Dein Muster entsperrt den Hauptschlüssel. Die Zwei-Faktor-Authentifizierung fügt danach eine zweite Prüfung hinzu. Selbst wenn jemand dein Muster kennt, muss die Person Face ID bestehen, die PIN eingeben oder deinen Hardware-Schlüssel verwenden. Der Tresor öffnet sich erst, wenn beide Prüfungen erfolgreich sind.
Der schnellste zweite Faktor. Dein Gesicht oder Fingerabdruck entsperrt den Tresor in weniger als einer Sekunde. Biometrische Daten verlassen niemals die Secure Enclave deines Geräts.
Am schnellstenEin separater sechsstelliger Code, unabhängig vom iPhone-Code. Ein Geheimnis, das du kennst, ohne biometrische Hardware und unter allen Bedingungen verwendbar.
Am einfachstenEin physischer Hardware-Schlüssel, den du an dein Handy hältst. Selbst wenn dein Handy gestohlen oder mit Malware infiziert wird, bleibt der Schlüssel getrennt. Der einzige Faktor, der überhaupt nicht auf dem Handy liegt. Mehr über YubiKey erfahren.
Am unabhängigstenDie Zwei-Faktor-Authentifizierung in ArkWarden ist kein Anmeldebildschirm mit einem Code aus deiner E-Mail. Sie ist eine zweite Prüfung, die ausgeführt wird, nachdem dein Muster bereits den Hauptschlüssel entsperrt hat. Die Reihenfolge ist wichtig.
Du zeichnest dein Muster. ArkWarden führt die Schlüsselableitung aus, der daraus erzeugte Schlüssel versucht, den Hauptschlüssel zu entschlüsseln, und dieser Vorgang ist entweder erfolgreich oder nicht. Wenn er fehlschlägt, siehst du den Bildschirm für den zweiten Faktor gar nicht, weil es an diesem Punkt keinen Hauptschlüssel zu schützen gibt. So entscheidet die Kryptografie, ob das Muster korrekt war.
Wenn du einen zweiten Faktor eingerichtet hast, zeigt ArkWarden den Tresor noch nicht an. Stattdessen startet die Prüfung des zweiten Faktors:
Der Tresor bleibt gesperrt, bis der zweite Faktor eine erfolgreiche Prüfung meldet. Wenn du abbrichst, die Prüfung fehlschlägt oder die App schließt, kehrst du zum Sperrbildschirm zurück.
Der zweite Faktor ist erfolgreich, der Tresor wird angezeigt und der Hauptschlüssel bleibt im Speicher, bis du die App sperrst oder schließt. Wenn du später zurückkehrst, läuft die vollständige Abfolge von Anfang an erneut. Immer zuerst das Muster, dann der zweite Faktor.
ArkWarden implementiert weder einen eigenen biometrischen Abgleich noch eigene Vergleichslogik oder einen eigenen FIDO-Stack. Jede Methode läuft über Apples Frameworks oder das SDK von Yubico. Wir verwenden die Standards so, wie sie vorgesehen sind, ohne Abkürzungen.
Ein einzelner Faktor ist ein einzelner Schwachpunkt. Zwei Faktoren teilen die möglichen Fehlerquellen auf. Wer dein Muster beobachtet, kommt trotzdem nicht hinein. Ein verlorenes Handy reicht ebenfalls nicht. Beide Faktoren müssen dir gehören.
| Nur Muster | Muster + Face ID | Muster + PIN | Muster + YubiKey | |
|---|---|---|---|---|
| Was du zum Entsperren brauchst | Das Muster | Muster und dein Gesicht | Muster und sechs Ziffern | Muster und der physische Schlüssel |
| Schützt, wenn jemand dein Muster beobachtet | No | Yes | Yes | Yes |
| Funktioniert bei wenig Licht oder mit Maske | Yes | Manchmal nicht | Yes | Yes |
| Der Faktor bleibt von einem geklonten Gerät getrennt | Hängt von der Methode ab | Ja. Biometrie an die Secure Enclave gebunden. | Ja. Die PIN wird nicht auf andere Geräte übertragen. | Ja. Der Hardware-Schlüssel ist ein separates Gerät. |
| Der Faktor befindet sich überhaupt nicht auf dem Handy | No | No | No | Yes |
| Komfort | Am höchsten | Am höchsten | Hoch | Etwas langsamer (NFC-Kontakt) |
Dein Muster entscheidet, ob die Verschlüsselung geöffnet wird. Dein zweiter Faktor entscheidet, ob der Tresor nach erfolgreicher Musterprüfung angezeigt wird. Diese beiden Aufgaben zu trennen macht die Kombination stärker als jede einzelne Kontrolle.
Wähle Face ID, wenn es dir vor allem um beiläufigen Zugriff, ein verlorenes Handy oder jemanden geht, der dein Muster durch Beobachten kennt. Wähle eine PIN, wenn du einen Code ohne biometrische Abhängigkeit verwenden möchtest. Wähle einen YubiKey, wenn der Faktor überhaupt nicht auf dem Handy liegen soll. ArkWarden unterstützt alle drei Methoden, und du kannst deine Wahl später ändern.
Manche möchten maximalen Komfort, andere maximalen Schutz. ArkWarden lässt dir die Wahl. Du kannst nur das Muster verwenden, das bereits ein echtes kryptografisches System ist. Einen zweiten Faktor kannst du jederzeit in den Einstellungen hinzufügen. Während der Einrichtung wirst du zu keiner der beiden Optionen gedrängt. Wenn du einen YubiKey verwendest und ihn verlierst, kannst du mit deiner Wiederherstellungsphrase die Zwei-Faktor-Authentifizierung umgehen und den Zugriff zurückerlangen.
ArkWarden unterstützt drei Methoden. Wähle diejenige, die zu deiner tatsächlichen Nutzung des Handys passt.
ArkWarden verwendet Apples LocalAuthentication-Framework zur biometrischen Prüfung. Der eigentliche Abgleich findet innerhalb der Secure Enclave statt, einem eigenen Sicherheitschip in deinem iPhone. Face-ID- oder Touch-ID-Daten gelangen nie in das normale iOS-Dateisystem, in den Prozessspeicher von ArkWarden oder aus dem Gerät heraus.
ArkWarden erhält lediglich ein binäres Ergebnis: erfolgreich oder fehlgeschlagen. Wir sehen weder das biometrische Muster noch Zwischenwerte oder das, was die Kamera gesehen hat. Der gesamte biometrische Vorgang läuft innerhalb der Sicherheitsgrenze von Apple.
Die PIN ist ein sechsstelliger Geheimcode, den du bei der Einrichtung wählst. Sie wird auf deinem Gerät mit einer iOS-Schutzklasse gespeichert, die ein entsperrtes Gerät voraussetzt und die Übertragung auf ein anderes Gerät verhindert. Es gibt keine Kopie in der Cloud und keine Synchronisierung.
Die PIN ist unabhängig vom Code deines iPhones. Das Festlegen einer PIN in ArkWarden ändert nichts am Sperrbildschirm deines iPhones, und eine Änderung des iPhone-Codes ändert nichts in ArkWarden. Wir empfehlen, für beide Systeme unterschiedliche Werte zu wählen.
Ein YubiKey ist ein kleiner physischer Sicherheitsschlüssel von Yubico. ArkWarden kommuniziert mit ihm über FIDO2 / WebAuthn, denselben Standard, den Google, Microsoft und Finanzinstitute weltweit für besonders wichtige Konten verwenden.
Bei der Registrierung erzeugt der YubiKey intern ein öffentliches und ein privates Schlüsselpaar und übergibt ArkWarden den öffentlichen Schlüssel. Der private Schlüssel verlässt den YubiKey nie. Beim Entsperren sendet ArkWarden eine zufällige Anfrage an den YubiKey, der sie mit dem internen privaten Schlüssel signiert. ArkWarden prüft anschließend die Signatur. Das bedeutet:
Du kannst bis zu zwei YubiKeys pro Tresor registrieren. Der zweite Schlüssel dient als Sicherung. Wenn du einen verlegst, funktioniert der andere weiterhin. Die vollständige Einrichtung, Screenshots und Wiederherstellungsdetails findest du auf der YubiKey-Seite.
| Teil | Was er tut | Wo das Geheimnis gespeichert ist |
|---|---|---|
| Muster | Hilft, den Hauptschlüssel durch Schlüsselableitung und die Secure Enclave zu entsperren | In deinem Gedächtnis und deinem Muskelgedächtnis |
| Entschlüsselung des Hauptschlüssels | Authentifizierte Entschlüsselung, die nur mit dem richtigen abgeleiteten Schlüssel funktioniert | Verschlüsselter Hauptschlüssel im iOS-Schlüsselbund, im Ruhezustand durch die Secure Enclave geschützt |
| Face ID oder Touch ID | Prüft Gesicht oder Fingerabdruck | Biometrisches Muster in der Secure Enclave, für ArkWarden nie sichtbar |
| PIN | Vergleicht die sechs Ziffern, die du festgelegt hast | Im iOS-Schlüsselbund gespeichert, im Ruhezustand durch die Secure Enclave verschlüsselt und an das Gerät gebunden |
| YubiKey | Signiert eine neue zufällige Anfrage mit FIDO2 / WebAuthn | Der Signaturschlüssel wird auf dem YubiKey selbst gespeichert, nicht auf dem Handy |
Du kannst die Methode jederzeit in den Einstellungen wechseln. Beim Wechsel werden deine Dateien nicht erneut verschlüsselt, weil die Verschlüsselung an dein Muster und nicht an den zweiten Faktor gebunden ist. Der zweite Faktor ist eine Prüfung, bevor der entsperrte Tresor angezeigt wird. Du änderst also die Prüfung, nicht die Verschlüsselung.
Dein Muster entsperrt den Hauptschlüssel. Dein zweiter Faktor ist eine zusätzliche Prüfung, bevor sich der Tresor öffnet. Wähle die Methode, die zu dir passt. ArkWarden unterstützt alle drei und du kannst sie jederzeit ändern.
