Wie die zweistufige Verifizierung die Daten der Nutzer in Telegram sichert

In Anbetracht der Unzufriedenheit vieler Kunden mit der Ein-Faktor-Verifizierung, die auf dem SMS-Code basiert, haben die Entwickler des berühmten Messengers einen zweiten Faktor zur Identitätsprüfung hinzugefügt. In diesem Artikel werden wir über die zweistufige Verifizierung in Telegram und ihre Zuverlässigkeit in Bezug auf die Informationssicherheit der Kunden sprechen.  

Zwei Faktoren für die Datensicherheit

Bis April 2015 konnte sich ein Nutzer durch die Eingabe eines Codes, den er in einer Textnachricht erhielt, in das System einloggen. Einen zusätzlichen Schutz vor unbefugter Anmeldung gab es dabei nicht. Auf diese Weise konnten Eindringlinge eine an das Telefon eines Kunden gesendete Nachricht abfangen und sich Zugang zu dessen Gesprächen verschaffen. Obwohl keine Massenfälle solcher Hacks registriert wurden, beschlossen die Entwickler unter der Leitung von Pavel Durov, diese Möglichkeit auszuschließen.   Dank der Implementierung der zweistufigen Verifizierung in Telegram kann ein Benutzer heute ein zusätzliches Passwort festlegen, das beim Öffnen einer Anwendung auf einem neuen Gerät eingegeben werden kann. Außerdem bleibt die SMS-Verifizierung, die in der ersten Phase der Anmeldung am System durchgeführt wird, erhalten.     Die zweistufige Anmeldung wird auf folgende Weise durchgeführt:

1. Bei der Anmeldung in der jeweiligen Anwendung gibt der Kunde seine Telefonnummer ein.
2. Weiterhin erhält er eine Textnachricht mit einem Verifizierungscode, den er in das entsprechende Feld eingeben muss.
3. Wenn der Code korrekt ist, sieht der Kunde ein Feld zur Eingabe seines Passworts (er wählt bei der Registrierung selbst eine Kombination von Symbolen).
4. Im Falle einer korrekten Kombination erhält der Benutzer Zugang zu seiner Seite.

 

Ist die zweistufige Verifizierung hilfreich, wenn es um das Hacken von Konten geht?

Auf den ersten Blick ist die genannte Neuerung sehr nützlich für die sichere Speicherung von Informationen auf Telegram-Servern. Die Praxis hat jedoch gezeigt, dass es trotz der zweistufigen Verifizierung immer noch die Möglichkeit gibt, ein Konto zu hacken. Hier ist also, wie es funktioniert:

1. Ein Eindringling gibt die Telefonnummer seines Opfers ein und sendet eine Anfrage zur Authentifizierung.
2. Das Opfer erhält einen Verifizierungscode, der dem Eindringling bekannt wird (eine Möglichkeit des SMS-Abfangens besteht darin, dass ein Hacker in den technischen Support eines Mobilfunknetzbetreibers eindringt).
3. Ein Eindringling gibt die erhaltenen Nummern ein und erhält Zugang zur Passwort-Eingabeseite.
4. Unter dem Vorwand der Vergesslichkeit drückt ein Eindringling den entsprechenden Link "Passwort vergessen?" und erhält eine Benachrichtigung über die Zusendung eines Wiederherstellungscodes an eine bei der Registrierung angegebene E-Mail-Adresse.
5. Da ein Eindringling keine Möglichkeit hat, sich in das E-Mail-Konto seines Opfers einzuloggen, drückt er den Link "Havingtrouble accessing your email?" und gibt dabei an, dass er Probleme mit
6. Das System bietet ihm an, ein vollständiges Zurücksetzen des Kontos vorzunehmen, indem alle Konversationen gelöscht werden. Der Hacker akzeptiert diese Bedingungen und erhält Zugriff auf das Konto seines Opfers sowie die Möglichkeit, in dessen Namen Nachrichten zu versenden.

    Um die zweistufige Sicherheit auszuhebeln, reicht es eigentlich aus, den SMS-Code zu erfahren, der an die Telefonnummer des Opfers gesendet wird. Der Unterschied liegt im Endergebnis. In diesem Fall hat ein Hacker Zugang zu einer leeren Seite, während das Hacken der Ein-Faktor-Sicherheit das Lesen aller Konversationen ermöglicht.  

Fälle von Kontorücksetzungen bei bekannten Persönlichkeiten

Im April 2016 wurden praktisch gleichzeitig die Telegram-Konten von Georgy Alburov (Anti-Korruptions-Stiftung) und Oleg Kozlovskiy (gemeinnützige Organisation "Vision of Tomorrow") gehackt. Interessant ist, dass der unbefugte Zugriff auf ihre Seiten durch die Deaktivierung der SMS-Empfangs- und Sendeoption auf den Smartphones von Alburov und Kozlovskiy erfolgte. Ferner erklärten die Vertreter eines Mobilfunknetzbetreibers (MTS), dass ihr technisches Supportteam die Dienste auf den angegebenen Telefonnummern nicht deaktiviert habe und die Kommunikationsprobleme durch einen Virenangriff verursacht worden seien.   Drei Monate später ereignete sich ein ähnliches Problem bei Sergey Parkhomenko, einem russischen Journalisten. Seiner Version zufolge erhielt er die Textnachrichten mit den Prüfnummern. Beim Versuch, sich bei seinem Profil anzumelden, wurde dem Journalisten angeboten, sich anzumelden, als ob er den Dienst zum ersten Mal besuchte. Als er sein Konto öffnete, stellte Sergej fest, dass es zurückgesetzt und der gesamte Nachrichtenverlauf gelöscht worden war. Selbst die zweistufige Verifizierung erwies sich also nicht als hilfreich, da es den Hackern gelungen war, die erforderlichen Daten von einem Mobilfunkbetreiber zu erhalten.  

Schritt-für-Schritt-Anleitung zum Einrichten der Zwei-Schritt-Verifizierung in Telegram

Wenn Sie möchten, dass das System sowohl den SMS-Code als auch ein Passwort anfordert, wenn Sie sich von einem neuen Gerät aus bei einer Anwendung anmelden, müssen Sie die folgende Prozedur durchführen:

1. Gehen Sie in die Einstellungen und wählen Sie "Datenschutz und Sicherheit"
2. Dann müssen Sie die Zeile "Two-StepVerification" in einem Unterabschnitt namens "Sicherheit" finden und darauf klicken. Außerdem gibt es eine Zeile darunter den Abschnitt "Aktive Sitzungen". Er ist hilfreich, wenn Sie alle Sitzungen anzeigen und die auf anderen Geräten geöffneten Sitzungen bei Bedarf schließen möchten.
3. Außerdem öffnet sich eine Seite mit dem Feld für die Passworteingabe. Es ist wünschenswert, dass die von Ihnen gewählte Kombination aus Zahlen und Symbolen mit Groß- und Kleinschreibung besteht.  
4. Nach der Eingabe Ihres Passworts ist es notwendig, es zu bestätigen, um Fehler auszuschließen.
5. Um Sie vor Vergesslichkeit zu schützen, bietet Ihnen der Dienst an, Ihnen einen Passwort-Hinweis zu geben, der Ihre Gedanken in die richtige Richtung lenkt und Ihnen hilft, sich an die erforderliche Symbolkombination zu erinnern.
6. Der nächste Schritt umfasst die Eingabe Ihrer E-Mail-Adresse, die für die Durchführung des Passwort-Wiederherstellungsvorgangs erforderlich ist. Sie können diesen Schritt überspringen, aber Sie sollten bedenken, dass dies die einzige Möglichkeit ist, sich in das System einzuloggen, wenn Sie sich nicht an die ursprüngliche Kombination erinnern können, auch nicht mit Hilfe eines Passworthinweises.  
7. Dann wird Ihnen ein Link zur Bestätigung der Änderungen per E-Mail zugesandt. Klicken Sie auf diesen Link und Sie erhalten eine Meldung, dass die zweistufige Überprüfung für das angegebene Konto aktiviert ist.

  Diese Anweisung ist für alle Telegram-Plattformen geeignet. Um sicherzustellen, dass die neuen Einstellungen wirksam werden, müssen Sie versuchen, sich von einem anderen Gerät aus bei einem Messenger anzumelden. Wenn das System nach der Eingabe des SMS-Codes ein Passwort anfordert, bedeutet dies, dass die Authentifizierung korrekt funktioniert.  

Zusätzliche "Passcode"-Option

Der Abschnitt "Passcode" wurde in einem der letzten Telegram-Updates für iOS und Android eingeführt. Mit dieser Option kann die Sicherheit für die Anmeldung bei einer Anwendung eingestellt werden. Der Code kann sowohl eine einfache Kombination aus 4 Zahlen als auch einen komplizierteren Code mit Buchstaben und anderen Symbolen enthalten.   Die Realisierung einer solchen Sicherheit ist flexibel genug. Ein Benutzer kann die Option der Codeabfrage bei jeder Telegrammschaltung aktivieren oder sie nur bei Bedarf aktivieren, indem er auf ein spezielles Symbol klickt, das wie ein Schloss aussieht. Die letztere Variante ist sehr praktisch, wenn Sie Ihr Telefon vorübergehend aus der Hand legen und die Möglichkeit besteht, dass Ihre Gespräche für einen Fremden zugänglich werden könnten.   Darüber hinaus besteht die Möglichkeit, einen Timer für die automatische Sperre einzurichten, der eine Anwendung sperrt und einen Code anfordert, wenn das Telefon eine bestimmte Zeit lang nicht benutzt wird. Das System ermöglicht die Aktivierung einer Sperre in 1 und 5 Minuten oder 1 und 5 Stunden.    

Antwort des Entwicklers

Wie Pavel Durov erklärte, gab es keine Probleme mit der Sicherheit des Messengers. Außerdem schob er die Schuld für das Hacken der Anwendung auf die Firma MTS. Dennoch hat das Support-Team vorübergehend die Möglichkeit eines aktiven Profil-Resets im Falle eines vergessenen Passworts deaktiviert. Mit anderen Worten: Durov hat die Existenz des Problems zugegeben und versprochen, es so schnell wie möglich auf elegantere Weise zu lösen.     Seit Ende August 2016 ist das Hacken von Konten immer noch möglich: Nachdem ein Hacker den SMS-Code des Kunden erhalten hat, kann er sein Profil zurücksetzen, ohne ein Anmeldekennwort zu verwenden. Anders ausgedrückt: Die zweistufige Verifizierung funktioniert nicht oder ist nicht so sicher, wie Telegram-Nutzer es sich wünschen.