Hi liebe Steemians,
nachdem der Login-Vorgang im letzten Basic-Tutorial umfangreich beschrieben wurde, ergänzen wir das Sicherheitskonzept von Steemit um die zusätzlich vier erzeugten Keys, die sich nach einer erfolgreichen Account-Aktivierung in Eurer Wallet befinden.
Wir greifen dem Wallet-Tutorial damit zwar etwas voraus – das habe ich in drei oder vier späteren Postings eingeplant – aber das Thema Keys streift zwangsläufig das Gebiet, da sich dort die Berechtigungs-Sektion (Permissions) mit Euren öffentlichen und privaten Schlüsseln befindet. Und genau das soll heute unser zentrales Thema sein.
Alle guten Dinge sind vier
Jeder dieser Schlüssel ist für bestimmte Einsatzzwecke vorgesehen und sinnvollerweise ist es angedacht, auch die entsprechenden Keys für seinen spezifischen Einsatz zu verwenden. Natürlich ist mir bewusst, dass der Umgang mit dem Masterpasswort viel bequemer ist, da sämtliche Berechtigungen abgedeckt sind. Man kommt quasi in alle Türen rein. Aber genau dort lauert auch das größte Gefahrenpotential. Später dazu mehr.
Schauen wir uns auf der folgenden Abbildung diese Schlüssel etwas genauer an und finden heraus, welchen Zweck sie verfolgen bzw. worin sie sich auch voneinander unterscheiden:
1. Der Posting Key:
Er berechtigt zum posten, kommentieren, re-steemen, voten, folgen und Prämien einlösen. Sämtliche Transferzahlungen aus der eigenen Wallet sind damit NICHT möglich.
Soll der Login-Vorgang auf seinem Account in Zukunft mit dem Posting-Key erfolgen, muss der zugehörige Private-Key des Posting-Keys zuvor geöffnet und abgespeichert worden sein.
Dazu wird beim ersten Besuch des Accounts sich mit dem Masterpasswort eingeloggt. Anschließend kann der Private Posting Key über die grüne Schaltfläche „SHOW PRIVATE KEY“ angezeigt werden. Jetzt einfach den Private Posting Key kopieren und in ein Dokument (z.B. Word-Dokument, Excel Tabelle etc.) einfügen und sicher abspeichern.
Danach sollte sofort der Logout mit dem Masterpasswort erfolgen und es kann überprüft werden, ob der abgespeicherte Private Posting Key beim nächsten Login-Vorgang funktioniert.
Das Schöne an der Sache ist, dass man sich damit auch auf dem Videoportal „DTube“ einloggen kann, welches ebenfalls auf der Steem-Blockchain aufgesetzt ist. Man benötigt also keine extra Zugangsdaten, sondern kann sich mit dem Private Posting Key sofort einloggen und loslegen.
2. Der Active Key:
Er berechtigt Transferzahlungen zu anderen Wallet-Adressen (z.B. Bittrex, Poloniex usw.) oder zwischen Steemit-Accounts oder auch dem eigenen Account zur Umbuchung auf verschiedene Walletbereiche (z.B. Steem, Steempower, Steem Dollars, Savings etc.) durchzuführen. Ferner auch Handelsgeschäfte via Blocktrades oder dem internen Steemit-Marktplatz zu ermöglichen, kurzum alles was mit Transaktionen von Zahlungen aus der Wallet zu tun hat.
Ebenso wie beim Private Posting Key, empfiehlt es sich beim ersten Login mit dem Masterpasswort, den Private Active Key zu kopieren und sicher abzulegen. Auch hier im Anschluss den abgespeicherten Private Active Key überprüfen.
3. Der Owner Key:
Dieser besondere Key ist ein Key, der mit allen Berechtigungen (Zahlungen tätigen, posten, kommentieren, upvoten, Passwort ändern) ausgestattet ist. Im Grunde wie das Masterpasswort.
Es empfiehlt sich diesen machtvollen Schlüssel nur für Ausnahmefälle zu verwenden. Wie zum Beispiel Passwort ändern. Er sollte nach Möglichkeit so wenig wie möglich verwendet und an einem sicheren Ort aufbewahrt werden. Auf keinen Fall sollte dieser Key aus den Händen gegeben werden.
4. Der Memo Key:
Mit diesem Key können verschlüsselte Nachrichten im Memo-Feld einer Transferzahlung gesendet und angezeigt werden.
Für alle, die der Meinung sind, ich muss völlig verrückt sein, hier in dem Blog meine Keys zu veröffentlichen, denen kann ich entgegnen, dass diese vier Keys in meiner Wallet ohnehin für jeden öffentlich zugänglich sind. Es handelt sich dabei um die sogenannten Public Keys.
Auf der Seite steemd.com kann in Kombination mit dem entsprechenden account-namen jeder Steemit-account mit detaillierten Angaben dargestellt werden. Und eben auch diese Public Keys sind dort am unteren Ende unter dem Punkt „Authorities“ einsehbar. Natürlich werden dort keine Private Keys oder Passwörter angezeigt. Das versteht sich von selbst.
Von daher kann ich die Public Keys auch im Rahmen des Tutorials offen zeigen. Obendrein sind sie auch nicht mehr aktuell und wurden im Rahmen einer neuen Master-Passwortvergabe längst ersetzt.
Wer wissen möchte, wie das genau funktioniert, schaut sich am besten noch einmal das letzte Tutorial an.
Da die Public Keys öffentlich für jedermann einsehbar sind, muss auch gewährleistet sein, dass niemand sich missbräuchlich mit diesen Keys in einem fremden Account einloggen kann. Und genau so ist es auch – das wär ja noch schöner!
Versuchte man dennoch einen Login-Vorgang mit Benutzernamen und einem der vier Public Keys vorzunehmen, erkennt Steemit das sofort, und es erscheint folgende Meldung mit der Aufforderung zur Eingabe eines Private Keys oder Passwortes:
Der passende Key für die entsprechende Aufgabe
Eingangs hatte ich hingewiesen, dass das größte Gefahrenpotential bei der regelmäßigen Verwendung des Owner Keys bzw. Masterpasswortes besteht. Ihr müsstet Euch das jetzt bereits selbst erklären können, oder?!
Richtig! Einfach aus dem Grund, weil dort die höchsten Genehmigungen für den eigenen Account hinterlegt sind. Sprich, man kann damit ALLES machen. Angefangen von den üblichen Dingen wie posten, kommentieren, upvoten, aber auch Zahlungen anweisen, Umbuchungen vornehmen oder Passwörter ändern.
Und jetzt stellt Euch einfach vor, eine fremde Person gelangt an dieses Masterpasswort oder den Owner Key einfach aus Unachtsamkeit durch sehr häufige Verwendung. Am Anfang der Steemit-Laufbahn sicherlich noch eher zu verschmerzen, als zu einem späteren Zeitpunkt, wenn bereits richtig viel Energie in den Account gesteckt wurde und somit vermutlich auch die eigene Wallet bereits schön gewachsen ist.
Daher empfehle ich für den normalen Umgang bei Steemit ab Anfang an ausschließlich die Keys mit den entsprechenden Berechtigungen zu verwenden.
In den meisten Fällen beläuft sich dies auf den Posting Key beim posten, kommentieren, voten usw. Den Active Key empfiehlt es sich nur dann zu verwenden, wenn Transaktionen aus der Wallet geplant sind.
Damit sind das auch die beiden Keys die sicherlich am meisten verwendet werden.
Optimale Verwahrung des Masterpasswortes
Zum Abschluss möchte ich Euch noch einen nützlichen Tipp geben, wie Ihr Euer Masterpasswort auf eine sehr effiziente Weise schützen und aufbewahren könnt. Ihr dürft nicht vergessen:
Bitte denkt immer daran!
Zudem ist es sinnvoll, mehr als nur eine Rückfallebene für den Ernstfall zu besitzen. Dazu setze ich mal voraus, dass Ihr Eurer Passwort irgendwo, sei es auf dem Rechner, Stick etc., sicher abgelegt habt und Ihr auch stets bemüht seid, die Hardware sowie Euren Netz-Zugang so gut es eben geht vor Fremdeinwirkung zu schützen. Darum soll es jetzt aber nicht gehen.
Stellt Euch folgende Situationen vor, die im Laufe der Zeit plötzlich auftreten können. Euer Rechner/Laptop macht die Grätsche und Ihr kommt nicht an Eure Festplatte oder schlimmer, die Kiste wird geklaut samt Eurem Masterpasswort oder was auch immer. Einfach mal aus der Luft gegriffen, damit wir mit dem Beispiel arbeiten können.
Habt Ihr kein Backup von Eurem Passwort irgendwo, kann das ganze sehr ärgerlich werden. Der Steemit-Account ist erstmal verriegelt, denn ihr kommt ja nicht mehr an Euer Passwort. Und genau jetzt kommt die zweite und wie ich finde sehr geniale Möglichkeit zum Einsatz, indem Ihr folgendes Verfahren zum Back-Up Eures Masterpasswortes anwendet:
Back-up Verfahren (offline)
Stellt Euch dazu vor, dass diese diffuse Sammlung an 52 zufällig angeordneten Zeichen Euer Masterpasswort repräsentiert:
Jetzt teilt ihr dieses Passwort in drei Teile auf. Erster und zweiter Teil besitzen jeweils 17 Zeichen. Nur der letzte Teil besteht aus 18 Zeichen (17+17+18 = 52).
Als nächstes werden jeweils zwei Teile auf einem neuen Blatt notiert. Am Ende sollten dabei drei Blätter entstanden sein mit jeweils zwei Teilen des Masterpasswortes.
Die folgende Abbildung verdeutlicht diesen Vorgang:
Im Anschluss werden die drei Blätter an drei unterschiedliche Orte Eures Vertrauens gebracht und dort sicher verwahrt. Da jeder Teil zweimal vorhanden ist, ergibt sich daraus der Vorteil, dass selbst wenn ein Blatt nach einer gewissen Zeit, aus welchen Gründen auch immer, nicht mehr auffindbar oder zerstört worden ist, (die hauseigene Schildkröte hat zugeschlagen und ein Blatt gefressen) aus den anderen beiden Blättern immer noch das vollständige Masterpasswort zusammengesetzt werden kann.
Vorausgesetzt, Ihr habt Euch die beiden anderen Orte gemerkt und die dort ansässigen Haustiere haben den hinterlegten Dokumenten keinen Krieg erklärt. Im Falle eines Falles holt Ihr die beiden übrig gebliebenen – oder auch alle drei – Dokumente ab und erstellt Euer Masterpasswort.
Der Einfachheit halber hinterlegt Ihr am besten bei Euch zu Hause eines der drei Dokumente, dann braucht Ihr im Regelfall nur noch einen weiteren Ort aufsuchen, um an Euer vollständiges Passwort zu gelangen.
Schlussfolgerung
Dieser sehr effektive Weg ein Back-up von Eurem Masterpasswort zu erstellen, schützt Euch in mehrfacher Hinsicht.
1. Ihr besitzt eine weitere Rückfallebene, falls die erste versagt.
2. Durch die Verteilung des Passwortes auf drei nur Euch bekannten Orten, erreicht Ihr einen optimalen Schutz vor Missbrauch. Es ist nahezu ausgeschlossen, dass zeitgleich alle drei Dokumente durch nicht autorisierte Personen entdeckt und entwendet werden.
Schlussbemerkungen
Da ich mich jedoch nicht mit fremden Federn schmücken möchte, hab ich auch überhaupt kein Problem damit offenzulegen, woher ich diesen Tipp bekommen habe.
Der Steemit-User @Security101, der sich offenbar hier bei Steemit das ganze Thema IT-Sicherheit auf die Fahne geschrieben hat, verfasste dazu einen hervorragenden Beitrag.
Schaut auch mal dort ruhig vorbei. Viele Infos hab ich mir aus seinem Erfahrungsschatz „ausgeliehen“ und konnte somit dieses Tutorial für Euch erstellen.
Eine weitere Informationsquelle für mich ist Martin oder auch 
Ich hoffe, auch mit dem dritten Basic-Tutorial konnte ich ein wenig helfen und stehe für eventuelle Rückfragen gerne zur Verfügung. Für Anregungen, Hinweise und/oder Kritik könnt Ihr dazu gerne die Kommentarfunktion unter diesem Post nutzen. Ich würde mich freuen. Bis zum nächsten Mal…
Viele Grüße,
