Ist Novaz Authenticator sicher? Schutz für 2FA-Schlüssel

Diese Seite beschreibt Version 1.0.5 der App, geprüft anhand ihres Codes. Wenn sich hier etwas ändert, aktualisieren wir die Seite und das Datum oben. Wie die App und diese Website mit deinen Daten umgehen, steht in der Datenschutzrichtlinie.

Wo deine Einrichtungsschlüssel gespeichert werden

Jedes Konto, das du hinzufügst, hat einen Einrichtungsschlüssel, das Geheimnis, aus dem deine Codes berechnet werden. Novaz speichert die Schlüssel im Schlüsselbund des iPhone (Keychain), mit der Schutzklasse AfterFirstUnlockThisDeviceOnly. In der Praxis heißt das:

Nur dieses Gerät. Die Hauptkopie deiner Schlüssel wird nicht über den iCloud-Schlüsselbund synchronisiert. Sie wird weder per Schnellstart übertragen noch, wenn du ein iPhone-Backup auf einem anderen iPhone wiederherstellst. Um deine Konten auf ein neues iPhone mitzunehmen, nutze eines der optionalen Backups unten. Siehe So überträgst du deine Authenticator-App auf ein neues iPhone.
Nach dem ersten Entsperren. Nach einem Neustart können die Schlüssel erst gelesen werden, wenn du das iPhone einmal entsperrt hast. Anders als Einträge mit der Kennzeichnung „wenn Code festgelegt“ bleiben die Schlüssel auch erhalten, wenn du den Code deines iPhone ausschaltest.
Nicht auf unseren Servern. Es gibt kein Novaz-Konto und keinen Server, der deine Schlüssel speichert. Wir könnten deine Schlüssel oder Codes nicht sehen, selbst wenn wir wollten.

Auch die Einstellungen der App, etwa der Countdown-Stil und ob die App-Sperre an ist, werden auf dem Gerät gespeichert.

Backups (optional)

Nichts verlässt dein iPhone, solange du keines davon unter Backup in den Einstellungen aktivierst:

iCloud-Backup (PRO). Novaz speichert eine Kopie deiner Konten als separaten Eintrag im iCloud-Schlüsselbund, den Apple durchgehend (End-to-End) verschlüsselt und mit deinen Geräten synchronisiert, die mit derselben Apple-ID angemeldet sind. Der iCloud-Schlüsselbund muss eingeschaltet sein. Auf einem neuen iPhone bietet der leere Bildschirm Codes die Option Aus iCloud wiederherstellen an. Die Wiederherstellung funktioniert auch in der kostenlosen Version. Wenn du das iCloud-Backup ausschaltest, wird diese Kopie auf all deinen Geräten aus iCloud gelöscht. Die Codes auf deinem iPhone bleiben erhalten.
Backup-Datei (kostenlos). In Datei exportieren … speichert deine Konten in einer Datei, die mit einem Passwort deiner Wahl verschlüsselt ist, das mindestens 8 Zeichen lang ist. Die Datei wird mit AES-256-GCM verschlüsselt, mit einem Schlüssel, der aus deinem Passwort mit PBKDF2-HMAC-SHA256 und 600.000 Runden abgeleitet wird. Du entscheidest, wo die Datei landet, zum Beispiel in Dateien oder per AirDrop. Aus Datei importieren … liest sie wieder ein, nachdem du das Passwort eingegeben hast. Wir können die Datei nicht öffnen und das Passwort nicht wiederherstellen.

Apple Watch, Widgets und automatisches Ausfüllen (optional, PRO)

Diese Funktionen sind ausgeschaltet, bis du sie in den Einstellungen aktivierst. Jede gibt deine Codes an einen anderen Teil des Systems weiter:

Codes auf der Apple Watch anzeigen sendet deine Konten an Authenticator auf deiner gekoppelten Apple Watch. Dort werden sie im Schlüsselbund der Watch gespeichert und durch den Code der Watch geschützt.
Codes in Widgets anzeigen schreibt deine Konten in einen Schlüsselbundeintrag, den die App mit ihren Widgets teilt, gekennzeichnet mit „nur dieses Gerät“. Codes in Widgets sind sichtbar, ohne dass du die App entsperrst. Auf dem Sperrbildschirm bleiben sie verborgen, bis du dein iPhone entsperrst.
Codes automatisch ausfüllen erlaubt iOS, dir deine Codes anzubieten, wenn eine Website oder App nach einem fragt. Wenn die App-Sperre an ist, verlangt Novaz Face ID oder deinen Code, bevor ein Code ausgefüllt wird.

Wenn du eine dieser Funktionen ausschaltest, wird die Kopie gelöscht, die sie verwendet hat.

Wie Codes erzeugt werden

Codes werden auf deinem iPhone mit dem standardisierten Algorithmus für zeitbasierte Einmalpasswörter berechnet (TOTP, RFC 6238). Der HMAC stammt aus Apples CryptoKit. Novaz unterstützt:

SHA-1, SHA-256 und SHA-512,
Codes mit 6 bis 8 Ziffern,
Intervalle von 1 bis 300 Sekunden.

Einrichtungslinks, die etwas außerhalb dieser Bereiche verlangen, werden abgelehnt, statt gespeichert zu werden. Zählerbasierte Codes (HOTP) und MD5 werden nicht unterstützt.

App-Sperre

Die App-Sperre ist optional. Novaz bietet sie an, wenn du die App zum ersten Mal öffnest. Später kannst du sie mit App sperren unter Sicherheit in den Einstellungen aktivieren und die Methode unter Entsperren mit auswählen.

Der Bildschirm beim ersten Start „Wähle, wie du die App entsperrst“, mit ausgewählter Face ID und „Sechsstelliger App-Code“ als zweiter Option — Die Auswahl der Sperre, die Novaz beim ersten Start anbietet

Face ID oder Touch ID nutzt Apples Framework LocalAuthentication. Novaz sieht nie die Daten deines Gesichts oder Fingerabdrucks, sondern nur, ob die Prüfung erfolgreich war. Ohne App-Code ist der Code deines iPhone die Ausweichmöglichkeit. Wenn du einen sechsstelligen App-Code festlegst, wird stattdessen dieser zur Ausweichmöglichkeit.
Der sechsstellige App-Code wird nie gespeichert. Novaz bewahrt einen PBKDF2-HMAC-SHA256-Hash davon mit zufälligem Salt und 100.000 Runden im Schlüsselbund dieses Geräts auf. Der langsame Hash macht es aufwendig, den Code aus einer Kopie dieses Eintrags zu erraten.
Falsche Codes lösen Wartezeiten aus, die immer länger werden: 30 Sekunden nach dem fünften falschen Versuch, dann 1 Minute, 5 Minuten, 15 Minuten und ab dem neunten Versuch 1 Stunde. Die Anzahl der Versuche wird im Schlüsselbund gespeichert, sodass das Schließen der App sie nicht zurücksetzt.
Entsperren verlangen. Wähle in den Einstellungen Sofort, Nach 1 Minute oder Nach 5 Minuten: wie lange du die App verlassen kannst, bevor sie sich wieder sperrt.
Code vergessen. Novaz speichert den Code selbst nie, kann ihn dir also weder anzeigen noch irgendwohin senden. Wenn du Face ID mit dem Code als Ausweichmöglichkeit nutzt, öffnet Face ID die App weiterhin.
App-Umschalter. Wenn die App in den Hintergrund wechselt, wird ihr Bildschirm abgedeckt, sodass im App-Umschalter keine Codes zu sehen sind.
Codes bis zum Tippen verbergen. Wenn diese Option (unter Sicherheit in den Einstellungen) aktiviert ist, werden Codes als Punkte angezeigt, bis du auf sie tippst, und wieder verborgen, wenn du die App verlässt.

Die Zwischenablage

Wenn du einen Code kopierst, legt Novaz ihn mit zwei Einschränkungen in die Zwischenablage:

er läuft ab, sobald der Code nicht mehr gültig ist, und
er bleibt lokal, sodass die Universelle Zwischenablage ihn nicht an deine anderen Apple-Geräte sendet.

Kamera und Fotos

Kamera. Die Kamera wird nur verwendet, solange der Bildschirm QR-Code scannen geöffnet ist, um QR-Codes zur Einrichtung zu lesen. Dabei wird nichts aufgezeichnet oder gespeichert.
Fotos. Novaz fragt nicht nach Zugriff auf deine Fotomediathek. Wenn du ein Bildschirmfoto auswählst, gibt die Fotoauswahl von iOS der App nur dieses eine Bild. Die App liest daraus den QR-Code und behält sonst nichts.

Netzwerkanfragen der App

Novaz funktioniert offline. Codes brauchen keine Verbindung. Wenn die App online ist, stellt sie diese Anfragen:

Anfrage	Wozu	Was gesendet wird
Eine `HEAD`-Anfrage an `https://www.apple.com/`	Um die aktuelle Uhrzeit aus der Antwort abzulesen und dich zu warnen, wenn die Uhr deines iPhone falsch geht. Wenn du die App öffnest oder zu ihr zurückkehrst, höchstens einmal alle 10 Minuten.	Eine leere Anfrage ohne Daten über dich oder deine Konten.
`https://novaz.app/apps.json`, Apples `itunes.apple.com/lookup` und die App-Symbole von Apples Bildservern	Um andere Novaz-Apps unter Weitere Apps aufzulisten, wenn du die Einstellungen öffnest, höchstens alle 6 Stunden.	Nur übliche Anfragedaten. Deine Konten sind nicht beteiligt.
Seiten auf `novaz.cc`	Nur wenn du in den Einstellungen auf Anleitungen, Support, Datenschutzrichtlinie oder Nutzungsbedingungen tippst. Sie öffnen sich in einem Browser innerhalb der App.	Übliche Daten einer Webanfrage.
iCloud-Schlüsselbund, betrieben von Apple	Nur wenn du das iCloud-Backup aktivierst. Apple synchronisiert das verschlüsselte Backup zwischen deinen Geräten.	Dein Backup, von Apple durchgehend (End-to-End) verschlüsselt. Wir erhalten es nie.
Der App Store, über StoreKit	Um Preise anzuzeigen und das PRO-Abo abzuwickeln.	Wird von Apple abgewickelt. Wir sehen deine Zahlungsdaten nie.

Die App enthält keine Analyse-, Werbe- oder Tracking-SDKs. Ihr Datenschutzetikett im App Store lautet „Keine Daten erfasst“.

Wogegen Novaz nicht schützen kann

Wenn du die Grenzen kennst, kannst du besser entscheiden, wie du die App nutzt:

Verlust deines iPhone ohne jedes Backup. Schlüssel werden nie an uns gesendet, also haben wir nichts, was wir wiederherstellen könnten. Aktiviere das iCloud-Backup oder bewahre eine Backup-Datei auf, und speichere zusätzlich die Backup-Codes jedes Dienstes an einem anderen Ort.
Ein schwaches Backup-Passwort. Wer deine Backup-Datei hat und ihr Passwort errät, kann deine Schlüssel lesen. Verwende ein langes Passwort, das du nirgendwo sonst nutzt.
Jemand, der dein iPhone entsperren kann. Ist die App-Sperre aus, kann diese Person die App öffnen und deine Codes lesen. Die App-Sperre verhindert einen schnellen Blick, ersetzt aber keinen iPhone-Code, den nur du kennst.
Ein kompromittiertes Gerät. Auf einem iPhone mit Jailbreak oder mit Schadsoftware, die Systemzugriff hat, kann keine App versprechen, ihre Daten privat zu halten.
Phishing. Eine gefälschte Anmeldeseite kann nach deinem aktuellen Code fragen und ihn sofort verwenden. Prüfe immer, ob du auf der echten Website bist, bevor du einen Code eingibst.

Ein Sicherheitsproblem melden

Wenn du glaubst, eine Sicherheitslücke in der App oder auf dieser Website gefunden zu haben, schreib an support@novaz.app mit „Sicherheit“ im Betreff. Bitte gib uns die Gelegenheit, sie zu beheben, bevor du Details veröffentlichst. Unsere security.txt nennt denselben Kontakt.