Benutzer-Werkzeuge

Webseiten-Werkzeuge


howto:android:2fa

Zwei-Faktor-Authentifizierung mit andOTP

Die Zwei-Faktor-Authentifizierung (oder „2FA“) ist eine Möglichkeit, sich als Nutzer*in eines Online-Accounts mithilfe einer Kombination von verschiedenen Authentifizierungsmethoden einzuloggen. Beispiele für Authentifizierungmethoden sind Geheimnisse (Passwörter und PINs), Hardware-Token (Smartcards, Yubikeys) oder Authenticator Apps für Smartphones. Das bekannteste Beispiel für 2FA ist die Verwendung einer Giro-Karte am Bankautomaten: Der zweite Faktor ist hier neben der PIN die physischen Bankkarte, die man benötigt um Bargeld abzuheben.

Mittlerweile ist es auch für viele Onlinedienste von Twitter bis Online-Banking üblich geworden, 2FA mithilfe einer Authenticator-App zu ermöglichen. Auch der Cloud-Service von Systemli unterstützt 2FA. Eine bekannte App dafür ist der Google Authenticator. Diese Anleitung bezieht sich allerdings auf andOTP, eine freie Open Source App die du bei F-Droid und im Google Play Store herunterladen kannst.

Wie funktioniert die 2FA-App?

Bei der Aktivierung von 2FA in deinen jeweiligen Accounteinstellungen hast du die Möglichkeit, mit deiner 2FA-App einen QR-Code einzuscannen. Dieser QR-Code enthält ein Geheimnis, aus dem deine App ein sogenanntes One-Time-Password (daher die Abkürzung OTP) generieren kann. Diese sind nur für einige Sekunden gültig und werden ständig neu generiert.

Ist es nicht unsicher, mein Smartphone für 2FA zu verwenden?

Selbst eine 2FA-App auf einem Smartphone macht deinen Accounts wesentlich sicherer, als gar keine 2FA zu benutzen. Für eine Angreiferin reicht es dann nicht mehr aus, dein Passwort herauszufinden, sondern sie müsste auch ersteinmal deines Telefons habhaft werden. Zusätzlich zur Displaysperre und der Speicherverschlüsselung1) kannst du andOTP und dessen App-Speicher mit einem Passwort schützen. Selbst wenn dein Smartphone mithilfe eines Trojaners ausgespäht werden würde, würde die Angreiferin dein Passwort brauchen, um in deinen Account zu gelangen.

Trenne deine Authentifizierungsmethoden voneinander! Aus demselben Grund, wieso du keinen Notizzettel mit deiner PIN zusammen mit deiner Bankkarte mit dir trägst, bringt dir 2FA wenig, wenn du deine Passwörter in dem Smartphone speicherst, auf dem du auch deine 2FA App installiert hast!

Risiken bei der Verwendung von 2FA

Da du deine 2FA-App benötigst, um dich einzuloggen, könntest du dich durch den Verlust deines Smartphones aus deinen Accounts aussperren. Es gibt allerdings mehrere Möglichkeiten das zu verhindern:

  1. Bei der Aktivierung von 2FA in den Einstellungen des jeweiligen Accounts wird ein Backup-Code generiert, den du ausdrucken oder in deinem Passwort-Manager speichern kannst.2)
  2. Mach regelmäßige Backups deiner andOTP-Datenbank. Die Backups werden auf dem Gerätespeicher abgelegt und können von allen Apps ausgelesen werden, die Zugriff auf deinen Speicher haben, deswegen solltest du die Datenbank mit einem starken Passwort gesichert haben, dass du dir leicht merken kannst. Optional OpenKeychain verwenden, um deine mit deinem PGP-Keys zu verschlüsseln und zu signieren.

Einer Studie zufolge neigen Nutzer*innen von Zwei-Faktor-Authentifizierung dazu, schwächere Passwörter zu verwenden weil sie sich durch 2FA sicher fühlen. Benutze unbedingt einen Passwort-Manager wie KeePassXC, um zufällige und starke Passwörter zu generieren und sicher auf deinem Computer zu speichern.

Eine weit verbreitete Methode ist 2FA mithilfe von SMS, *diese ist aber nicht sicher.* Gerade für Geheimdienste und Polizeibehörden ist es ein leichtes, SMS abzufangen und die 2FA zu umgehen: Das BKA hatmihilfe von SMS-Authentifizierung bereits Telegram-Accounts von Neonazis gehackt.

Für diese Anleitung wurde ein bisschen bei Surveillance-Self-Defense, einem Projekt der *Electronic Frontier Foundation* abgeguckt.

1)
Vergiss nicht, die Speicherverschlüsselung in den Einstellungen zu aktivieren!
2)
Solange du deine Passwörter nicht auch irgendwo ausgedruckt liegen hast, ist das Risiko gering. Natürlich solltest du trotzdem unbedingt darauf achten, dass niemand anderes deine Backup-Codes die Hänge kriegt
howto/android/2fa.txt · Zuletzt geändert: 2019/08/12 19:35 von yadda