Aktuell | Security | c't | heise magazine

Google Authenticator jetzt mit Sync, aber ohne Ende-zu-Ende-Verschlüsselung

Mit dem Update auf Version 6 hat Google seiner Authenticator-App endlich die von vielen gewünschte Synchronisierungsfunktion spendiert. Eine Analyse des Datenverkehrs deckte jedoch eine unangenehme Überraschung auf.

Der Google Authenticator ist eine der am häufigsten installierten Apps für die Zwei-Faktor-Authentifizierung TOTP (Time-based One-time Password). Mit dem Update auf Version 6 kann er die Daten des Nutzers nun über die Google-Cloud mit mehreren Geräten synchronisieren. Verknüpft man die App auf einem Smartphone zum Beispiel mit einem GitHub-Konto, erscheint der Eintrag automatisch auf allen anderen Geräten.

Im Datenverkehr des Google Authenticator findet man die Geheimnisse für die Zwei-Faktor-Authentifizierung. Sie sind Base32-kodiert, aber nicht konsequent verschlüsselt.

Das ist zwar komfortabel, aber nicht so sicher, wie man es im Jahr 2023 erwarten würde: Bei einer Analyse des Datenverkehrs der App zeigte sich, dass sie die gespeicherten Daten zwar transportverschlüsselt an die Google-Cloud schickt, jedoch nicht Ende-zu-Ende-verschlüsselt (E2E). Das bedeutet, dass Google die synchronisierten TOTP-Geheimnisse mitlesen kann. Und wenn es einem Angreifer gelingt, das Google-Konto zu kapern, kann er die Daten missbrauchen, um gültige Einmalpasswörter für die hinterlegten Dienste zu generieren. Die TOTP-Daten sind bei der Übertragung lediglich Base32-kodiert, jedoch abgesehen von TLS nicht weiter geschützt.