Avatar von die kleine Himbeere
  • die kleine Himbeere

mehr als 1000 Beiträge seit 25.10.2012

Ich habe Zweifel an 2FA allgemein

Im vorliegenden Fall war es natürlich besonders peinlich wenn nur ein Gerät beide Faktoren zur Verfügung stellt.

Das ist dann in etwa so sinnvoll als wenn man bei einer Passwort-Abfrage nicht ein, sondern zwei Passworte eintippen müsste.

Aber auch wenn 2FA völlig korrekt durchgeführt wird, frage ich mich was einen Angreifer der den Client übernommen hat davon abhalten soll, einfach darauf zu warten bis das Opfer die TAN auf welchem Weg auch immer bekommen hat und eintippt.

In dieser Sekunde könnte er die TAN entwenden.

Aber eigentlich ist das nicht einmal nötig, denn er braucht dem Opfer ja nur einen manipulierten Browser unterschieben, oder - simpler - ein bösartiges AddOn in den Browser installieren.

Dieses Addon bräuchte nichts weiter zu tun, als Betrag und Empfängerfeld im Überweisungsformular der Bank erkennen, und dieses nicht anzuzeigen sondern Fake-Felder (die ignoriert werden) an derselben Stelle.

Tatsächlich füllt das AddOn aber die beiden nicht angezeigten Felder so aus, dass ein völlig anderer Betrag an eine völlig andere Person überwiesen wird - typischerweise ein Strohmann der eine Provision erhält und dann später verhaftet wird während der Täter entkommt.

Der Angreifer braucht dazu weder die Telebanking-Webseite umzuleiten noch die TAN abzufangen - er ändert ja nur die Daten der Überweisung.

Möglich ist ihm das, da er den Client infiltriert hat.

Und ich sehe nicht, wie 2FA in irgend einer Form diese Art von Angriff unterbinden sollte.

Wenn der Angreifer den Client gehijackt hat, dann hilft kein 2FA mehr.

Und wenn er dies nicht getan hat, ist 2FA nicht nötig.

Meiner Meinung nach ist 2FA nur deshalb so populär weil es da facto ein wesentlich längeres Passwort bei gleicher Sicherheit ersetzen kann (da man nur einen Versuch zur Eingabe hat).

Und viele Leute sind unfähig gute Passwörter zu vergeben, einen Passwort-Manager zu verwenden, oder einfach nur tippfaul. In diesen Fällen hilft 2FA.

Aber ich bezweifle aus den oben genannten Gründen, dass 2FA irgend eine *grundlegende* Verbesserung der Sicherheit gegenüber einem sicheren Passwort darstellen kann.

Und eventuell ist 2FA sogar schlechter, nämlich dann wenn es dem Angreifer gelingt die TAN abzufangen *ohne* dass er den Client davor gehijacked hat.

Bei SMS-TANs ist beispielsweise zu bedenken, dass das gesamte Telefonnetz unsicher ist weil es auf den Sicherheitsmechanismen der 80er Jahre aufgebaut ist.

Dass hier kein erkennbarer Missbrauch stattfindet liegt einzig daran, dass es für Angreifer im Internet noch viel einfacher ist genug Opfer zu finden.

Und weil der Kriminelle normalerweise den Weg des geringsten Widerstands geht, gibt es noch kein verbreitetes Problem mit SMS TANs.

Aber das kann sich ändern, und man sollte sich davor hüten Datenübermittlung via SMS in irgend einer Form als sicher anzusehen.

Bewerten
- +
Anzeige