Die meisten Organisationen, die im vergangenen Jahr kompromittiert wurden, hatten Multi-Faktor-Authentifizierung aktiviert. Das ist der unbequeme Teil. Die Angreifer haben den zweiten Faktor nicht geknackt; sie sind um ihn herumgegangen, mit Techniken, die gerade deshalb funktionieren, weil die eingesetzte MFA einem erschöpften Menschen im denkbar ungünstigsten Moment eine Sicherheitsentscheidung abverlangt.
Wenn Ihre MFA aus einem SMS-Code oder einem Ein-Tipp-„Bestätigen?“ besteht, sind die nächsten zehn Minuten Ihre Aufmerksamkeit wert. Diese beiden Verfahren sind inzwischen jene, um die Angreifer herum planen, nicht jene, die sie aufhalten.
Drei Angriffe, die „irgendeine MFA“ schlagen
- Push-Bombing (MFA-Müdigkeit). Der Angreifer hat das Passwort bereits: aus einem Datenleck, einem Phishing-Versuch oder aus Mehrfachnutzung. Er löst Anmeldung um Anmeldung aus und feuert eine Flut von Bestätigungsanfragen auf das Telefon des Nutzers ab, bis dieser (aus Verwirrung oder einfach, um es zu beenden) auf Bestätigen tippt. Ein Tipp, und der Angreifer ist drin. So begannen mehrere Sicherheitsvorfälle bei namhaften Unternehmen.
- SIM-Swapping. SMS war nie als Sicherheitskanal gedacht. Ein Angreifer, der einen Mobilfunkanbieter überzeugt (oder besticht), eine Rufnummer auf eine neue SIM zu übertragen, empfängt jeden Einmalcode, der an sie gesendet wird. Keine Schadsoftware, keine Phishing-Seite – nur ein Anruf bei einer Hotline.
- Adversary-in-the-Middle (AiTM). Eine überzeugende gefälschte Anmeldeseite leitet die echte in Echtzeit weiter. Das Opfer gibt sein Passwort und seinen Code ein; der Angreifer reicht beides augenblicklich durch und stiehlt das daraus entstehende Sitzungstoken. Der Code war gültig. Die MFA „funktionierte“. Das Konto ist trotzdem verloren.
Der gemeinsame Nenner: Jede dieser Methoden beruht auf einem Geheimnis oder einer Bestätigung, die sich weiterreichen lässt: vom legitimen Nutzer kopiert und vom Angreifer erneut abgespielt. Unterbinden Sie das Weiterreichen, und alle drei Angriffe enden mit ihm.
Was sie tatsächlich stoppt: phishing-resistente, hardwaregebundene Authentifizierung
„Phishing-resistent“ ist keine Marketingfloskel; der Begriff benennt eine konkrete Eigenschaft. Zwei Dinge müssen gleichzeitig zutreffen: Der Schlüssel darf das Gerät des Nutzers niemals verlassen, sodass es nichts gibt, das sich abgreifen und wiederverwenden ließe; und der Nutzer muss genau lesen können, was er bestätigt, sodass nichts blind bestätigt wird.
- Der Schlüssel lebt in der sicheren Hardware des Telefons. Er wird dort erzeugt und lässt sich weder exportieren noch kopieren noch per SIM-Swap entwenden. Es gibt kein gemeinsames Geheimnis, das in einer Datenbank liegt oder per SMS eintrifft. Genau das schließt Abfangen, SIM-Swaps und das Weiterreichen bei AiTM aus.
- Sie können genau lesen, was Sie bestätigen. Das ist der Teil, der Push-Bombing aufhält, und hier lohnt sich Präzision: Weder ein Schlüssel noch ein biometrisches Merkmal helfen, sobald eine Anfrage das Telefon erreicht, denn der Angriff bittet den Nutzer schlicht darum, Ja zu sagen. Ein biometrisches Merkmal bestätigt nur, dass die Person, die tippt, der Telefonbesitzer ist, nicht, dass die Anmeldung legitim ist. Was Push-Bombing besiegt, ist die Tatsache, dass jede Anfrage eine konkrete, lesbare Beschreibung genau dessen trägt, was bestätigt wird: diese Anmeldung, dieser Server, von hier, jetzt. Eine Aufforderung, die der Nutzer nie selbst ausgelöst hat, ist sichtbar nicht die seine, also lehnt er sie ab. Der Schutz ist eine Beschreibung, die präzise genug ist, um sie auf einen Blick zu lesen, nicht ein erschöpfter Mensch, der einem leeren „Bestätigen?“ widersteht.
- Die Sitzung lässt sich nicht wiederholen. Weil die Signatur kryptografisch und an die Anfrage gebunden ist, hat ein AiTM-Proxy nichts Stehlenswertes in der Hand.
Das ist der Unterschied zwischen MFA, die die Hürde anhebt, und MFA, die ein Angreifer bereits skriptgesteuert überwunden hat.
Wo Notakey ins Bild passt
Notakey wurde genau um diese Eigenschaft herum entwickelt. Der Schlüssel des Nutzers wird in der sicheren Hardware seines Telefons erzeugt und verlässt sie nie, und jede Bestätigung ist ein signierter, mit Zeitstempel versehener Nachweis der konkreten Aktion, kein anonymer Tipp.
- Kein gemeinsames Geheimnis zum Abphishen, keine SMS zum Abfangen, kein Code zum Weiterreichen.
- Gegen Push-Bombing liegt die Verteidigung in dem, was der Nutzer liest: Jede Anfrage zeigt eine präzise Beschreibung genau dessen, was bestätigt wird (welches System, welche Aktion, von wo), sodass eine Aufforderung, die niemand ausgelöst hat, auf den ersten Blick auffällt und abgelehnt wird. Es gibt nichts blind zu bestätigen.
- Sie deckt die Wege ab, die Angreifer tatsächlich nutzen; siehe die praxisnahen Anleitungen zu 2FA für ein VPN über RADIUS, Windows-Remotedesktop und Linux SSH.
Überzeugen Sie sich selbst
Am schnellsten spüren Sie den Unterschied, wenn Sie eine Transaktion auf die phishing-resistente Weise bestätigen: indem Sie eine konkrete Aktion auf Ihrem eigenen Telefon lesen und signieren, statt eine kontextlose Aufforderung wegzutippen.
Testen Sie die Live-Demo und signieren Sie eine in etwa zwei Minuten, oder fordern Sie eine Demo an, und wir bilden Ihre VPN-, SSO- oder Windows-Anmeldungen in einem Pilotprojekt auf Ihrer eigenen Infrastruktur ab.