Sicherheit

Share Auth speichert Geheimnisse, die Konten öffnen. Diese Seite beschreibt, wie sie bei jedem Schritt geschützt werden und was das Werkzeug nicht garantieren kann.

Die Seeds bleiben verschlüsselt

Ein TOTP-Seed wird vor dem Speichern mit AES-256 verschlüsselt, mit einem anwendungseigenen Schlüssel, der nicht in der Datenbank liegt. Entschlüsselt wird er nur im Arbeitsspeicher, in dem Moment, in dem ein Code berechnet wird, und die API, die Browsererweiterung oder der MCP-Konnektor geben ihn nie zurück: Sie erhalten nur den aktuellen Code.

Jedes Team ist abgeschottet

Ein Geheimnis gehört zu einem Team. Jede Anfrage prüft, ob es zum aktiven Team der Person gehört, und dann, ob ihre Rolle die angeforderte Aktion erlaubt:

• Leser: Codes ansehen und kopieren, ohne den Seed zu sehen;
• Bearbeiter: Geheimnisse hinzufügen und ändern und ihren Seed sehen;
• Administrator: all das, dazu das Löschen und die Abrechnung;
• Eigentümer: alle Rechte, darunter Mitglieder, Abrechnung und Zugriffsprotokoll.

Die Grenzen Ihres Tarifs gelten zusätzlich, ohne dass je etwas gelöscht wird.

Jeder herausgegebene Code wird protokolliert

Das Zugriffsprotokoll hält fest, wer welchen Code wann und über welchen Kanal erhalten hat: Website, API, Slack, Discord oder Microsoft Teams, bei Website und API mit der IP-Adresse. Es ist dem Eigentümer vorbehalten. Wiederholte Abrufe desselben Geheimnisses durch dieselbe Person werden über fünf Minuten zusammengefasst, damit eine offen gelassene Seite den Verlauf nicht überflutet.

Die Messaging-Bots

Jeder Aufruf eines Bots wird über die Signatur der Plattform (Slack, Discord oder Microsoft Teams) authentifiziert, und die Zahl der Befehle pro Person ist begrenzt. Nur der Eigentümer kann eine Integration anlegen, und er kann sie jederzeit deaktivieren.

Eine Integration öffnet den Zugriff für den gesamten verbundenen Arbeitsbereich: Die Plattform belegt, woher der Befehl kommt, nicht welches Share-Auth-Konto ihn auslöst, deshalb gelten die Rollen des Teams dort nicht. Die Einschränkungen pro Kanal begrenzen die Geheimnisse, die jeder Kanal erhalten kann. Jeder von einem Bot herausgegebene Code erscheint im Protokoll, mit dem von der Plattform übermittelten Namen.

Die Konten sind geschützt

• Zwei-Faktor-Authentifizierung Ihres Share-Auth-Kontos per TOTP-App, mit Wiederherstellungscodes.
• Ohne Authenticator-App muss jeder neue Browser per E-Mail bestätigt werden, per Link oder per Code. Ein bestätigter Browser wird 30 Tage lang wiedererkannt.
• Bevor ein neues Gerät verbunden wird, etwa die Browsererweiterung, wird das Passwort erneut abgefragt.

API-Tokens sind begrenzt

Ein Token hat genau die bei seiner Erstellung gewählten Berechtigungen: Ein Token, das Codes auflistet und liest, kann nichts ändern. Es gilt 1, 7, 30 oder 90 Tage, lässt sich in Ihrem Profil widerrufen, und die API begrenzt jeden Nutzer auf 60 Anfragen pro Minute.

Hosting und Übertragung

Die Daten werden in Frankreich gehostet. Alles läuft über HTTPS, mit HSTS, und die Seiten der Anwendung, die Geheimnisse anzeigen, werden nie zwischengespeichert. Die Einzelheiten zu den Dienstleistern stehen in der Datenschutzerklärung.

Was Share Auth nicht tut

Share Auth teilt 2FA-Codes. Es ersetzt weder einen Passwortmanager noch eine Strategie für das Identitätsmanagement, und es schützt kein Konto, dessen Passwort bereits die Runde macht. Halten Sie die Liste Ihrer Bearbeiter kurz: Sie sind es, die die Seeds sehen können.