Ist 2FA via Mobile die beste Sicherheit, die es gibt? Nein. SMS 2FA ist die schwächste Form von 2FA . Es lohnt sich jedoch immer noch, da es die Sicherheit verbessert und insbesondere für nicht technische Benutzer eine relativ niedrige Eintrittsbarriere aufweist

Was kann verbessert werden? Sie können das TOTP-Token mit Apps wie Google Authenticator verwenden. Dies verwendet weiterhin Ihr Mobiltelefon, hängt jedoch nicht von der Telefonnummer ab, sodass Sie OTP auch dann verwenden können, wenn Ihr Telefon keine Verbindung hat.

Der nächste Schritt ist die Verwendung von dediziertes Hardware-Token , das entweder U2F oder WebAuthn entspricht, wie RSA-Token oder Yubikey. Der Website-Support ist auf einige der wichtigsten Websites beschränkt, aber eine großartige Alternative, wenn er verfügbar ist. Google Accounts ist auch ein OAuth-Anbieter, sodass Sie ihn für die Anmeldung in sozialen Netzwerken verwenden können.

SMS 2FA ist nicht nur eine schlechte Idee. Es ist schlimmer als überhaupt kein 2FA zu haben (nur Passwort). Dies liegt daran, dass praktisch alle Dienste, die "SMS 2FA" anbieten, tatsächlich SMS 1FA liefern! Das heißt, sie ermöglichen die vollständige Wiederherstellung des Kontos per SMS, ohne dass das Kontokennwort erforderlich ist. Dies bedeutet, dass jeder, der:

• Ihren Mobilfunkanbieter davon überzeugen kann, Ihre Nummer zu portieren
• Ihren Mobilfunkanbieter davon überzeugen kann, dass er Sie sind und seine SIM-Karte verloren hat und eine neue benötigt
• Richten Sie einen IMSI-Catcher ein.
• stehlen oder "leihen" Sie Ihr Telefon und lassen Sie es entsperren.
• Installieren Sie Malware mit SMS-Berechtigungen auf Ihrem Telefon.
• etc.

kann praktisch jedes Konto, für das Sie SMS "2FA" aktiviert haben, vollständig übernehmen. In der Vergangenheit beschränkten sich diese Arten von Angriffen auf Ziele mit hochwertigen Konten, die an die Anzahl gebunden sind (Konten, die einen großen Ausgleich zum Austausch von Kryptowährungen, E-Mail- und Social-Media-Konten von politischen Persönlichkeiten und Prominenten usw. bieten), nehmen jedoch zu eine Bedrohung für alle sein, möglicherweise sogar zufällige, nicht zielgerichtete Angriffe.

Wenn Sie 2FA benötigen, verwenden Sie TOTP-Software oder ein Hardware-Token. Sie sollten nicht nur SMS 2FA nicht aktivieren. Sie sollten Ihre Handynummer nicht einmal an Dienste weitergeben, bei denen Sie wertvolle Konten führen, da diese Ihre Nummer unweigerlich als SMS 1FA verwenden, wenn sie gespeichert sind.

Es hängt davon ab, womit Sie vergleichen, was Sie schützen müssen und was Ihren Benutzern in Rechnung gestellt und geschult werden kann.

2FA mit Mobiltelefon ist anfällig für Telefondiebstahl, Telefon-Malware und Telefonbetreiber (Fehl-) Verfahren zum Ersetzen von SIM-Karten, Sicherheitslücken im mobilen Netz usw.

Es ist jedoch weitaus besser als 1FA, beispielsweise des Benutzerkennworts. Es ist also ein guter Schritt, um eine Vielzahl von Dingen zu sichern. Der Angreifer muss nicht nur ein Passwort stehlen, sondern auch Ihr Telefon auf die eine oder andere Weise angreifen. Ein Angriff auf ein Telefon ist entweder leicht zu bemerken (ein Telefon fehlt oder funktioniert nicht) oder komplex.

Meine Bank bietet (zusammen mit besseren Optionen) SMS 2FA für eine eingeschränkte Funktionalität ihres Internetbankings an. Sie müssen. Viele ihrer Kunden können sich nicht die Mühe machen, etwas Komplexeres zu verwenden, und wenn Sie sie dazu zwingen, finden sie einfach eine andere Bank.

Ihr erstes Anliegen ist ein sehr reales, Dienste, die nicht verstehen, dass einige Kunden manchmal keinen Zugriff auf Textnachrichten haben - diese Dienste sind falsch.

Es läuft jedoch andere Software Ihr Telefon ist nicht die schlimmste Sorge in Bezug auf 2FA per SMS.

OK, ein schlechter Schauspieler liest ein einmaliges 6-stelliges Autorisierungstoken. Sie können diese Textnachricht nicht zuverlässig vor Ihnen verbergen, daher ist das Szenario "gefälschter Zugriff auf Ihr Konto auf einem anderen Gerät, heimliches Lesen des 2FA-Codes auf dem legitimen Gerät und Weiterleiten (z. B. über das Internet) an das angreifende Gerät" nicht sehr häufig wahrscheinlich.

Die schlimmste Sorge ist, dass es ziemlich einfach ist, diesen Kanal zu kompromittieren. Eine Regierung kann Ihrem Mobilfunkbetreiber anordnen, ihm eine Hintertür für Textnachrichten zu geben. Ein krimineller Akteur kann mithilfe menschlicher Technik eine illegale Kopie Ihrer SIM-Karte erhalten oder heimlich Geräte installieren, um die Textnachricht abzufangen, die nur für Ihre Augen bestimmt ist.

2FA durch Textnachrichten - Die Multi-Factor-Authentifizierung (2FA) durch Textnachrichten ist ziemlich umständlich, vor allem, weil das Ersetzen der Sim, wie Sie sagten, es fast unmöglich macht, sich selbst zu authentifizieren, es sei denn, Sie besitzen eine zwei Telefone oder ein Dual-Sim-Telefon, und es ist auch weniger sicher und anfälliger für SIM-Hijacking-Angriffe.

2FA über Anwendungen -Plattformen wie Blizzard und Steam oder Authenticator-Apps wie Google Authenticator und Authy führen 2FA über mobile Anwendungen aus und nehmen Ihre SIM-Karte nicht mit berücksichtigt und ist daher sicherer und bequemer.

Wenn Sie also die Frage haben, ob 2FA über Mobiltelefone eine gute Idee ist, würde ich sagen, dass es ist, abhängig von der Implementierungsmethode. Wenn Sie die SIM-Karten beiseite legen und sich Sorgen um die Sicherheit machen, ist mein bester Rat, bei den installierten Dingen vorsichtiger zu sein. Überprüfen Sie immer online die Glaubwürdigkeit und Sicherheit der Anwendung, denn obwohl dies möglicherweise ärgerlich ist, verwenden Sie 2FA ist bei weitem eine der besten Möglichkeiten, um die Passwortsicherheit zu gewährleisten, und es wäre weitaus weniger sicher, sie nicht zu verwenden.

MFA per SMS ist nicht die beste Form von MFA. In mancher Hinsicht ist es das Schlimmste. Halten Sie sich grundsätzlich so weit wie möglich davon fern.

MFA über andere mobile Quellen - wie TOTP-Codes über Apps wie Google Authenticator - sind großartig. Ich empfehle, diese so oft wie möglich zu verwenden.