Falsches Authenticator-Symbol? Warum das Logo nichts beweist
Ein fehlendes Logo sagt nichts darüber, wer Ihren zweiten Faktor hält. Prüfen Sie die Einrichtung über das Konto und laden Sie niemals den QR-Code hoch, um ein Bild zu reparieren.
Graue Kästchen an der Stelle eines Markenlogos wirken alarmierend, und doch sind sie das falsche, worauf man reagieren sollte. Das Bild, das ein Authenticator zeichnet, ist ein Anzeigedetail, abgeleitet aus den Bezeichnungen des Eintrags; die Sicherheitsfrage ist dagegen, ob das Geheimnis in diesem Eintrag zu Ihrem Konto gehört. Diese beiden Dinge auseinanderzuhalten ist der Unterschied zwischen einer kosmetischen Reparatur und einem Vorfall mit Zugangsdaten. Es verhindert außerdem die Reparatur, die alles schlimmer macht.
Symbol und Geheimnis beantworten verschiedene Fragen
Ein Authenticator-Eintrag entsteht aus einer Key-URI, die ein gemeinsames Geheimnis zusammen mit einer Kontobezeichnung und einem Ausstellernamen trägt. Die App rendert ein Logo aus dem Aussteller, den sie erkennt; ein unbekannter oder veränderter Aussteller erzeugt einfach ein generisches Bild. Nichts an dieser Darstellung sagt Ihnen, wer sonst noch eine Kopie des Geheimnisses hat, und nichts an einem korrekten Logo sagt Ihnen, dass der Eintrag allein Ihnen gehört. Lesen Sie die Anzeige als Hinweis auf eine Bezeichnung, nicht als Aussage über die Verwahrung.
Das Umgekehrte gilt ebenfalls, und es ist die gefährlichere Richtung. Ein überzeugendes Logo beweist noch weniger als ein fehlendes.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Nie neu einrichten, um ein Bild zu reparieren
Die im Netz kursierende Reparatur besteht darin, den QR-Code neu zu erzeugen, was bedeutet, das Geheimnis zu exportieren und durch ein anderes Werkzeug zu schicken. Das macht aus einem Anzeigeproblem eine Offenlegung, denn der Export enthält genau das Material, das ein Angreifer braucht, um gültige Codes zu erzeugen. Den Code in einen Web-Generator hochzuladen übergibt den zweiten Faktor an einen Dritten, im Tausch gegen ein hübscheres Symbol.
Wenn das Konto die Codes noch bestätigt, ist die Einrichtung intakt und die Anzeige kosmetisch. Ziehen Sie die Dokumentation des Authenticators zu Ausstellerbezeichnungen und Symbolsuche zu Rate und lassen Sie den Eintrag in Ruhe. Die Bezeichnung zu bearbeiten, um ein Logo zu erzwingen, ist eine Änderung am Eintrag aus einem Grund, der mit Authentifizierung nichts zu tun hat.
Halten Sie das ursprüngliche QR-Bild, die rohe Key-URI und jedes manuelle Geheimnis aus Tickets, Chatverläufen, Screenshots und öffentlichen Issue-Trackern heraus. Ein Screenshot einer Einrichtungsseite enthält oft mehr, als die Person beim Aufnehmen beabsichtigt hat.
Wenn das Geheimnis tatsächlich offengelegt wurde
Behandeln Sie eine Offenlegung als eigenen Vorfall mit eigener Reaktion. Nutzen Sie den unterstützten Ersatzprozess des Dienstes, um einen neuen Authenticator einzurichten, bestätigen Sie, dass der neue Eintrag akzeptierte Codes erzeugt, und ziehen Sie die alte Einrichtung auf dem Server zurück. Den Eintrag lokal zu löschen entfernt die serverseitige Registrierung nicht, sodass das offengelegte Geheimnis weiter funktioniert, bis der Dienst anderweitig informiert wird. In dieser Lücke zwischen lokaler Löschung und Serverzustand liegt das meiste Risiko.
Die Reihenfolge zählt hier. Richten Sie zuerst den Ersatz ein, prüfen Sie ihn, und entfernen Sie erst dann den alten, denn die meisten Dienste sperren Sie aus, wenn der letzte Faktor verschwindet. Wiederherstellungscodes gehören ebenfalls in diese Reihenfolge, da sie der Rückfallweg sind, wenn das Telefon nicht verfügbar ist.
Prüfen Sie, ob dasselbe Geheimnis noch anderswo verwendet wurde. Eine Key-URI, die in einen Generator eingefügt wurde, hat Ihre Kontrolle verlassen, und das dahinterliegende Konto sollte als geteilt gelten, bis die Registrierung ersetzt ist.
Support-Anfragen sollten das visuelle Problem beschreiben, ohne Codes oder Einrichtungsmaterial beizufügen. Alles Kontospezifische gehört in den verifizierten Kanal des Anbieters, nicht in einen öffentlichen Thread.
Vor dem Löschen einen Wiederherstellungsweg sichern
Bevor Sie einen funktionierenden Eintrag entfernen, vergewissern Sie sich, dass ein genehmigter Wiederherstellungsweg existiert und dass Sie ihn nutzen können. Eine kosmetische Reparatur, die in einer Aussperrung endet, ist ein schlechteres Ergebnis als das falsche Logo, und Aussperrungen sind häufig, wenn das einzige eingerichtete Gerät jenes ist, das bearbeitet wird.
Die Akzeptanzbedingung ist eng: eine verifizierte Beziehung zwischen Konto und Authenticator, wobei das Einrichtungsmaterial privat gehalten wird. Ein vertrautes Abzeichen gehört nicht zu dieser Bedingung, und sein Fehlen ist kein Beweis für eine Kompromittierung.
Das Key-URI-Format selbst ist in der Google-Authenticator-Spezifikation für das Key-URI-Format dokumentiert, was zugleich daran erinnert, dass die Nutzlast ein Geheimnis und kein Logo enthält. Lesen Sie sie, bevor Sie irgendetwas aus einem Eintrag exportieren, den Sie sich nicht leisten können zu verlieren.