Bitte hören Sie auf, SMS für die Zwei-Faktor-Authentifizierung zu verwenden

Die Zwei-Faktor-Authentifizierung (2FA) ist eine der besten Möglichkeiten, um eine zusätzliche Sicherheitsebene für Ihre Online-Konten hinzuzufügen. Dieser geheime Code verhindert eine Menge Hackerangriffe, und es ist großartig, dass heutzutage viele Menschen ihn nutzen. Allerdings ist es äußerst wichtig, wie Sie diesen Code erhalten. Wenn Sie wie ich lange Zeit SMS verwendet haben, habe ich eine große Bitte an Sie — bitte hören Sie damit auf.

Ob es Facebook, Amazon oder PayPal ist, viele von uns entscheiden sich dafür, SMS für die Zwei-Faktor-Authentifizierung zu verwenden. Aber SMS wurde ohne jegliche Sicherheit entwickelt, und deshalb ist es die schwächste Methode, diesen wichtigen Code zu erhalten. Sie können sogar einen anderen Authentifizierungsfaktor als SMS-Codes wählen. Lassen Sie uns darüber sprechen.

SMS ist der einfachste Weg, um Ihren Zwei-Faktor-Authentifizierungscode zu erhalten

Aber Einfachheit kann bedeuten, dass etwas fehlt

Ich verstehe den Reiz, SMS als bevorzugte 2FA-Methode zu verwenden - es ist unvergleichlich bequem. Es gibt keine App zum Herunterladen, keine Einstellungen zu verwalten und kein technisches Wissen erforderlich. Sie geben einfach Ihre Telefonnummer an, und der Code kommt auf ein Gerät zu Ihnen, das Sie immer in der Nähe haben. Es wird keine Internetverbindung benötigt, und selbst ein altes Nicht-Smartphone kann eine SMS empfangen.

Trotz seiner Bequemlichkeit, Nützlichkeit und Universalität hat SMS einige Sicherheitslücken. Lassen Sie mich nur die beiden größten behandeln, die Sie nachts wach halten sollten.

SMS verwendet ein veraltetes Übertragungsprotokoll

Das größte Problem bei der Verwendung von SMS ist, dass die zugrunde liegende Technologie veraltet ist. Sie kann moderne Sicherheitsanforderungen einfach nicht erfüllen, weil sie ein altes Übertragungsprotokoll namens Signaling System No. 7 (SS7) verwendet, das Ende der 1970er und 1980er Jahre entwickelt wurde. Es ist leichter auszunutzen, weil es in einer Zeit entwickelt wurde, in der der Zugang begrenzt war und jeder, der es verwendete, vertrauenswürdig war.

Das Hauptproblem bei SS7 ist das Fehlen kryptografischer Authentifizierung. Einfach gesagt geht das Protokoll davon aus, dass jede Nachricht in seinem Signalisierungsnetz von einer legitimen Quelle stammt, was bedeutet, dass ein Hacker, der darauf zugreift - normalerweise über einen schlecht gesicherten Anbieter - böswillige Befehle senden kann, die Nachrichten verfolgen, sich als jemand ausgeben und abfangen.

Es wird schlimmer. Das SS7-Protokoll verfügt nicht über die Ende-zu-Ende-Verschlüsselung, die wir in Apps wie WhatsApp und iMessage für selbstverständlich halten. SMS-Nachrichten werden als Klartext übertragen, was bedeutet, dass Hacker Nachrichten mit dem 2FA-Code abfangen und sie leicht lesen können, da sie nicht verschlüsselt sind.

Abgesehen davon, dass sie den Inhalt der Nachricht sehen, haben die Hacker auch Zugriff auf die Metadaten. Das bedeutet, dass sie andere Informationen wie Telefonnummern, Standort und Geräteinformationen sehen können, die den Nachrichten angehängt sind.

SIM-Tausch ist eine wachsende Bedrohung

Heutzutage müssen Hacker nicht einmal Zugriff auf das Signalisierungsnetz erhalten, um Ihr Konto zu hacken. Sie können eines der schwächsten Glieder in jeder Sicherheitskette ausnutzen — den Menschen. Hacker können Phishing verwenden, um Ihren Anbieter dazu zu bringen, Ihre Telefonnummer auf eine SIM-Karte zu übertragen, die ihnen gehört. Danach können sie Zwei-Faktor-Authentifizierungscodes empfangen, die für Sie bestimmt sind, und so auf Ihre Konten zugreifen.

Wie groß ist die Bedrohung durch SIM-Swapping? Nun, laut einem Bericht von TransUnion halten etwa 27 % der Telekommunikationsleiter in den USA SIM-Swapping für die größte aufkommende Bedrohung bei Telekommunikationsbetrug. Tatsächlich belegte SIM-Swapping jedoch den zweiten Platz, wobei Betrug mit synthetischen Identitäten (30 %) den ersten Platz einnahm und Geräte-Diebstahl (20 %) den dritten Platz belegte.

Was Sie für die Zwei-Faktor-Authentifizierung statt SMS verwenden können

Andere Faktoren der Authentifizierung neben SMS

Ein weiteres Problem mit SMS, das ich eher ärgerlich als eine Sicherheitslücke finde, ist, dass sie versagen kann, wenn man sie am dringendsten braucht. Ich erinnere mich, dass ich versucht habe, mich auf einem anderen Gerät bei meinem Amazon-Konto anzumelden, und als ich versuchte, den Code per SMS zu senden, kam er nie an. Manchmal kommt der Code nach mehrfachem Senden an, aber nach wiederholten Fehlversuchen entschied ich, dass SMS für den Empfang von 2FA-Codes nicht zuverlässig ist. Ähnliche Probleme habe ich mit PayPal und Payoneer erlebt.

Hier sind sicherere und zuverlässigere Alternativen zu SMS für die Zwei-Faktor-Authentifizierung:

• Authenticator-Apps: Sie können Google Authenticator, Microsoft Authenticator, Authy oder jede andere Authenticator-App verwenden, die ein TOTP (zeitbasiertes Einmalpasswort) erzeugt. Dies ist ein vorübergehender, einmalig verwendbarer Code — viele beliebte Konten ermöglichen es Ihnen, Authenticator-Apps damit zu verknüpfen. Diese Apps setzen den Code alle 30 Sekunden zurück und funktionieren auch ohne Internetzugang. Die Codes sind sicher, da sie lokal erzeugt werden, anstatt über ein Netzwerk gesendet zu werden.
• Passkeys: Sie können auch einen Passkey verwenden, der wie eine digitale Berechtigung ist, die auf Ihrem Gerät gespeichert ist (z. B. Telefon oder Computer). Beim Anmelden bei einem Konto sendet der Server Ihrem Gerät eine Herausforderung, die mit einem lokal gespeicherten privaten Schlüssel signiert werden soll. Nach der Signierung überprüft der Server die Signatur mit einem öffentlichen Schlüssel und gewährt Ihnen Zugang, wenn alles stimmt. Wenn also der Hacker Ihr Telefon nicht physisch stiehlt und die Sicherheitsmaßnahmen (z. B. Passcode, Fingerabdruck oder Gesichtserkennung) umgeht, wird er nicht auf dieses Konto zugreifen können.
• Sicherheitsschlüssel: Sie können auch einen USB-Stick in einen Sicherheitsschlüssel (z. B. YubiKey) verwandeln. Dies funktioniert auf die gleiche Weise wie ein Passkey, aber die Challenge wird stattdessen mit dem Sicherheitsschlüssel signiert. Auch hier müsste jemand den Sicherheitsschlüssel physisch in die Hand bekommen, um Ihre Konten hacken zu können. Den Schlüssel physisch zu erlangen ist sehr riskant, weshalb Hacker überwiegend auf Fernangriffe setzen.

Natürlich gibt es mehr Methoden als diese. Dies sind nur die, die relativ einfacher einzurichten sind und wesentlich mehr Sicherheit als SMS bieten.

SMS vermittelt ein falsches Sicherheitsgefühl

Die Verwendung von SMS für 2FA macht die Menschen selbstgefällig, weil sie tatsächlich denken, dass sie geschützt sind. Es funktioniert, und das ist alles, was sie wissen müssen. Es ist jedoch ein enormes Sicherheitsrisiko, sich auf eine Technologie zu verlassen, die sich seit den 1970er Jahren nicht weiterentwickelt hat. Wir befinden uns im digitalen Zeitalter, in dem sich Bedrohungen schnell entwickeln und die Sicherheitslücken dieser veralteten Technologie noch vergrößern. Es ist Zeit, auf etwas Besseres umzusteigen.