Über tausend Tools gegen die Zwei-Wege-Authentifizierung verfügbar

Die Zwei-Faktor-Authentifizierung (2FA) gilt gemeinhin als wich­tig­ste Sicherheits-Maßnahme, um Accounts vor der Ka­pe­rung zu schützen. Allerdings wiegt man die Nutzer damit in­zwi­schen eher in einer ziemlich trügerischen Sicherheit. Ein Team von Sicherheitsforschern hat sich in den einschlägigen Bereichen des Netzes umgesehen, in denen Kriminelle ihre Tools beziehen. Dabei haben sie auch Werkzeuge entdeckt, mit denen die 2FA attackiert werden kann. Und hier handelte es sich keinesfalls um vereinzelte Angebote: Immerhin rund 1200 verschiedene Toolkits kursieren auf dem Schwarzmarkt, berichtet das US-Magazin The Record.

Mit der steigenden Verbreitung von 2FA-Verfahren bei den Betreibern von Diensten im Internet ist natürlich auch die Nachfrage nach den Werkzeugen zur Überwindung der zusätzlichen Hürde neben dem Passwortschutz ordentlich gewachsen. Dass die Sache allerdings ein solches Ausmaß angenommen hat, war auch für die Sicherheitsforscher ein wenig überraschend.

Unterschiedliche Verfahren

Richtig in Fahrt kam die Entwicklung im Grunde im Jahr 2017. Seitdem haben sich verschiedene Optionen herausgebildet, mit denen Angreifer auch Accounts kapern können, die durch die 2FA besser geschützt sind. Mit Abstand die häufigste Variante - auch weil es die einfachste ist - besteht im Diebstahl von Authentifizierungs-Tokens vom Rechner des Nutzers. Diese sind eigentlich dafür da, dass die User sich nicht bei jedem Aufruf einer Seite neu einloggen müssen, sondern Sessions über einige Zeit hinweg ohne neuen Login funktionieren. Kommen Angreifer nun in den Besitz des Tokens, können sie komplett an der Authentifizierung vorbeikommen.

Die zweite Variante ist etwas komplexer und basiert auf Man-in-the-Middle-Angriffen. Hier versuchen sich die Angreifer zwischen den Diensteanbieter und den Nutzer zu schieben und Daten abzugreifen - in diesem Falle eben die Codes für das Login. Dies geschieht hier meist über Malware, die auf Smartphones abzielt: Sie wird dort aktiv, wenn ein User sich im Browser oder einer App in einen Online-Dienst einloggen will und wartet dann auf den per SMS hereinkommenden 2FA-Code, um diesen direkt nach außen weiterzugeben. Dagegen kann man sich im Grunde am besten schützen, indem für den Empfang des zweiten Authentifizerungs-Faktors nicht das gleiche Gerät genutzt wird.

Siehe auch: