Kann eine Passwort-Manager-App unter iOS auf alles zugreifen und lesen, was auf meinem Bildschirm angezeigt wird? Wie die verwendete App oder die besuchte URL usw.? Wie funktioniert es eigentlich? Woher weiß ein Passwort-Manager, wann er auf meiner Tastatur erscheinen soll und welches Passwort für welche Website/App herausgefiltert werden soll?
Kann eine Passwort-Manager-App auf alles zugreifen und lesen, was auf meinem Bildschirm angezeigt wird?
Kurze Antwort, nein .
Eine Passwort-Manager-App hat keinen freien Zugriff auf alles, was auf dem Bildschirm Ihres iOS-Geräts angezeigt wird.
Eine sehr vereinfachte Erklärung, wie eine Passwort-Manager-App funktioniert, lautet wie folgt:
Jede App, die einen Anmeldefluss verwendet, bei dem die Anmeldeinformationen eines Benutzers über einen Remote-Webdienst überprüft und authentifiziert werden, deklariert die zugehörigen Domänen in den App-Metadaten. iCloud Keychain oder andere Passwort-Manager-Apps von Drittanbietern kennen die installierte Drittanbieter-App nicht und werden nur aktiv, wenn ein Benutzer auf das Eingabefeld für die Anmeldeinformationen tippt. Da die App ihre zugehörigen Domänen deklariert hat, kann eine Passwort-Manager-App aus ihrer eigenen Liste von Einträgen filtern und nur die Anmeldeinformationen anzeigen, die mit der Domäne übereinstimmen.
iOS verwendet auch Heuristiken, um die verfügbaren Anmeldeinformationen zu ermitteln, wenn sich der Benutzer anmeldet oder neue Kennwörter erstellt, und stellt automatisch die Kennworteingabeleiste über der Systemtastatur bereit.
Die Architektur zum automatischen Ausfüllen von Passwörtern ist so konzipiert, dass ein Passwort-Manager weder App-Daten lesen noch sehen kann, was auf dem Bildschirm passiert.
Sie können mehr über das automatische Ausfüllen von Passwörtern erfahren, indem Sie dem verlinkten Dokument auf der Apple Developer-Website folgen:
Das automatische Ausfüllen von Passwörtern empfiehlt Anmeldeinformationen nur für die zugehörige Domäne der App, und der Benutzer muss sich mit Face ID oder Touch ID authentifizieren, bevor er auf die Anmeldeinformationen zugreifen kann.