• IT-Karriere:
  • Services:

Google Authenticator: 2FA-Codes lassen sich einfach abgreifen

Google Authenticator, Microsoft Authenticator und etliche andere Apps zur Zwei-Faktor-Authentifizierung haben keinen Schutz vor Screenshots eingerichtet. Eine Schadsoftware soll dies bereits ausnutzen.

Artikel veröffentlicht am ,
Der Google Authenticator
Der Google Authenticator (Bild: Oliver Nickel/Golem.de)

Google hat es bei seiner beliebten App zur Zwei-Faktor-Authentifizierung bisher versäumt, eine grundlegende Schutzfunktion zu implementieren: Von der App Google Authenticator können Screenshots erstellt werden. Das können andere Apps nutzen, um eine Aufnahme der sechs- oder achtstelligen TOTP-Codes zu erstellen und damit die Zwei-Faktor-Authentifizierung zu umgehen. Eine Schadsoftware soll das Problem bereits ausnutzen, bekannt ist es bereits sei 2014.

Stellenmarkt
  1. BIM Berliner Immobilienmanagement GmbH, Berlin
  2. Deutsche Bahn AG, Frankfurt

Android-Apps können über die Option FLAG_SECURE das Erstellen von Screenshots verhindern. Auf Github gibt es bereits seit 2014 und 2016 Tickets, die die Sicherheitsfunktion bei Google Authenticator anmahnen. Die Sicherheitsfirma Nightwatch meldete das Problem 2017 ein weiteres Mal und will ein Bug Bounty dafür erhalten haben. Das Problem blieb jedoch bestehen.

Microsoft Authenticator hat das gleiche Problem

2018 hatte die Sicherheitsfirma auch Microsoft auf das gleiche Problem in seiner App Microsoft Authenticator hingewiesen. In einem Kurztest in der Redaktion konnten wir sowohl bei Microsoft Authenticator als auch beim Google Authenticator Screenshots erstellen. Auch der RSI Authenticator des Spiels Star Citizen und Steam Guard der Spieleplattform Steam erlaubten das Erstellen von Screenshots. Die App andOTP hingegen nutzte die Sicherheitseinstellung und ließ keine Screenshots zu.

Laut einem Bericht des Onlinemagazins ZDnet verwendet der Trojaner Cerberus die Screenshotfunktion, um die TOTP-Codes des Google Authenticators abzugreifen. Die Funktion befinde sich jedoch noch in der Entwicklung und würde noch nicht aktiv ausgenutzt. Demnach könnten Angreifer mit der Schadsoftware direkt auf das Smartphone der Opfer zugreifen (Remote-Access-Tool, RAT), den Google Authenticator öffnen, einen Screenshot erstellen und an den Command-and-Control-Server schicken lassen. Die Codes müssten dann zeitnah verwendet werden, da sich diese alle 30 Sekunden ändern. Je nach Server-Konfiguration akzeptieren die Server neben dem aktuellen, auch vergangene oder zukünftige Codes.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 999,90€ + Versand (Vergleichspreis für derzeit günstigste RTX 2080 Ti + EKWB-Kühlblock über 1...
  2. 548€ + 7,99€ Versand (Vergleichspreis CPU 437,99€ und Mainboard 229,90€)
  3. 479€ + Versand (Vergleichspreis 649€)
  4. (aktuell u. a. Seagate Backup Plus Portable 4 TB für 88€ und Expansion+ Desktop 4 TB für 77€)

tearcatcher 11. Mär 2020 / Themenstart

MS Authenticator ist dann wohl ein Sonderfall, dass dieser Internetzugang braucht bzw...

Prypjat 10. Mär 2020 / Themenstart

Ich nutze den Google Authenticator für Uplay und Epic. Sobald der neue Code generiert...

unbuntu 10. Mär 2020 / Themenstart

Bei nem PW-Manager geht ja alles offline, daher die Frage. Wenn ich im tiefsten Keller...

WalterWhite 10. Mär 2020 / Themenstart

Tippen zum Kopieren ist auch beim Google authenticator so.

fn.ord 10. Mär 2020 / Themenstart

Ja, stimmt. Das Problem ist nur, dass man das nur den Weg zum eigenen Mail-Server unter...

Kommentieren


Folgen Sie uns
       


Kuschelroboter Lovot angesehen (CES 2020)

Lovot ist ein kleiner Roboter, der bei seinem Besitzer für gute Stimmung sorgen soll. Er lässt sich streicheln und reagiert mit freudigen Geräuschen.

Kuschelroboter Lovot angesehen (CES 2020) Video aufrufen
Coronavirus: Spiele statt Schule
Coronavirus
Spiele statt Schule

Wer wegen des Coronavirus mit Kindern zu Hause ist, braucht einen spannenden Zeitvertreib. Unser Autor - selbst Vater - findet: Computerspiele können ein sinnvolles Angebot sein. Vorausgesetzt, man wählt die richtigen.
Von Rainer Sigl

  1. China Bei Huawei füllen sich die Büros nach Corona wieder
  2. Schulunterrricht Datenschützer hält Skype-Nutzung für bedenklich
  3. Coronakrise Netzbetreiber dürfen Dienste und Zugänge drosseln

Disney+ im Test: Ein Fest für Filmfans
Disney+ im Test
Ein Fest für Filmfans

Wir haben Disney+ vor dem Deutschlandstart getestet und sind begeistert. Das Abo ist perfekt für Familien mit Schulkindern. Filmfans können sich über Bonusmaterial freuen, das Amazon Prime Video, Netflix und Sky gar nicht kennen.
Ein Test von Ingo Pakalski

  1. Rabatte für Disney+ Disney erlaubt Aussetzen des vergünstigten Jahresabos
  2. Netflix-Konkurrenz Disney+ für Telekom-Kunden ein halbes Jahr gratis
  3. Konkurrenz für Netflix und Prime Video Disney nennt Filme und Serien für Disney+ in Deutschland

Next-Gen: Welche neue Konsole darf's denn sein?
Next-Gen
Welche neue Konsole darf's denn sein?

Playstation 5 oder Xbox Series X: Welche Konsole besser wird, wissen wir auch noch nicht. Grundüberlegungen zur Hardware und den Ökosystemen.
Ein IMHO von Peter Steinlechner

  1. Elektroschrott Kauft keine kleinen Konsolen!
  2. IMHO Porsche prescht beim Preis übers Ziel hinaus

    •  /