowas gehört meiner Meinung nach vertraglich oder sonst wie geregelt aber nicht über solche fast schon ich traue meinen Mitarbeitern nicht-Methoden.

[Moombas]

"Vertrauen ist gut, Kontrolle ist besser"... leider kann das beste Vertrauen immer mal wieder erschüttert werden...

[Delbor]

Hi Hobbycoder

Wie wärs denn mit zwei-Wege-Identifizierung?

Gruss
Delbor

[hoika]

Halo,
die Seite ist doch nicht von ihm ...
so hatte ich das verstanden

[Delbor]

Hi Hoika

Das sind Seiten seiner Kunden, das ist schon klar - aber es sagt nichts über die Server aus, die diese Seiten ausliefern. Die können von ihm sein, oder man kann mit ihnen kommunizieren. Zum Bleistift über Com.

Mir fällt aber auch auf: diese Webseiten sind offenbar mit diesem spezifischen Inhalt nur über die Firmenwebseite (oder über das spezifische Passwort(?)) erreichbar - es sei denn, man hat die Passwörter der Firma. Und das heisst dann: übeer neu generierte Passwörter kann man sich zwar auf den Kundenwebseiten einloggen, nicht aber in die Seite mit den spezifischen Daten. Das versteh ich jetzt so, dass da ein individuell programmierter Webserver werkelt, und der sollte das können.

Gruss
Delbor

[TBx]

Zitat:

Zitat von TBx (Beitrag 1450962)

Davon abgesehen, dass ich das ganze Ansinnen etwas fragwürdig finde,

Zitat:

Zitat von Hobbycoder (Beitrag 1450970)

Was ist daran bitte fragwürdig?

Die Antwort:

Zitat:

Zitat von Luckie (Beitrag 1450973)

Aber soll hier nicht ein ein soziales Problem technisch gelöst werden?

Natürlich kann ich dich dennoch verstehen. Wenn du das sicher implementieren willst, bleibt dir nicht viel anderes, als dies:

Zitat:

Zitat von TBx (Beitrag 1450962)

denke ich, dass du das nur mit einem Proxy wirst lösen können. Dieser Proxy muss dann auf die einzelnen Seiten so programmiert werden, dass er sich automatisch anmeldet.

Damit wärst du dann völlig sicher vor Ausspähung, da die Daten gar nicht auf dem Rechner des Anwenders landen.

[p80286]

Zitat:

Zitat von Luckie (Beitrag 1450973)

Aber soll hier nicht ein ein soziales Problem technisch gelöst werden? Wenn ihr euren Mitarbeitern nicht traut, warum haben sie denn dann die Möglichkeit?

Nun wenn Du über den Europäischen Rahmen hinaus denken mußt, ist das kein soziales Problem mehr.
Wir hatten das über rel. Aufwendige Berechtigungen innerhalb der DB lösen müssen.

Und ob das erfolgreich war.....

Gruß
K-H