Mit anwendungsspezifischen Passwörtern war ein einfacher Zugang zu einem Google-Konto möglich.
Mit anwendungsspezifischen Passwörtern war ein einfacher Zugang zu einem Google-Konto möglich. (Bild: Google/Screenshot: Golem.de)

Google Passwörter konnten leicht missbraucht werden

Sicherheitsexperten haben sich Googles anwendungsspezifische Passwörter angesehen und kommen zu dem Schluss: Mit ihnen lässt sich die vermeintlich sichere zweifache Authentifizierung leicht umgehen. Google hat bereits nachgebessert.

Anzeige

Der Einsatz von Googles anwendungsspezifischen Passwörtern könnte gefährlich sein. Das haben Sicherheitsexperten bei ihren Versuchen herausgefunden. Sie haben Google ihre Ergebnisse zur Verfügung gestellt. Nachdem der Suchmaschinenanbieter nachgebessert hatte, haben die Experten ihre Ergebnisse veröffentlicht. Adam Goodman von der Sicherheitsfirma Duo Security hat die Versuchsreihe aufgeschrieben, bei der die zweifache Authentifizierung mit einer präparierten URL umgangen werden konnte.

  • Für den Zugang zu Google können auch anwendungsspezifische Passwörter per URL übergeben werden.
Für den Zugang zu Google können auch anwendungsspezifische Passwörter per URL übergeben werden.

Zweifach abgesichert

Google stellt eine Zwei-Faktor-Authentifizierung bereit, mit der ein Konto weitgehend abgesichert werden kann. Für die doppelte Identitätsprüfung verwendet Google inzwischen auch OAuth2. Das webbasierte Anmeldungsframework steht allerdings nicht in allen Anwendungen zur Verfügung. Wer sich sicher bei Thunderbird oder Pidgin einloggen will, nutzt stattdessen die anwendungsspezifischen Passwörter, die von Google bereitgestellt werden. Für jede Anwendung wird ein neues spezifisches Passwort generiert. Die Passwörter lassen sich später einzeln zurücksetzen, etwa wenn ein Gerät mit einer authentifizierten Anwendung abhandengekommen ist, deren Zugang dann gesperrt werden soll. Der Nutzer muss so nicht sein gesamtes Google-Konto sperren oder sein Masterpasswort ändern. Damit soll auch verhindert werden, dass sich ein Dieb Zugang zum Google-Konto des Opfers verschafft. Soweit die Theorie.

Doch nicht sicher?

Ganz so anwendungsspezifisch, wie der Name suggeriert, seien die generierten Passwörter aber nicht, schreiben die Sicherheitsexperten. Ein einziges Passwort lasse sich beliebig oft und in fast jeder Anwendung einsetzen. Selbst auf Googles Webseiten konnten die Sicherheitsexperten ein anwendungsspezifisches Passwort zur Anmeldung verwenden, um dann etwa ein verlorenes Masterpasswort zurückzusetzen. Hätte ein Angreifer also Zugriff auf ein anwendungsspezifisches Passwort, das er in einer präparierten URL eingebettet hat, hätte er so auch das Konto eines Opfers übernehmen können - trotz Zwei-Faktor-Authentifizierung.

Ausgehend von einer detaillierten Analyse des Login-Mechanismus unter Android durch Nikolay Elenkov, die er in seinem Blog Android Explorations niederschrieb, wollten die Experten bei Duo Security wissen, ob Elenkovs Beobachtungen auch auf Geräten funktioniert, auf denen kein Android installiert ist.

Datenverkehr analysiert 

Kommentieren



Anzeige

  1. IT Business Analyst (m/w)
    Sanacorp Pharmahandel GmbH, Planegg bei München
  2. Abteilungsleiter (m/w) Manufacturing Execution Systems (MES)
    MVI PROPLANT Nord GmbH, Wolfsburg
  3. Software Developer (m/w)
    transact Elektronische Zahlungssysteme GmbH - epay, Martinsried bei München
  4. Magento Web Developer (m/w)
    transact Elektronische Zahlungssysteme GmbH - epay, Martinsried (bei München)

 

Detailsuche


Blu-ray-Angebote
  1. VORBESTELLBAR: Der Tatortreiniger - Böse Dose (limitierte Sonderedition) [3 BDs & 1 DVD] Folge 1-18 [Blu-ray]
    59,95€ (Vorbesteller-Preisgarantie) - Release 13.03.
  2. Game of Thrones - Die komplette 4. Staffel [Blu-ray]
    38,99€
  3. X-Men Zukunft ist Vergangenheit [Blu-ray]
    12,90€

 

Weitere Angebote


Folgen Sie uns
       


  1. VLC-Hauptentwickler

    "Appstores machen Kopfschmerzen"

  2. Torrent

    The Pirate Bay ist zurück - zumindest ein bisschen

  3. Freier Videocodec

    Daala muss Technik patentieren

  4. Android-Konsole

    Alibaba investiert zehn Millionen US-Dollar in Ouya

  5. Andrea Voßhoff

    Datenschutzbeauftragte jetzt gegen Vorratsdatenspeicherung

  6. Breitbandausbau

    "Wer Bauland will, fragt heute erst nach schnellem Internet"

  7. Dying Light

    Performance-Patch reduziert Sichtweite

  8. Project Tango

    Googles 3D-Sensor-Konzept verlässt Experimentierstatus

  9. Messenger

    Telefoniefunktion für Whatsapp erreicht erste Nutzer

  10. iTunes Connect

    Hallo, fremdes Benutzerkonto



Haben wir etwas übersehen?

E-Mail an news@golem.de



Fehlender Cache verursacht Ruckler: Nvidias beschnittene Geforce GTX 970 stottert messbar
Fehlender Cache verursacht Ruckler
Nvidias beschnittene Geforce GTX 970 stottert messbar
  1. IMHO Juhu, DirectX 12 gibt's auch für Windows-7-Besitzer
  2. Geforce GTX 965M Sparsamere Alternative zur GTX 870M
  3. MFAA Nvidias temporale Kantenglättung kann mehr

Glibc: Ein Geist gefährdet Linux-Systeme
Glibc
Ein Geist gefährdet Linux-Systeme
  1. Tamil Driver Freier Treiber für ARMs Mali-T-GPUs entsteht
  2. Red Star ausprobiert Das Linux aus Nordkorea
  3. Linux-Jahresrückblick 2014 Umbauarbeiten, Gezanke und Container

Onlinehandel: Welche Versand-Flatrates sich nicht lohnen
Onlinehandel
Welche Versand-Flatrates sich nicht lohnen
  1. Quartalsbericht Amazons Ausgaben steigen auf 28,7 Milliarden US-Dollar
  2. Amazon Original Movies Amazon will eigene Kinofilme kurz nach der Premiere streamen
  3. Ultra-HD Amazons 4K-Videos vorerst nur für Smart-TVs

    •  / 
    Zum Artikel