Gefahr durch Schadsoftware
Zwei-Faktor-Authentifizierung: Screenshots als Sicherheitslücke
Spezielle Apps zur Zweifaktorauthentifizierung sollen eigentlich mehr Sicherheit bringen. Doch wenn eine bestimmte Funktion nicht unterbunden wird, können sie zum Risiko werden.
Eigentlich sollen die Authenticator-Apps von Google, Microsoft und anderen Anbietern die Benutzung zahlreicher Dienste sicherer machen. Über diese Tools erhalten Nutzer auf ihrem Smartphone die nötigen Verifizierungscodes, um sich bei Accounts einzuloggen, bei denen sie die Zwei-Faktor-Authentifiz...
Eigentlich sollen die Authenticator-Apps von Google, Microsoft und anderen Anbietern die Benutzung zahlreicher Dienste sicherer machen. Über diese Tools erhalten Nutzer auf ihrem Smartphone die nötigen Verifizierungscodes, um sich bei Accounts einzuloggen, bei denen sie die Zwei-Faktor-Authentifizierung aktiviert haben.
Wichtigste Voraussetzung für die Sicherheit des Systems ist, dass die Einmal-Passwörter (TOTP-Codes) auch wirklich nur dem berechtigten Benutzer zur Verfügung gestellt werden.
Um die Codes abzugreifen, könnte sich Schadsoftware jedoch eine besondere Funktion des Smartphone-Betriebssystems zunutze machen: das Erstellen von Bildschirmfotos.
Und genau das ist der Punkt: Sowohl Google Authenticator als auch Microsoft Authenticator erlauben das Aufnehmen eines Screenshots. Bei anderen Authentifizierungs-Apps sieht es nicht besser aus. Eine Tatsache, auf die Sicherheitsexperten schon vor einigen Jahren hingewiesen haben.
Wie ZDNet berichtet, besteht dieses Problem weiterhin und werde auch schon von mindestens einem Trojaner ausgenutzt. Dabei sei es - zumindest bei Android - über einen einfachen Befehl im Programmcode eigentlich leicht möglich, die Screenshot-Funktion zu deaktivieren.
Die Frage ist daher, warum weder Microsoft noch Google diese Option nutzen.
