Anzeige

Anzeige

VERANSTALTUNGEN

DIGITAL FUTUREcongress
14.02.19 - 14.02.19
In Frankfurt, Congress Center Messe

SAMS 2019
25.02.19 - 26.02.19
In Berlin

INTERNET WORLD EXPO
12.03.19 - 13.03.19
In Messe München

secIT 2019 by Heise
13.03.19 - 14.03.19
In Hannover

IAM CONNECT 2019
18.03.19 - 20.03.19
In Berlin, Hotel Marriott am Potsdamer Platz

Anzeige

Anzeige

BitcoinSMS sind kein ausreichend sicherer Kanal für Zwei-Faktor-Authentifizierung. Das haben Forscher des Sicherheitsspezialisten Positive Technologies mit einem spektakulären Beispiel nachgewiesen.

Wie sie in einem Video zeigen, ist es durch Abfangen von SMS möglich, eine Bitcoin-Wallet der Handelsplattform Coinbase zu hacken. Möglich machen das grundlegende Schwachstellen im Mobilfunknetz.

Unsicherer Sicherheitsfaktor

Eine Zwei-Faktor-Authentifizierung mit zwei unabhängigen Kanälen soll eigentlich für mehr Sicherheit sorgen. Häufig, unter anderem auch im mTAN-Verfahren für das Online-Banking, kommen dabei SMS als ein Kanal zum Einsatz. Doch warnen Experten schon seit längerem, dass eben diese Kurznachrichten abgefangen werden könnten. Eben das haben die Positive-Technologies-Forscher jetzt anhand eines Beispiels bewiesen: Die Übernahme einer Coinbase-Wallet, die mit einem Gmail-Account verknüpft ist.

Für den Angriff mussten die Forscher Name und Telefonnummer ihres Test-Opfers kennen. Durch Ausnutzen grundlegender Schwächen in modernen Telekommunikationsnetzen war es ihnen möglich, eine Zeit lang sämtliche SMS an diese Nummer abzufangen. Das hat gereicht, um das Passwort des Gmail-Kontos zurückzusetzen und in weiterer Folge die Kontrolle über die Bitcoin-Wallet zu übernehmen. Ein echter Angreifer könnte diese einfach leerräumen, ehe es dem Besitzer vielleicht gelingt, die Kontrolle wiederzuerlangen. Da Transaktionen der Kryptowährung irreversibel sind, wären die Bitcoins für das Opfer unwiederbringlich verloren.

Telefonie als Grundproblem

Das Experiment macht sich keine Coinbase- oder Gmail-spezifische Sicherheitslücke zunutze. Vielmehr gelingt der Angriff aufgrund von teils seit Jahren bekannten und behebbaren Schwachstellen im Signalling System #7 (SS7), das grundlegende Bedeutung für die Signalisierung in Telekommunikationsnetzen hat. Entsprechend großes Potenzial haben SS7-Angriffe. "Dieser Hack würde für jede Ressource - echte oder virtuelle Währung - funktionieren, die SMS zur Passwortwiederherstellung verwendet", erklärt Positive-Forscher Dmitry Kurbatov gegenüber "Forbes".

Das vielleicht größte Hindernis für SS7-Angriffe ist, dass Kriminelle erst einmal Zugang zum SS7-Netzwerk bekommen müssen. Das Positive-Team selbst hatte diesen explizit für Forschungszwecke erhalten. Allerdings warnt Kurbatov, dass ein illegaler Zugang zum SS7 wohl im Darknet erworben werden könnte. Dass SS7-Attacken mehr als nur graue Theorie sind, ist seit diesem Jahr klar: In Deutschland waren O2-Kunden einem Angriff zum Opfer gefallen, bei dem Kriminelle auf Bankkonten aus waren.

Weitere Informationen:

Video: Bitcoin wallet hacked via SMS interception

www.pressetext.com
 

GRID LIST
Karsten Glied

Zu unbedarfter Umgang mit der IT-Sicherheit?

Zum jüngsten Hacker-Angriff auf Politiker, Journalisten und bekannten Persönlichkeiten…
Security Concept

Verantwortung für die IT-Security der eigenen Geräte übernehmen

Auf der CES werden wie jedes Jahr eine Vielzahl neuer Geräte vorgestellt. Passend dazu…
Tb W190 H80 Crop Int 5f246ccbf6b1305119a03e5f5f5f3175

CEO & Co. als Zielscheibe von Cyberkriminellen

Die Wellen in Politik und Presse schlagen hoch, wenn persönliche Daten von Personen des…
Elmar Albinger

Politiker-Hack: Passwort "Schwachstelle Mensch"

Der Hackerangriff auf deutsche Mandatsträger und Prominente hat das politische Berlin in…
Hacker mit Tastatur

Zwischen Spaß und Verbrechen - Cybercrime als gesellschaftliches Phänomen

Er ist 20 Jahre alt, Schüler und wohnt noch bei seinen Eltern. So sieht das Profil des…
Kai Grunwitz

Hackerangriff auf Politiker: Risikobewusstsein ist der Schlüssel

Der aktuelle Hackerangriff auf Politiker schlägt hohe Wellen. Das Bundesamt für…
Smarte News aus der IT-Welt