HotPi
Registered +
- Registriert
- Mai 2008
- Beiträge
- 1.965
Gefahr durch Schadsoftware
Zwei-Faktor-Authentifizierung: Screenshots als Sicherheitslücke
Spezielle Apps zur Zweifaktorauthentifizierung sollen eigentlich mehr Sicherheit bringen. Doch wenn eine bestimmte Funktion nicht unterbunden wird, können sie zum Risiko werden.
Eigentlich sollen die Authenticator-Apps von Google, Microsoft und anderen Anbietern die Benutzung zahlreicher Dienste sicherer machen. Über diese Tools erhalten Nutzer auf ihrem Smartphone die nötigen Verifizierungscodes, um sich bei Accounts einzuloggen, bei denen sie die Zwei-Faktor-Authentifizierung aktiviert haben.
Wichtigste Voraussetzung für die Sicherheit des Systems ist, dass die Einmal-Passwörter (TOTP-Codes) auch wirklich nur dem berechtigten Benutzer zur Verfügung gestellt werden.
Um die Codes abzugreifen, könnte sich Schadsoftware jedoch eine besondere Funktion des Smartphone-Betriebssystems zunutze machen: das Erstellen von Bildschirmfotos.
Und genau das ist der Punkt: Sowohl Google Authenticator als auch Microsoft Authenticator erlauben das Aufnehmen eines Screenshots. Bei anderen Authentifizierungs-Apps sieht es nicht besser aus. Eine Tatsache, auf die Sicherheitsexperten schon vor einigen Jahren hingewiesen haben.
Wie ZDNet berichtet, besteht dieses Problem weiterhin und werde auch schon von mindestens einem Trojaner ausgenutzt. Dabei sei es - zumindest bei Android - über einen einfachen Befehl im Programmcode eigentlich leicht möglich, die Screenshot-Funktion zu deaktivieren.
Die Frage ist daher, warum weder Microsoft noch Google diese Option nutzen.
11.3.2020 von Steve Buchta
Quelle: Zwei-Faktor-Authentifizierung: Screenshots als Sicherheitslücke - PC Magazin
Apps für Zwei-Faktor-Authentifizierung mit offener Flanke
Die doppelte Absicherung von Nutzerkonten empfehlen Experten immer wieder – etwa mithilfe von Apps, die Einmal-Passwörter generieren. Doch viele dieser Anwendungen sind selbst nicht sicher.
von dpa 11.03.2020
Viele Smartphone-Apps für die Zwei-Faktor-Authentifizierung (2FA) sind unsicher. Das berichten Sicherheitsforscher.
Die Anwendungen, die Einmal-Passwörter als zweiten Faktor neben dem eigentlichen Passwort zum Anmelden bei Nutzerkonten generieren, liessen oft das Anfertigen von Screenshots zu, berichtet das Fachportal «Golem.de» – ein Umstand, der bereits von Schadsoftware ausgenutzt werde.
Zu den Apps, die keinen Schutz vor Screenshots implementiert haben, zählen den Angaben zufolge auch populäre Anwendungen wie der Google Authenticator oder der Microsoft Authenticator. Bei diesen Apps hätten die Experten in einem Kurztest problemlos Screenshots erstellen können.
Wer auf Nummer sicher gehen möchte, sollte eine App wie die freie und quelloffene Android-Anwendung «andOTP» nutzen, die bereits vor Screenshot-Angriffen zum Abgreifen des One-Time-Passwords (OTP) geschützt sei. Eine weitere Alternative zur Generierung eines zweiten Faktors bei Anmeldungen sind Security-USB-Sticks (U2F), die etwa einfach an Rechner oder Notebook angesteckt werden.
Die Screenshot-Problematik soll bereits seit 2014 bekannt sein und war betroffenen Unternehmen zuletzt 2017 vom Sicherheitsunternehmen Nightwatch gemeldet worden, wie dieses mitteilt. Nachdem die Lücken jahrelang nicht behoben worden waren, hatten die Sicherheitsforscher ihre Erkenntnisse Anfang März veröffentlicht.
Quelle: Apps für Zwei-Faktor-Authentifizierung mit offener Flanke
Zwei-Faktor-Authentifizierung: Screenshots als Sicherheitslücke
Spezielle Apps zur Zweifaktorauthentifizierung sollen eigentlich mehr Sicherheit bringen. Doch wenn eine bestimmte Funktion nicht unterbunden wird, können sie zum Risiko werden.
Eigentlich sollen die Authenticator-Apps von Google, Microsoft und anderen Anbietern die Benutzung zahlreicher Dienste sicherer machen. Über diese Tools erhalten Nutzer auf ihrem Smartphone die nötigen Verifizierungscodes, um sich bei Accounts einzuloggen, bei denen sie die Zwei-Faktor-Authentifizierung aktiviert haben.
Wichtigste Voraussetzung für die Sicherheit des Systems ist, dass die Einmal-Passwörter (TOTP-Codes) auch wirklich nur dem berechtigten Benutzer zur Verfügung gestellt werden.
Um die Codes abzugreifen, könnte sich Schadsoftware jedoch eine besondere Funktion des Smartphone-Betriebssystems zunutze machen: das Erstellen von Bildschirmfotos.
Und genau das ist der Punkt: Sowohl Google Authenticator als auch Microsoft Authenticator erlauben das Aufnehmen eines Screenshots. Bei anderen Authentifizierungs-Apps sieht es nicht besser aus. Eine Tatsache, auf die Sicherheitsexperten schon vor einigen Jahren hingewiesen haben.
Wie ZDNet berichtet, besteht dieses Problem weiterhin und werde auch schon von mindestens einem Trojaner ausgenutzt. Dabei sei es - zumindest bei Android - über einen einfachen Befehl im Programmcode eigentlich leicht möglich, die Screenshot-Funktion zu deaktivieren.
Die Frage ist daher, warum weder Microsoft noch Google diese Option nutzen.
11.3.2020 von Steve Buchta
Quelle: Zwei-Faktor-Authentifizierung: Screenshots als Sicherheitslücke - PC Magazin
Apps für Zwei-Faktor-Authentifizierung mit offener Flanke
Die doppelte Absicherung von Nutzerkonten empfehlen Experten immer wieder – etwa mithilfe von Apps, die Einmal-Passwörter generieren. Doch viele dieser Anwendungen sind selbst nicht sicher.
von dpa 11.03.2020
Viele Smartphone-Apps für die Zwei-Faktor-Authentifizierung (2FA) sind unsicher. Das berichten Sicherheitsforscher.
Die Anwendungen, die Einmal-Passwörter als zweiten Faktor neben dem eigentlichen Passwort zum Anmelden bei Nutzerkonten generieren, liessen oft das Anfertigen von Screenshots zu, berichtet das Fachportal «Golem.de» – ein Umstand, der bereits von Schadsoftware ausgenutzt werde.
Zu den Apps, die keinen Schutz vor Screenshots implementiert haben, zählen den Angaben zufolge auch populäre Anwendungen wie der Google Authenticator oder der Microsoft Authenticator. Bei diesen Apps hätten die Experten in einem Kurztest problemlos Screenshots erstellen können.
Wer auf Nummer sicher gehen möchte, sollte eine App wie die freie und quelloffene Android-Anwendung «andOTP» nutzen, die bereits vor Screenshot-Angriffen zum Abgreifen des One-Time-Passwords (OTP) geschützt sei. Eine weitere Alternative zur Generierung eines zweiten Faktors bei Anmeldungen sind Security-USB-Sticks (U2F), die etwa einfach an Rechner oder Notebook angesteckt werden.
Die Screenshot-Problematik soll bereits seit 2014 bekannt sein und war betroffenen Unternehmen zuletzt 2017 vom Sicherheitsunternehmen Nightwatch gemeldet worden, wie dieses mitteilt. Nachdem die Lücken jahrelang nicht behoben worden waren, hatten die Sicherheitsforscher ihre Erkenntnisse Anfang März veröffentlicht.
Quelle: Apps für Zwei-Faktor-Authentifizierung mit offener Flanke
