2FA Lücke bei Google: Zwei-Faktor-Authentifizierung lässt sich aushebeln
• 10.03.20 Wie gerade erst bekannt wurde, hat Google eine Sicherheitslücke bei der Zwei-Faktor-Authentifizierung, auch kurz
|
2FA Lücke bei Google: Zwei-Faktor-Authentifizierung lässt sich aushebeln
Dabei hat Google es bisher vergessen bei seiner beliebten Zwei-Faktor-Authentifizierungs App, eine Sicherung gegen Screenshots einzubauen. Bei der App Google Authenticator können so ganz einfach Screenshots erstellt werden. Diese können Hacker-Apps nutzen, um eine Aufnahme der sechs- oder achtstelligen TOTP-Codes zu erstellen und damit die Zwei-Faktor-Authentifizierung einfach umgehen.
|
|
Neue 2FA Lücke bei Google -Abbildung: (Pixabay License)/ pixabay.com |
Das Problem ist Google schon seit dem Jahr 2014 nach Medienquellen bekannt. Dabei gibt es wohl auch schon die erste Schadsoftware, die diese einfache Sicherheitslücke ausnutzt.
Besonders einfach ist die Sicherheit für die Programmierer zu erstellen. In den Android-Apps kann man über die Option "FLAG_SECURE" das Erstellen von Screenshots verhindern. Allerdings kennen Googles Programmierer ihr eigenes Betriebssystem nicht sonderlich gut, sonst wäre dieses Problem nicht schon seit dem Jahr 2014 verschlampt worden.
So gibt es schon auf Github erste Tickets aus dem Jahr 2014 und 2016, welche die Sicherheitsfunktion bei Google Authenticator anmahnen. Die Sicherheitsfirma Nightwatch meldete das Problem 2017 ein weiteres Mal.
| 2FA bei App Google Authenticator -Quelle: WhatsApp/Youtube |
Auch beim Microsoft Authenticator gibt es die gleiche Sicherheitslücke Im Jahr 2018 hatte die Sicherheitsfirma Nightwatch Microsoft auf das gleiche Problem in seiner App Microsoft Authenticator hingewiesen. So kann jeder Anwender ohne Probleme diese Sicherheitslücke testen, und braucht nur einen Screenshot beim Microsoft Authenticator und beim Google Authenticator machen.
Nach einem Medien des Onlinemagazins ZDnet verwendet der Trojaner Cerberus diese Sicherheitslücke bei Screenshots, um die TOTP-Codes des Google Authenticators abzugreifen.
Dadurch können Angreifer direkt auf das Smartphone der Opfer zugreifen, den Google Authenticator öffnen, einen passenden Screenshot erstellen und an den passender Server zur Auswertung schicken.
Kr00k WLAN Lücke: Neue WLAN Sicherheitslücke bedroht über eine Milliarde Geräte
So haben nun die ESET-Forscher eine bisher unbekannte Sicherheitslücke entdeckt, welche auf den Namen "Kr00k" getauft wurde. Dieser Leak taucht in den WLAN-Chips der Firmen Broadcom und Cypress auf.Dabei können Hacker verschlüsselt, übertragene Informationen ausspionieren und dabei eigene Datenpakete für einen Angriff einschleusen. Über eine Milliarde WLAN-fähiger Geräte wie Smartphones, Tablets, Access Points, Router und Smart-Home-Geräte sind von der Schwachstelle betroffen. Dies gilt auch für WLAN-Access Points und Router in Unternehmen, so dass selbst Umgebungen mit gepatchten Client-Geräten weiterhin anfällig sind.
"Die Sicherheitslücke Kr00k nutzt einen Prozess aus, der eigentlich bei Unterbrechungen in der WLAN-Übertragung für Abhilfe schaffen soll. Ob eine Störung durch ein schwaches Signal hervorgerufen wird oder es sich um eine Attacke durch Kr00k handelt, ist für die meisten Anwender nicht zu unterscheiden", erklärt Thomas Uhlemann, ESET Security Specialist. Immerhin können sich Besitzer WLAN-fähiger Geräte durch Updates auf die neueste Firmware-Version schützen.
Die Forschergruppe ESET haben diese Sicherheitslücke den Chip-Produzenten gemeldet, die bereits Patches veröffentlicht haben. Auch zahlreiche Hersteller haben bereits Updates für betroffene Geräte veröffentlicht.
Da mittlerweile schon entsprechende Patches entwickelt wurden, sollten die Besitzer mit den betroffenden Chips ihre Geräte aktualisieren, sofern dies nicht automatisch erfolgte.
Ihre Forschungsergebnisse haben die ESET-Experten auf der derzeit stattfindenden RSA Conference sowie auf Welivesecurity veröffentlicht. Bei der Sicherheitslücke Kr00k kann die Netzwerkkommunikation ohne korrekte Verschlüsselung stattfindet. Dabei wird der Schlüssel nach seiner Nutzung im Speicher mit Nullen überschrieben. Dieser sogenannte "all-zero Encryption key" hebt die WPA2-Verschlüsselung somit auf und Hacker haben Zugriff auf die Kommunikation. Hacker können somit ohne Probleme den Datenverkehr entschlüsseln und einsehen.
Diese Geräte sind bislang betroffen
Kr00k betrifft alle Geräte mit Broadcom- und Cypress-WLAN-Chips, die noch nicht gepatcht wurden. Vorsichtig geschätzt sind über eine Milliarde Geräte betroffen. Bei den Test konnten die ESET Forscher feststellen, dass sich unter den anfälligen Geräte auch jene von Amazon (Echo, Kindle), Apple (iPhone, iPad, MacBook), Google (Nexus), Samsung (Galaxy), Raspberry (Pi 3) und Xiaomi (Redmi) sowie Access Points von Asus und Huawei befanden. Für diese Geräte wurden in der Zwischenzeit bereits Sicherheits-Updates veröffentlicht.Sollten Sie nun die Sicherheit bei ihrem Smartphones und PCs verbessern wollen, erhalten bei uns auch eine große Übersicht an Anti-Viren Programme, sowie die Software von den Anbietern Bitdefender, G Data und die Software von Kaspersky.
Damit Ihnen in Zukunft keine aktuellen Nachrichten oder Spar-Angebote entgehen, können Sie sich auch bei unserem kostenlosen Newsletter anmelden. Einmal in der Woche bekommen Sie dann eine Übersicht an Aktionen und wichtigen Änderungen im Telefonmarkt. Noch schneller sind Sie via Twitter und Facebook informiert.
| Verwandte Nachrichten: |
|
|
|
Auf dieser Seite gibt es Affilate Links, die den Preis nicht beeinflussen. Damit wird der hochwertige Journalismus kostenfrei angeboten |
|
