Reddit: Ist die SMS-basierte Authentifizierung wirklich sicher?

Kürzlich gab Christopher Slowe bekannt, dass es zwischen dem 14. und 18. Juni bei Reddit zu einem Verstoß kam, der persönliche Daten, Nachrichten, Passwörter, E-Mail-Adressen und mehr betraf. Reddit verwendet normalerweise eine Zwei-Faktor-Authentifizierung, um seine Benutzerkonten zu schützen. Ein Schritt dieser Authentifizierung besteht darin, eine SMS-Textnachricht mit einem eindeutigen Code für die Anmeldung zu senden. Hacker konnten diese Textnachrichten abfangen und beweisen, dass die SMS-basierte Authentifizierung nicht so sicher ist, wie viele Unternehmen vielleicht dachten.

Wir weisen stets darauf hin, dass die Zwei-Faktor-Authentifizierung (2FA) der Weg nach vorn ist, wenn es um die Sicherung von Konten geht (egal, ob es sich um Kunden- oder Mitarbeiterkonten handelt). Wie Christopher Slowe es ausdrückte: „Wir haben gelernt, dass die SMS-basierte Authentifizierung bei weitem nicht so sicher ist, wie wir es uns erhofft hatten, und der Hauptangriff erfolgte über das Abfangen von SMS.“ Wir weisen darauf hin, um alle hier zu ermutigen, auf tokenbasierte 2FA umzusteigen. ”

Wie ist das passiert?

Obwohl nicht bekannt ist, wie es den Angreifern gelungen ist, die SMS-Nachrichten zu hacken, hat Reddit hervorgehoben, dass es sich dabei um die Telefone ihrer Benutzer handelte. Dennoch gibt es zahlreiche Möglichkeiten, wie sie an diese Informationen hätten gelangen können.

Angreifer, die allgemein als SIM-Tausch bezeichnet werden, kontaktieren bekanntermaßen die Mobilfunkanbieter und geben sich als Benutzer aus, um sie davon zu überzeugen, den Dienst auf eine neue SIM-Karte umzustellen, über die der Angreifer die Kontrolle hat. Sie müssen lediglich darauf hinweisen, dass die aktuelle SIM-Karte beschädigt ist, verloren gegangen ist oder ersetzt werden muss, und viele Anbieter fallen gelegentlich darauf herein.

Eine weitere ähnliche Technik besteht darin, dass Angreifer verlangen, dass die Mobilfunknummer eines Benutzers in ein neues Netzwerk übertragen wird. Es funktioniert auf die gleiche Weise wie ein SIM-Austausch, bei dem die Telefondienste des Opfers abgeschaltet werden und alle Textnachrichten, einschließlich einmaliger 2FA-Texte, an ein Gerät gesendet werden, das unter der Kontrolle des Angreifers steht.

Welche Alternativen zur SMS-basierten Authentifizierung gibt es?

Trotz dieser leichten Sicherheitslücke bei der textbasierten 2FA ist sie bei anderen Formen der 2FA immer noch eine der besten Möglichkeiten, Benutzerkonten vor Hackern zu schützen. Eine beliebte und relativ neue Methode von 2FA ist App-basiert, wie zum Beispiel Google Authenticator, der das Passwort vom Telefonnetz trennt. Das heißt, wenn ein Hacker an diesen Code gelangen wollte, müsste er ihn physisch stehlen oder mit einer Art Malware infizieren.

Technisch gesehen kann dieser Prozess als zweistufige Authentifizierung bezeichnet werden, da 2FA normalerweise ein Passwort mit einer anderen Form der Authentifizierung, beispielsweise einer Biometrie oder einem Gerät, umfasst. Da es bei der App-basierten Authentifizierung immer noch um zwei Arten von Passwörtern geht, besteht theoretisch immer noch das Risiko von Phishing-Angriffen und anderen ähnlichen Bedrohungen der Cybersicherheit.

Eine weitere häufig verwendete Methode von 2FA und möglicherweise die sicherste Version beinhaltet die Verwendung physischer Schlüssel, beispielsweise von USB-basierten Geräten. Diese ermöglichen es Benutzern, sich bei den Systemen anzumelden, indem sie einfach das Gerät einstecken und es auf der jeweiligen Website für 2FA registrieren. Nach der Registrierung muss der Benutzer kein Passwort mehr eingeben, sondern kann sich einfach mit dem Gerät anmelden. Diese Methode weist jedoch einige Einschränkungen auf, darunter die Tatsache, dass derzeit nicht viele Websites die Verwendung von Sicherheitsschlüsseln als Authentifizierungsmethode akzeptieren.

Wie passt 2FA in Ihren Sicherheitsplan?

Welche 2FA-Methode Sie auch verwenden, einschließlich textbasierter 2FA, sie ist wahrscheinlich weitaus sicherer, als sich aus Sicherheitsgründen ausschließlich auf Passwörter zu verlassen. Allerdings ist 2FA nur der Anfang beim Aufbau eines Sicherheitsplans, der Ihre sensiblen Daten und Systeme wirklich schützt. Ein umfassender Sicherheitsplan umfasst regelmäßige IT-Risikobewertungen, Sicherheitsschulungen im gesamten Unternehmen, strenge Passwortrichtlinien, regelmäßige Software-Updates und eine Änderungsüberwachungslösung, um im Auge zu behalten, wie Ihre Benutzer mit Ihren Daten und den umliegenden Systemen interagieren.

Wenn Sie Hilfe benötigen, um sicherzustellen, dass Sie über eine funktionierende Sicherheitsstrategie für Ihre Daten verfügen, rufen Sie uns noch heute an.