Was passiert mit der Authentifizierung und Passwörtern? Übersetzung des Javelin-Berichts "Zustand der strengen Authentifizierung" mit Kommentaren.

Der Spoiler aus dem Titel des Berichts "Die Anzahl der Fälle strenger Authentifizierung ist aufgrund neuer Risiken und regulatorischer Anforderungen gestiegen".
Das Forschungsunternehmen "Javelin Strategy & Research" hat den Bericht "The State of Strong Authentication 2019" veröffentlicht ( Das Original im PDF-Format kann hier heruntergeladen werden). In diesem Bericht wird erörtert, welcher Anteil amerikanischer und europäischer Unternehmen Passwörter verwendet (und warum Passwörter heutzutage kaum noch genutzt werden); warum der Anteil der Nutzung von Zwei-Faktor-Authentifizierung mit kryptografischen Tokens so schnell wächst; und warum Einmalcodes, die per SMS gesendet werden, unsicher sind.

Alle, die sich für das Thema der gegenwärtigen, vergangenen und zukünftigen Authentifizierung in Unternehmen und Benutzeranwendungen interessieren – herzlich willkommen.

Vom Übersetzer

Leider ist die Sprache, in der dieser Bericht verfasst ist, ziemlich "trocken" und formal. Und die fünfmalige Verwendung des Wortes "Authentifizierung" in einem kurzen Satz ist nicht das Werk unfähiger Übersetzer, sondern der Wunsch der Autoren. Bei der Übersetzung zwischen zwei Optionen – den Lesern einen originalgetreuen oder einen interessanteren Text zu bieten – habe ich manchmal die erste und manchmal die zweite gewählt. Aber habt Geduld, liebe Leser, der Inhalt des Berichts ist es wert.

Einige unwichtige und für die Erzählung nicht notwendige Abschnitte wurden entfernt, andernfalls würde die Mehrheit den gesamten Text nicht bewältigen. Wer den Bericht "unzensiert" lesen möchte, kann dies in der Originalsprache über den Link tun.

Leider sind die Autoren nicht immer präzise mit der Terminologie. So nennen sie Einmalpasswörter (One Time Password - OTP) manchmal "Passwörter", manchmal "Codes". Mit den Authentifizierungsmethoden sieht es sogar noch schlechter aus. Für den ungeübten Leser ist es nicht immer einfach zu erraten, dass "Authentifizierung unter Verwendung kryptografischer Schlüssel" und "strenge Authentifizierung" dasselbe sind. Ich habe versucht, die Begriffe möglichst zu vereinheitlichen; zudem enthält der Bericht einen Abschnitt mit deren Beschreibung.

Dennoch wird der Bericht dringend zur Lektüre empfohlen, da er einzigartige Forschungsergebnisse und korrekte Schlüsse enthält.

Alle Zahlen und Fakten werden ohne die geringsten Änderungen dargestellt, und wenn Sie damit nicht einverstanden sind, diskutieren Sie besser nicht mit dem Übersetzer, sondern mit den Autoren des Berichts. Meine Kommentare (als Zitate gesetzt und im Text markiert kursiv) sind meine eigene Einschätzung, und ich bin gerne bereit, zu jedem einzelnen davon eine Diskussion zu führen (wie auch über die Qualität der Übersetzung).

Überblick

In der heutigen Zeit sind digitale Kommunikationskanäle mit Kunden für Unternehmen wichtiger denn je. Auch innerhalb des Unternehmens sind die Kommunikationswege zwischen den Mitarbeitern mehr auf die digitale Umgebung ausgerichtet als je zuvor. Die Sicherheit dieser Interaktionen hängt davon ab, welche Art von Benutzerauthentifizierung gewählt wird. Angreifer nutzen schwache Authentifizierungsmethoden, um Nutzerkonten massenhaft zu hacken. Als Reaktion verschärfen die Regulierungsbehörden die Standards, um Unternehmen zu zwingen, Nutzerkonten und Daten besser zu schützen.

Die Bedrohungen, die mit der Authentifizierung verbunden sind, beschränken sich nicht nur auf Verbraucheranwendungen; Angreifer können auch auf Anwendungen innerhalb des Unternehmens zugreifen. Diese Art von Operation ermöglicht es ihnen, sich als Unternehmensbenutzer auszugeben. Angreifer können Daten stehlen und andere betrügerische Aktivitäten durchführen, indem sie Zugangspunkte mit schwacher Authentifizierung nutzen. Glücklicherweise gibt es Maßnahmen, um dem entgegenzuwirken. Strenge Authentifizierung wird helfen, das Risiko von Angriffen auf Verbraucheranwendungen sowie auf die Geschäftssysteme der Unternehmen erheblich zu reduzieren.

Diese Studie untersucht, wie Unternehmen die Authentifizierung implementieren, um Benutzeranwendungen und Geschäftssysteme zu schützen; welche Faktoren sie bei der Wahl der Authentifizierungslösung berücksichtigen; die Rolle, die strenge Authentifizierung in ihren Organisationen spielt; und die Vorteile, die diese Organisationen daraus ziehen.

Zusammenfassung

Wichtigste Ergebnisse

Seit 2017 ist der Anteil der Nutzung strenger Authentifizierung stark angestiegen. Angesichts der zunehmenden Anzahl von Schwachstellen, die traditionelle Authentifizierungslösungen betreffen, verstärken Organisationen ihre Authentifizierungsmaßnahmen durch strenge Authentifizierung. Die Anzahl der Organisationen, die Mehrfaktorauthentifizierung mit Kryptografie (MFA) verwenden, hat sich seit 2017 für Verbraucheranwendungen verdreifacht und ist für Unternehmensanwendungen um fast 50 % gestiegen. Das schnellste Wachstum ist im Bereich der mobilen Authentifizierung zu beobachten, hauptsächlich aufgrund der wachsenden Verfügbarkeit biometrischer Authentifizierung.

Hier sehen wir eine Illustration des Sprichworts „bis der Donner schlägt, macht der Mann kein Kreuzzeichen“. Als die Experten vor der Unsicherheit von Passwörtern warnten, beeilte sich niemand, die Zwei-Faktor-Authentifizierung einzuführen. Sobald Hacker begannen, Passwörter zu stehlen, begann man, die Zwei-Faktor-Authentifizierung einzuführen.

Es ist jedoch wahr, dass Privatpersonen viel aktiver 2FA implementieren. Erstens, weil es ihnen hilft, ihre Ängste zu beruhigen, indem sie sich auf die in Smartphones integrierte biometrische Authentifizierung verlassen, die in Wirklichkeit sehr unsicher ist. Organisationen müssen hingegen in Token investieren und Arbeiten (die in Wirklichkeit sehr einfach sind) zur Implementierung durchführen. Zweitens hat nur derjenige nicht über Passwortlecks aus Diensten wie Facebook und Dropbox geschrieben, der faul ist. Von den Geschichten darüber, wie Passwörter gestohlen wurden (und was dann geschah), werden die IT-Leiter dieser Organisationen unter keinen Umständen erzählen.

Diejenigen, die keine strenge Authentifizierung verwenden, unterschätzen ihr Risiko für das Unternehmen und die Kunden. Einige Organisationen, die derzeit keine strenge Authentifizierung verwenden, neigen dazu, Login-Daten und Passwörter als eine der effektivsten und benutzerfreundlichsten Methoden zur Authentifizierung von Benutzern zu betrachten. Andere sehen keinen Wert in den digitalen Vermögenswerten, die sie besitzen. Dabei sollte berücksichtigt werden, dass Cyberkriminelle an allen Verbraucher- und Geschäftsinformationen interessiert sind. Zwei Drittel der Unternehmen, die nur Passwörter zur Authentifizierung ihrer Mitarbeiter verwenden, tun dies, weil sie glauben, dass Passwörter für die Art von Informationen, die sie schützen, ausreichend sind.

Dennoch stehen Passwörter vor dem Aussterben. Im vergangenen Jahr hat die Abhängigkeit von Passwörtern sowohl für Verbraucher- als auch für Unternehmensanwendungen erheblich abgenommen (von 44 % auf 31 % und von 56 % auf 47 %), da Organisationen den Einsatz traditioneller MFA und strenger Authentifizierung ausweiten.
Aber wenn man die Situation insgesamt betrachtet, dominieren nach wie vor anfällige Authentifizierungsmethoden. Etwa ein Viertel der Organisationen verwendet für die Benutzerautorisierung SMS-OTPs (Einmalpasswörter) zusammen mit Sicherheitsfragen. Infolgedessen müssen zusätzliche Sicherheitsmaßnahmen implementiert werden, um die Anfälligkeiten zu schützen, was die Kosten erhöht. Weitaus sicherere Authentifizierungsmethoden wie hardwarebasierte kryptografische Schlüssel kommen hingegen nur in etwa 5% der Organisationen zum Einsatz.

Die sich entwickelnde regulatorische Umgebung verspricht, die Einführung einer strengen Authentifizierung für Verbraucheranwendungen zu beschleunigen. Mit der Einführung von PSD2 sowie neuen Datenschutzbestimmungen in der EU und in mehreren Bundesstaaten der USA, wie Kalifornien, spüren die Unternehmen den Druck. Fast 70% der Unternehmen stimmen zu, dass sie unter starkem regulatorischen Druck stehen, eine strenge Authentifizierung für ihre Kunden sicherzustellen. Mehr als die Hälfte der Unternehmen ist der Meinung, dass ihre Authentifizierungsmethoden in ein paar Jahren nicht mehr ausreichend sein werden, um den regulatorischen Anforderungen zu entsprechen.

Der Unterschied im Ansatz der russischen und der amerikanisch-europäischen Gesetzgeber zum Schutz der persönlichen Daten von Nutzern von Programmen und Diensten ist deutlich erkennbar. Während die Russen sagen: „Teure Dienstanbieter, macht was ihr wollt, wie ihr wollt, aber wenn euer Admin die Datenbank leakt, werden wir euch bestrafen.“ sagen die im Ausland: „Ihr müsst einen Maßnahmenkatalog einführen, der“ nicht zulässt dass Daten banken geleakt werden. Genau deshalb werden dort die Anforderungen an das Vorhandensein einer strengen Zwei-Faktor-Authentifizierung umfassend umgesetzt.
Allerdings ist es keineswegs sicher, dass unsere Gesetzgebungsmachine eines Tages nicht aufwacht und die westliche Erfahrung berücksichtigt. Dann wird sich herausstellen, dass alle dringend eine 2FA implementieren müssen, die den russischen kryptografischen Standards entspricht.

Die Schaffung einer zuverlässigen Grundlage für die Authentifizierung ermöglicht es Unternehmen, den Fokus von der Erfüllung regulatorischer Anforderungen auf die Befriedigung der Kundenbedürfnisse zu verlagern. Für diejenigen Organisationen, die noch einfache Passwörter oder den Erhalt von Codes per SMS verwenden, ist die Einhaltung der regulatorischen Anforderungen der entscheidende Faktor bei der Auswahl der Authentifizierungsmethoden. Unternehmen, die bereits strenge Authentifizierung nutzen, können sich dagegen auf die Auswahl solcher Methoden konzentrieren, die die Kundenzufriedenheit erhöhen.

Bei der Auswahl der Authentifizierungsmethode innerhalb des Unternehmens spielen die Anforderungen der Regulierungsbehörden bereits keine signifikante Rolle mehr. In diesem Fall sind die Integrationsfähigkeit (32 %) und die Kosten (26 %) viel wichtiger.

In Zeiten von Phishing können Angreifer die Unternehmens-E-Mail für betrügerische Aktivitäten nutzen, um auf Daten und Konten (mit den entsprechenden Zugriffsrechten) zuzugreifen und sogar Mitarbeiter zu überzeugen, Überweisungen auf ihre Konten vorzunehmen. Daher müssen Unternehmens-E-Mail-Accounts und Portale besonders gut geschützt sein.

Google hat seinen Schutz durch die Einführung strenger Authentifizierung verstärkt. Vor mehr als zwei Jahren veröffentlichte Google einen Bericht zur Implementierung der Zwei-Faktor-Authentifizierung auf Basis von Sicherheitskrypto-Schlüsseln nach dem FIDO U2F-Standard und berichtete von beeindruckenden Ergebnissen. Laut dem Unternehmen gab es gegen mehr als 85.000 Mitarbeiter keinen einzigen Phishing-Angriff.

Empfehlungen

Setzen Sie strenge Authentifizierung für mobile und Online-Anwendungen um. Mehrfaktor-Authentifizierung basierend auf kryptografischen Schlüsseln schützt viel zuverlässiger vor Hackern als traditionelle MFA-Methoden. Zudem ist die Verwendung von kryptografischen Schlüsseln wesentlich bequemer, da keine zusätzlichen Informationen — Passwörter, Einmal-Passwörter oder biometrische Daten — vom Benutzergerät zum Authentifizierungsserver übermittelt werden müssen. Darüber hinaus ermöglicht die Standardisierung von Authentifizierungsprotokollen viel einfachere Implementierungen neuer Authentifizierungsmethoden, die mit ihrem Erscheinen anfallen, was die Nutzungskosten senkt und vor komplexeren Betrugs schemen schützt.

Bereiten Sie sich auf das Ende von Einmal-Passwörtern (OTP) vor. Die Schwachstellen, die OTP innewohnen, werden immer offensichtlicher, insbesondere da Cyberkriminelle Social Engineering, das Klonen von Smartphones und Schadsoftware nutzen, um diese Authentifizierungsmittel zu kompromittieren. Und während OTP in bestimmten Fällen bestimmte Vorteile bieten, geschieht dies nur aus der Sicht der universellen Verfügbarkeit für alle Nutzer, jedoch nicht aus Sicherheitsgründen.

Es ist unmöglich zu übersehen, dass das Empfangen von Codes per SMS oder Push-Benachrichtigungen sowie die Generierung von Codes mit Smartphone-Programmen genau die Verwendung jener Einmalpasswörter (OTP) ist, auf deren Niedergang wir uns vorbereiten sollen. Technisch gesehen ist die Lösung sehr richtig, denn es versucht nur selten ein Betrüger, das Einmalpasswort von einem vertrauensvollen Nutzer zu erhalten. Aber ich denke, dass die Hersteller solcher Systeme bis zum Ende an der sterbenden Technologie festhalten werden.

Nutzen Sie strenge Authentifizierung als Marketinginstrument zur Steigerung des Kundenvertrauens. Strenge Authentifizierung kann nicht nur die tatsächliche Sicherheit Ihres Unternehmens verbessern. Die Information der Kunden darüber, dass Ihr Unternehmen strenge Authentifizierung nutzt, kann das öffentliche Sicherheitsbild dieses Unternehmens stärken – ein wichtiger Faktor, wenn es eine hohe Nachfrage der Kunden nach zuverlässigen Authentifizierungsmethoden gibt.

Führen Sie eine gründliche Bestandsaufnahme und Bewertung der Unternehmensdaten durch und schützen Sie diese entsprechend ihrer Wichtigkeit. Selbst Daten mit einem niedrigen Risikoniveau, wie z. B. Kundenkontaktinformationen (nein, tatsächlich steht im Bericht „low-risk“, es ist sehr seltsam, dass sie die Wichtigkeit dieser Informationen unterschätzen.), können Betrügern erheblichen Wert bringen und Probleme für das Unternehmen verursachen.

Nutzen Sie strenge Authentifizierung im Unternehmen. Eine Reihe von Systemen stellt die attraktivsten Ziele für Kriminelle dar. Dazu gehören sowohl interne als auch mit dem Internet verbundene Systeme wie Buchhaltungsprogramme oder Speicher für Unternehmensdaten. Strenge Authentifizierung verhindert, dass Angreifer unberechtigten Zugang erhalten, und ermöglicht zudem eine genaue Feststellung, wer genau von den Mitarbeitern böswillige Aktivitäten durchgeführt hat.

Was ist strenge Authentifizierung?

Bei der Verwendung strenger Authentifizierung zur Überprüfung der Identität des Benutzers werden mehrere Methoden oder Faktoren eingesetzt:

• Wissensfaktor: ein geheimer Schlüssel zwischen dem Benutzer und der Authentifizierungsinstanz (zum Beispiel Passwörter, Antworten auf geheime Fragen usw.)
• Besitzfaktor: ein Gerät, das nur der Benutzer besitzt (zum Beispiel ein Mobilgerät, ein kryptographischer Schlüssel usw.)
• Inhärentzfaktor: physische (häufig biometrische) Merkmale des Benutzers (zum Beispiel Fingerabdruck, Iriszeichnung, Stimme, Verhalten usw.)

Die Notwendigkeit, mehrere Faktoren zu knacken, erhöht erheblich die Wahrscheinlichkeit eines Misserfolgs für Angreifer, da das Umgehen oder Täuschen verschiedener Faktoren den Einsatz mehrerer Arten von Hacking-Taktiken erfordert, jeweils für jeden Faktor.

Zum Beispiel kann ein Angreifer bei 2FA „Passwort + Smartphone“ die Authentifizierung durchführen, indem er das Passwort des Benutzers ausspäht und eine exakte Softwarekopie seines Smartphones anfertigt. Das ist erheblich komplizierter, als einfach nur das Passwort zu stehlen.

Wenn jedoch für 2FA ein Passwort und ein kryptographischer Token verwendet werden, funktioniert die Option mit der Kopie hier nicht – es ist unmöglich, den Token zu duplizieren. Der Betrüger müsste den Token unbemerkt vom Benutzer stehlen. Wenn der Benutzer den Verlust rechtzeitig bemerkt und den Administrator benachrichtigt, wird der Token gesperrt, und die Mühe des Betrügers war umsonst. Aus diesem Grund sollten für den Besitzfaktor spezialisierte sichere Geräte (Tokens) und nicht allgemeine Geräte (Smartphones) verwendet werden.

Die Verwendung aller drei Faktoren macht diese Authentifizierungsmethode ziemlich teuer in der Implementierung und recht umständlich in der Nutzung. Daher werden normalerweise zwei von drei Faktoren verwendet.

Die Prinzipien der Zwei-Faktor-Authentifizierung werden ausführlicher beschrieben hier, im Abschnitt „Wie funktioniert die Zwei-Faktor-Authentifizierung“.

Es ist wichtig zu beachten, dass mindestens einer der Authentifizierungsfaktoren, der bei der strengen Authentifizierung verwendet wird, auf kryptographischen Verfahren mit öffentlichen Schlüsseln basieren muss.

Strenge Authentifizierung bietet einen weitaus ernsthafteren Schutz als die klassische Passwort-basierte Einzelfaktor-Authentifizierung und traditionelle MFA. Passwörter können durch Keylogger, Phishing-Websites oder soziale Ingenieurangriffe, bei denen das geplante Opfer selbst sein Passwort preisgibt, ausspioniert oder abgefangen werden. Dabei ist dem Passwortinhaber nicht bewusst, dass ein Diebstahl stattfand. Traditionelle MFA (einschließlich OTP-Codes, Bindung an Smartphones oder SIM-Karten) kann ebenfalls relativ leicht gehackt werden, da sie nicht auf der Kryptographie öffentlicher Schlüssel basiert.Übrigens gibt es zahlreiche Beispiele, bei denen Betrüger durch ähnliche Tricks der sozialen Ingenieurkunst die Nutzer überzeugten, ihnen das Einmalpasswort mitzuteilen.).

Glücklicherweise gewinnt die Verwendung strenger Authentifizierung und traditioneller MFA seit dem letzten Jahr sowohl in Verbraucher- als auch in Unternehmensanwendungen an Bedeutung. Der Einsatz strenger Authentifizierung in Verbraucher-Anwendungen ist besonders schnell gewachsen. Während 2017 nur 5% der Unternehmen sie nutzten, waren es 2018 bereits dreimal so viele – 16%. Dies kann durch die gestiegene Verfügbarkeit von Token, die Algorithmen der öffentlichen Schlüsselkryptographie unterstützen (Public Key Cryptography – PKC), erklärt werden. Darüber hinaus hatte der Druck durch europäische Aufsichtsbehörden nach der Verabschiedung neuer Regelungen zum Datenschutz, wie PSD2 und GDPR, sogar außerhalb Europas einen starken Effekt.darunter auch in Russland.).

Lassen Sie uns diese Zahlen genauer betrachten. Wie wir sehen, ist der Prozentsatz der Privatpersonen, die Mehrfaktor-Authentifizierung nutzen, innerhalb eines Jahres um beachtliche 11% gestiegen. Dies geschah eindeutig auf Kosten der Passwortliebhaber, denn die Zahlen derjenigen, die an die Sicherheit von Push-Benachrichtigungen, SMS und Biometrie glauben, haben sich nicht geändert.

Bei der Zwei-Faktor-Authentifizierung für den Unternehmensbereich sieht die Lage jedoch nicht ganz so gut aus. Erstens zeigt der Bericht, dass lediglich 5% der Mitarbeiter von der Passwort-Authentifizierung auf Token umgestellt wurden. Zweitens ist die Zahl derjenigen, die in einem Unternehmensumfeld alternative MFA-Varianten nutzen, um 4% gestiegen.

Ich werde versuchen, einen Analysten zu spielen und meine Interpretation zu geben. Im Zentrum der digitalen Welt der einzelnen Benutzer steht das Smartphone. Daher ist es nicht verwunderlich, dass die meisten die Möglichkeiten nutzen, die ihnen das Gerät bietet – biometrische Authentifizierung, SMS- und Push-Benachrichtigungen sowie einmalige Passwörter, die von Apps auf dem Smartphone generiert werden. Über die Sicherheit und Zuverlässigkeit der gewohnten Werkzeuge machen sich die Menschen in der Regel keine Gedanken.

Genau deshalb bleibt der Anteil der Benutzer primitiver "traditioneller" Authentifizierungsfaktoren unverändert. Diejenigen, die zuvor Passwörter verwendet haben, verstehen jedoch das hohe Risiko und entscheiden sich bei der Auswahl eines neuen Authentifizierungsfaktors für die neueste und sicherste Option – das kryptografische Token.

Was den Unternehmensmarkt angeht, so ist es wichtig zu verstehen, in welches System die Authentifizierung erfolgt. Wenn der Zugang zu einer Windows-Domäne realisiert wird, kommen kryptografische Token zum Einsatz. Die Möglichkeiten zur Nutzung für 2FA sind bereits in Windows und Linux integriert, während alternative Optionen lange und kompliziert umzusetzen sind. Hier haben Sie die Migration von 5% von Passwörtern zu Tokens.

Die Umsetzung von 2FA in einem Unternehmensinformationssystem hängt stark von der Qualifikation der Entwickler ab. Für Entwickler ist es viel einfacher, fertige Module zur Generierung einmaliger Passwörter zu verwenden, als sich mit der Funktionsweise kryptografischer Algorithmen auseinanderzusetzen. Infolgedessen verwenden sogar Anwendungen, die extrem sicherheitskritisch sind, wie Single Sign-On- oder Privileged Access Management-Systeme, OTP als zweiten Faktor.

Viele Sicherheitslücken in traditionellen Authentifizierungsmethoden

Trotz der Tatsache, dass viele Organisationen weiterhin auf veraltete Ein-Faktor-Systeme angewiesen sind, werden die Schwachstellen der traditionellen Mehrfaktor-Authentifizierung zunehmend offensichtlich. Einmalige Passwörter, die normalerweise aus sechs bis acht Zeichen bestehen und über SMS zugestellt werden, bleiben die am weitesten verbreitete Form der Authentifizierung (neben dem Wissensfaktor des Passworts). Und wenn in der populären Presse die Begriffe "zwei-Faktor-Authentifizierung" oder "zweistufige Überprüfung" erwähnt werden, beziehen sie sich fast immer auf die Authentifizierung mit einmaligen SMS-Passwörtern.

Hier irrt der Autor ein wenig. Die Zustellung von Einmalpasswörtern per SMS war nie eine Zwei-Faktor-Authentifizierung. Es ist rein der zweite Schritt der Zwei-Schritte-Authentifizierung, wobei der erste Schritt die Eingabe von Benutzername und Passwort ist.

Im Jahr 2016 aktualisierte das National Institute of Standards and Technology (NIST) seine Authentifizierungsrichtlinien, um die Verwendung von Einmalpasswörtern, die per SMS gesendet werden, auszuschließen. Diese Richtlinien wurden jedoch nach Protesten aus der Branche erheblich abgeschwächt.

Also, verfolgen wir die Geschichte. Die amerikanische Regulierung erkennt völlig zu Recht an, dass veraltete Technologie nicht in der Lage ist, die Sicherheit der Nutzer zu gewährleisten, und führt neue Standards ein. Diese Standards sollen die Nutzer von Online- und Mobilanwendungen (einschließlich Banken) schützen. Die Branche überlegt, wie viel Geld sie für den Erwerb wirklich zuverlässiger kryptografischer Tokens, für die Umgestaltung von Anwendungen und für die Implementierung der Infrastruktur öffentlicher Schlüssel ausgeben muss, und „stellt sich quer“. Einerseits wurden die Nutzer von der Zuverlässigkeit der Einmalpasswörter überzeugt, andererseits gab es Angriffe auf das NIST. Infolgedessen wurden die Standards abgeschwächt, während die Anzahl der Hackingfälle und Passwortdiebstähle (und Geld aus Bankanwendungen) stark zunahm. So musste die Branche nicht tief in die Tasche greifen.

Seitdem sind die Schwächen, die SMS-OTP eigen sind, deutlicher geworden. Betrüger nutzen verschiedene Methoden zur Kompromittierung von SMS-Nachrichten:

• Duplizieren der SIM-Karte. Kriminelle erstellen eine Kopie der SIM unter Zuhilfenahme von Mitarbeitern des Mobilfunkanbieters oder selbstständig mit spezieller Software und Hardware). In einem besonders bekannten Fall konnten Hacker sogar das Konto des Kryptowährungsinvestors Michael Terpin bei AT&T kompromittieren und fast 24 Millionen Dollar in Kryptowährungen stehlen. Infolgedessen erklärte Terpin, dass AT&T wegen schwacher Verifizierungsmethoden, die zur Duplizierung der SIM-Karte führten, verantwortlich war.
  

  Amazing Logik. Heißt das, dass nur AT&T schuld ist? Nein, die Schuld des Mobilfunkanbieters liegt darin, dass die Verkäufer im Fachgeschäft eine Duplikats-SIM-Karte ausgegeben haben, das ist unbestreitbar. Und was ist mit dem Authentifizierungssystem der Kryptowährungsbörse? Warum haben sie keine sicheren kryptografischen Tokens verwendet? War das Geld für die Implementierung zu schade? Und Michael ist nicht schuld? Warum hat er nicht auf einem Wechsel des Authentifizierungsmechanismus bestanden oder nur die Börsen genutzt, die eine Zwei-Faktor-Authentifizierung auf Basis kryptografischer Tokens implementieren?

  Die Einführung wirklich sicherer Authentifizierungsmethoden verzögert sich genau deshalb, weil Benutzer vor dem Hack eine erstaunliche Nachlässigkeit an den Tag legen, und danach die Schuld für ihre Probleme irgendwem und allem anderen zuschieben, außer den veralteten und "löchrigen" Authentifizierungstechnologien.

• Schadhafte Programme (Malware). Eine der frühesten Funktionen mobiler schadhafter Programme war das Abfangen und Versenden von Textnachrichten an die Angreifer. Auch Angriffe wie „Man-in-the-Browser“ und „Man-in-the-Middle“ können Einmalpasswörter abfangen, wenn diese auf infizierten Laptops oder Desktop-Geräten eingegeben werden.
  

  Wenn die Sberbank-App auf Ihrem Smartphone mit einem grünen Symbol in der Statusleiste blinkt — sucht sie unter anderem nach „Schadhafter Software“ auf Ihrem Telefon. Ziel dieses Vorgangs ist es, eine als vertrauenswürdig geltende Runtime-Umgebung auf einem typischen Smartphone zu schaffen.
  Übrigens ist das Smartphone als absolut nicht vertrauenswürdiges Gerät, auf dem alles Mögliche ausgeführt werden kann — ein weiterer Grund, nur für die Authentifizierung hardwaregestützte Tokens, die geschützt und viren- und trojanerfrei sind.

• Soziale Ingenieurtechnik. Wenn Betrüger wissen, dass das Opfer über Einmalpasswörter per SMS verfügt, können sie direkt mit dem Opfer Kontakt aufnehmen und sich als vertrauenswürdige Organisation ausgeben, wie z. B. deren Bank oder Kreditgenossenschaft, um das Opfer zu täuschen und dazu zu bringen, den gerade erhaltenen Code bereitzustellen.
  

  Ich habe persönlich mehrfach mit dieser Art von Betrug zu tun gehabt, zum Beispiel bei dem Versuch, etwas auf einem beliebten Online-Marktplatz zu verkaufen. Ich habe mich ausführlich über den Betrüger, der versucht hat, mich hereinzulegen, amüsiert. Doch leider lese ich regelmäßig in den Nachrichten, wie ein weiteres Opfer von Betrügern "nicht nachgedacht" hat, den Bestätigungscode mitgeteilt hat und eine große Summe Geld verloren hat. Und das alles, weil die Bank einfach keine Lust hat, sich mit der Implementierung von kryptografischen Tokens in ihren Anwendungen auseinanderzusetzen. Denn wenn etwas passiert, sind die Kunden "selbst schuld".

Obwohl alternative Methoden zur Zustellung von Einmalpasswörtern einige Schwachstellen dieser Authentifizierungsmethode abschwächen können, bleiben andere Schwächen bestehen. Autonome Apps zur Codegenerierung bieten den besten Schutz gegen Abhörversuche, da selbst Schadsoftware kaum direkt mit dem Codegenerator interagieren kann (ernsthaft? Der Autor des Berichts hat das Fernmanagement vergessen?), aber OTP können immer noch beim Eingeben im Browser abgefangen werden (zum Beispiel durch die Verwendung eines Keyloggers), durch gehackte mobile Apps; sie können auch direkt vom Benutzer durch soziale Ingenieurkunst erlangt werden.
Die Verwendung mehrerer Risikobewertungstools, wie Geräkeerkennung (Identifizierung von Versuchen, Operationen von nicht im rechtmäßigen Besitz befindlichen Geräten auszuführen), Geolocation (ein Benutzer, der gerade in Moskau war, versucht, von Nowosibirsk aus eine Transaktion durchzuführen) und Verhaltensanalytik ist von großer Bedeutung, um Schwachstellen zu beseitigen, aber keine dieser Lösungen ist eine Alleskönners. Für jede Situation und jeden Datentyp müssen die Risiken sorgfältig bewertet und die geeignete Authentifizierungstechnologie gewählt werden.

Keine Authentifizierungslösung ist eine Alleskönners

Abbildung 2. Tabelle der Authentifizierungsoptionen

Im zweiten Teil der Veröffentlichung erwarten uns die spannendsten Zahlen und Fakten, auf denen die in Teil eins dargelegten Schlussfolgerungen und Empfehlungen basieren. Die Authentifizierung in Benutzeranwendungen und in Unternehmenssystemen wird separat betrachtet.

Bis bald!

Quelle: habr.com