Angriffspfade bei Zwei-Faktor-Authentifizierung mittels SMS

Chaosradio

CR293: Wie um die 200 Millionen SMS von mehr als 200 Unternehmen leakten

Wir sprechen in dieser Sendung über Zwei-Faktor-Authentifizierung (2FA) und über den speziellen Fall von IdentifyMobile, zu dem der CCC eine Pressemitteilung herausgegeben hatte: „Zweiter Faktor SMS: Noch schlechter als sein Ruf“. Betroffen waren mehr als zweihundert Unternehmen, die mit IdentifyMobile zusammenarbeiteten, beispielsweise Google, Amazon, Facebook, Microsoft, Telegram, FedEx oder DHL. Insgesamt leakten fast 200 Millionen SMS.

Zwei-Faktor-Authentifizierung soll die Sicherheit von Authentifizierungen erhöhen. Wir erklären: Wie läuft eine Zwei-Faktor-Authentifizierung mittels SMS („2FA-SMS“) typischerweise ab? Und was es daran zu meckern gibt, wollen wir euch auch nicht vorenthalten. Wir möchten bei aller Kritik aber darauf hinweisen: 2FA-SMS ist dennoch eine Methode zur Erhöhung der Sicherheit von Authentifizierungen und immer noch besser als nichts.

Doch was für alternative Verfahren gibt es? Welche Angriffspfade bei Zwei-Faktor-Authentifizierung sind zu beachten? Eignen sich auch biometrische Verfahren mit Finger oder Gesicht zur Zwei-Faktor-Authentisierung? Darüber sprechen Dirk Engling, Matthias Marx und Constanze Kurz im Chaosradio 293.

Kapitel

1. Willkommen im Chaosradio 293 (00:00:00)

2. Der Zustand der Passwörter (00:10:33)

3. Einführung der Zwei-Faktor-Authentifizierung (00:11:04)

4. Der Kern der Diskussion (00:12:04)

5. SMS als Authentifizierungsmittel (00:14:19)

6. Der aktuelle Hack (00:20:33)

7. Technische Details des Hacks (00:21:54)

8. Rolle der Dienstleister (00:25:27)

9. Datenschutz und Haftung (00:28:22)

10. Das Geschäftsmodell der Anbieter (00:33:16)

11. Sicherheitslücken und Risiken (00:37:36)

12. Verpflichtungen nach der DSGVO (00:45:02)

13. Empfehlungen für Nutzer (00:52:58)

14. Abschluss und Ausblick (01:04:56)