Angreifer können Zwei-Faktor-Authentifizierung von LastPass deaktivieren

LastPass hat mehrere Fehler in seiner Zwei-Faktor-Authentifizierung (2FA) geschlossen. Sie waren von Martin Vigo, Sicherheitsforscher bei Salesforce.com, entdeckt worden und erlaubt es Unbefugten die Zwei-Faktor-Authentifizierung zu deaktivieren. Möglich ist das, weil der Passwortmanager einen Hash des Nutzerpassworts verwendet, um den QR-Code zu generieren, der für die Aktivierung der Sicherheitsfunktion erforderlich ist.

“LastPass speichert das 2FA-Geheimnis in einer URL, die vom Passwort abgeleitet werden kann”, beschreibt Vigo den Fehler. “Das widerspricht dem gesamten Zweck der Anmeldung in zwei Schritten, die eine zusätzliche Sicherheitsschicht sein soll, um Anmeldeversuche von Angreifern abzuwehren, die bereits im Besitz des Passworts sind.” Vigo vergleicht das Vorgehen von LastPass mit dem eines Hausbesitzers, der dasselbe Schloss für die Haustür und den Safe in sinem Haus verwendet – wirft LastPass also grobe handwerkliche Fehler vor.

Dem Forscher gelang es in Kombination mit einem Cross-Site-Request-Forgery-Angriff (CSRF) zudem, das 2FA-Verfahren bei LastPass auszuhebeln: “Jede XSS-Lücke in Websites, denen das Opfer vertraut, kann der Angreifer benutzen, um den QR-Code zu stehlen und an seinen Server zu schicken.” Außerdem gelang es Vigo, die Zwei-Faktor-Authentifizierung von LastPass zu deaktivieren, indem er eine Lücke ausnutzte, die es ihm erlaubte das 2FA-Geheimnis per GET-Anfrage zu regenerieren.

Mit dem aktuellen Update hat LastPass nun die Prüfung für den Ursprung einer QR-Code Anfrage eingefügt. Außerdem wird der QR-Code nun nicht mehr aus einem Hash des Passworts, sondern einem sogenannten “salted Hash” generiert, der auf der User-ID basiert. Ein CSRF-Token soll zudem verhindern, dass sich die Sicherheitsfunktion abschalten lässt.

Das Unternehmen weist jedoch darauf hin, dass sich die von Vigo entdeckten Sicherheitslücken nur unter bestimmten Umständen ausnutzen lassen. Daher sei die Wahrscheinlichkeit gering, dass Nutzer betroffen sind.

Allerdings häufen sich die Sicherheitsprobleme bei dem Dienst in letzter Zeit. Alleine dieses Jahr musste er bereits zweimal gravierende Lücken schließen. Im März hatte Google-Sicherheitsforscher Tavis Ormandy zwei Lecks in in LastPass entdeckt. Angreifer konnten darüber potenziell sämtliche gespeicherten Kennwörter stehlen. Wenige Tage später wies erneut Ormandy auf Fehler in den Browsererweiterungen für LastPass hin, die möglicherweise Phishing-Angriffe auf das Masterpasswort erlaubten. Diese Lücke wurde inzwischen ebenfalls geschlossen.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.