Glossar / Privatsphäre und Sicherheit
Zwei-Faktor-Authentifizierung
Auch bekannt als 2FA.
- Was ist die Zwei-Faktor-Authentifizierung?
- Die Zwei-Faktor-Authentifizierung verlangt für ein Konto einen zweiten Nachweis zusätzlich zum Passwort, sodass ein preisgegebenes oder erratenes Passwort allein Ihr Börsenkonto nicht mehr öffnet.
Die drei üblichen Faktoren sind etwas, das Sie wissen, etwas, das Sie besitzen, und etwas, das Sie sind, und ein echter zweiter Faktor muss aus einer anderen Kategorie stammen als der erste. Googles Untersuchung von Kontoübernahmen ergab, dass eine Aufforderung auf dem Gerät 99 Prozent der massenhaften Phishing-Versuche und 90 Prozent der gezielten blockierte, während per Textnachricht versandte Codes 96 und 76 Prozent erreichten. Bei einer Börse schützt all das das Konto, niemals die Coins.
So funktioniert es
Die Zwei-Faktor-Authentifizierung macht aus der Anmeldung zwei unabhängige Behauptungen, und ihr ganzer Wert liegt darin, wie unabhängig diese wirklich sind.
Codes aus einer App (TOTP). Der Standard ist RFC 6238, veröffentlicht im Mai 2011 aufbauend auf dem älteren HOTP-Verfahren aus 2005. Bei der Einrichtung zeigt Ihnen der Dienst einen QR-Code mit einem gemeinsamen Geheimnis, typischerweise 160 Bits. Von da an berechnen Ihr Smartphone und der Server einen HMAC über dieses Geheimnis und den aktuellen Zeitschritt von 30 Sekunden, kürzen ihn auf sechs Ziffern und vergleichen ihn. Zur Erzeugung des Codes läuft nichts über das Netzwerk, weshalb eine App einen SIM-Tausch übersteht, an dem Textnachrichten scheitern würden.
Die Konsequenz, die viele übersehen, ist, dass das Geheimnis kopierbar ist. Machen Sie einen Screenshot des Einrichtungs-QR-Codes, und Ihr zweiter Faktor lebt nun überall dort, wohin Ihre Fotos synchronisiert werden. Speichern Sie das TOTP-Geheimnis im selben Eintrag des Passwort-Managers wie das Passwort, haben Sie zwei Codes, die durch ein einziges Master-Passwort geschützt sind, also einen Faktor in Verkleidung.
Codes per Textnachricht. Der Code läuft über das Telefonnetz und hängt davon ab, dass ein Mitarbeiter des Mobilfunkanbieters nicht getäuscht oder bezahlt wird. Die SP 800-63B des NIST stuft Einmalcodes, die über das öffentliche Telefonnetz versandt werden, als eingeschränkten Authentifikator ein, was bedeutet, dass Dienste, die sie verwenden, das Risiko anerkennen müssen. Codes per Textnachricht sind immer noch weit besser als nichts.
Sicherheitsschlüssel und Passkeys (FIDO2, WebAuthn). Hier erzeugt der Authentifikator ein Schlüsselpaar pro Website, behält den privaten Schlüssel und signiert eine Challenge, die die Herkunft der Website enthält. Die Signatur ist für jede andere Domain wertlos, sodass eine nachgeahmte Anmeldeseite nichts sammelt, was sie wiederverwenden könnte. WebAuthn wurde im März 2019 eine W3C-Empfehlung und wird von jedem großen Browser unterstützt. Ein Passkey ist dasselbe Protokoll, wobei die Credential zwischen Ihren Geräten synchronisiert wird, statt an ein einzelnes Hardware-Stück gebunden zu sein.
Die Wiederherstellung ist der vierte Faktor, den niemand einrichtet. Ein perfekter Sicherheitsschlüssel nützt wenig, wenn das Konto weiterhin per E-Mail und Textnachricht zurückgesetzt werden kann. Angreifer wissen, dass sie den Wiederherstellungsweg angreifen müssen, nicht die Anmeldung.
Warum das beim Bitcoin-Kauf zählt
Die Zwei-Faktor-Authentifizierung schützt ein Konto, und ein Konto ist ein Anspruch gegenüber einem Unternehmen. Behalten Sie diesen Unterschied vor allem anderen auf dieser Seite im Blick.
Richten Sie sie in dieser Reihenfolge bei jeder Börse ein, die Sie nutzen. Wählen Sie ein langes, einzigartiges Passwort. Registrieren Sie einen Sicherheitsschlüssel, wenn die Plattform einen unterstützt, andernfalls eine Authentifikator-App, und niemals Textnachrichten als Ihren Hauptfaktor. Öffnen Sie dann die Kontowiederherstellungs-Einstellungen, die meist eine separate Seite sind, und entfernen Sie die Telefonnummer als Zurücksetzungsmethode. Drucken Sie die Backup-Codes auf Papier und bewahren Sie sie an einem Ort auf, den ein Hausbrand nicht erreichen würde. Fügen Sie schließlich eine Whitelist für Auszahlungsadressen hinzu, damit eine kompromittierte Sitzung kein Ziel erfinden kann.
Kümmern Sie sich dann um den blinden Fleck. API-Schlüssel umgehen die Anmeldung vollständig und damit jeden Faktor, den Sie gerade eingerichtet haben. Ein Handelsbot, ein Portfolio-Tracker oder ein Steuer-Tool, das einmal Lesezugriff angefordert hat, kann einen Schlüssel halten, der nie abläuft. Prüfen Sie den API-Bereich jedes Börsenkontos, das Sie haben, löschen Sie Schlüssel, die Sie nicht erkennen, verweigern Sie die Auszahlungsberechtigung bei allem, und binden Sie Schlüssel an eine feste IP-Adresse, wo die Plattform es erlaubt.
Die auf dieser Website bewerteten Börsen unterscheiden sich in ihrem Angebot. Kraken und Coinbase unterstützen Hardware-Sicherheitsschlüssel und Passkeys. Bitstamp, Binance und Bitpanda unterstützen mindestens Authentifikator-Apps. River und Swan, beide auf wiederkehrende Käufe ausgerichtet, setzen auf Kontrollen auf Kontoebene statt auf Handels-APIs, was eine ganze Kategorie von Risiko beseitigt. Keiner dieser Unterschiede ändert das Endziel: kaufen, dann auf eine Wallet auszahlen, die Sie kontrollieren, wo es keine Anmeldung zu verteidigen gibt.
Eine Hardware-Wallet wird nicht durch Zwei-Faktor-Authentifizierung geschützt und muss es auch nicht. Ihre Entsprechungen sind die Geräte-PIN, die nach einer festen Zahl falscher Versuche löscht, und eine optionale Passphrase.
Was die Messungen tatsächlich zeigen
Google untersuchte gemeinsam mit der New York University und der University of California San Diego echte Übernahmeversuche gegen Google-Konten und veröffentlichte die Ergebnisse im Mai 2019.
Die Zahlen sind eher als Rangfolge denn als absolute Werte zu lesen. Gegen automatisierte Bots blockierte jede getestete Methode 100 Prozent. Gegen massenhaftes Phishing blockierte eine Aufforderung auf dem Gerät 99 Prozent und ein Code per Textnachricht 96 Prozent. Gegen gezielte Angriffe, bei denen ein Mensch speziell an Ihrem Konto arbeitet, hielt die Aufforderung auf dem Gerät bei 90 Prozent und der Code per Textnachricht fiel auf 76 Prozent.
Lesen Sie diese letzte Zahl aufmerksam. Rund ein Viertel der entschlossenen Angriffe kam am beliebtesten zweiten Faktor der Welt vorbei. Googles eigene Antwort für seine Belegschaft war, physische Sicherheitsschlüssel für mehr als 85.000 Mitarbeiter vorzuschreiben, wonach das Unternehmen keine bestätigten Kontoübernahmen durch Phishing mehr meldete.
Die praktische Übersetzung für einen Bitcoin-Halter: Jeder beliebige zweite Faktor ist besser als keiner, eine App ist besser als eine Textnachricht, und ein Sicherheitsschlüssel ist die einzige Option, die die Phishing-Kategorie beseitigt statt sie zu verringern.
Zwei-Faktor-Authentifizierung vs. Passphrase
Eine Passphrase auf einer Hardware-Wallet wird oft als Zwei-Faktor-Authentifizierung für Ihre Bitcoin beschrieben, und der Vergleich bricht auf eine Weise, die Menschen Geld kostet. Die Zwei-Faktor-Authentifizierung ist eine Prüfung, die der Server eines Unternehmens durchführt, und die zurückgesetzt, angefochten und unterstützt werden kann. Eine BIP39-Passphrase ist eine Eingabe in die Schlüsselableitung selbst: Eine andere Passphrase erzeugt einen völlig anderen Satz von Schlüsseln, ohne dass irgendwo festgehalten wird, dass der andere Satz existiert. Niemand kann sie überprüfen, niemand kann sie wiederherstellen, und es gibt keine Support-Warteschlange. Vergessen Sie den zweiten Faktor Ihrer Börse, reichen Sie eine Wiederherstellungsanfrage ein. Vergessen Sie Ihre Passphrase, sind die Coins dauerhaft weg, obwohl Sie noch alle vierundzwanzig Seed-Wörter besitzen.