Entschärfung von KI-Sicherheitsrisiken mit Phishing-resistenter MFA

Dabei liegt auf der Hand, dass die Fortschritte in der KI-Technologie es Hackern künftig noch leichter machen werden, Passwörter zu knacken. Mittels KI-gestütztem Phishing sind heute selbst komplexe Passwörter anfällig für Cyberattacken. Angesichts der zunehmenden Sicherheitsverletzungen ist es daher an der Zeit, von klassischen Authentifizierungsmethoden wie Benutzernamen und Passwörtern zu Phishing-resistenten Multi-Faktor-Authentifizierungslösungen (MFA) wie Sicherheitsschlüsseln überzugehen.

Passwortgeneratoren versagen bei KI

Erschreckenderweise war ein KI-Tool bereits in der Lage, im Rahmen eines Testversuchs jedes zweite der gängigen Passwörter zu knacken, indem es eine nicht mehr vorhandene Datenbank mit etwa 15.680.000 echten Passwörtern entschlüsselte. Während Passwörter mit weniger als vier Zeichen und solche mit mehr als 18 Zeichen von der KI ignoriert wurden, war es möglich, einen Großteil der übrigen in weniger als 60 Sekunden zu entschlüsseln. Bei einigen längeren, komplexeren Passwörtern, wie etwa solchen, die von Passwortgeneratoren mit Groß- und Kleinbuchstaben sowie Zahlen und Sonderzeichen erstellt wurden, benötigte die KI mehr Zeit, um diese zu knacken. Dennoch konnten innerhalb eines Monats 81 Prozent der Passwörter entschlüsselt werden.

Die tatsächliche Bedrohung besteht darin, dass diese neuen KI-Tools die Kosten und die Komplexität bestimmter computergestützter Angriffe verringern könnten, während gleichzeitig ihr Nutzen wächst. Dies ist ein großes Problem für die Mehrheit der Nutzer, die sich immer noch auf Passwörter verlassen, da sie davon überzeugt sind, dass sie mit langen und komplexen Kombinationen auf der sicheren Seite sind.

Phishing-resistente MFA

Da die Adaption von KI-Tools weiter voranschreitet, ist es wichtig, sich auf Alternativen zu konzentrieren, die die damit verbundenen Risiken minimieren. Hier kommen eine starke Phishing-resistente MFA und identitätsbasierte Sicherheitsmethoden ins Spiel.

Wenn die Wirksamkeit von Identitätsmaßnahmen, beispielsweise die Stimm- und Videoverifizierung, immer weiter nachlässt, ist eine stark verknüpfte elektronische Identität von entscheidender Bedeutung, um sich vor raffinierten Angriffen wie Phishing effektiv zu schützen. Berechtigungsnachweise, die hardwaregebunden sind und auf kryptografischen Prinzipien basieren, eignen sich hervorragend für diese Szenarien, wie beispielsweise FIDO2-Hardware-Sicherheitsschlüssel.

Warum FIDO2-Sicherheitsschlüssel?

Mit der FIDO-Allianz (Fast Identity Online) haben es sich Technologieanbieter wie Yubico, Google, Apple und Microsoft zum Ziel gesetzt, Passwörter vollständig abzuschaffen. Die Verwendung alternativer, moderner Authentifizierungsmethoden wie Passkeys und Sicherheitsschlüssel, die auf dem FIDO-Protokoll basieren, sind Phishing-resistent und können nicht durch KI ausgehebelt werden.

FIDO2-Sicherheitsschlüssel sind resistent gegen Phishing, da die Anmeldedaten an eine bestimmte vertrauenswürdige Partei gebunden sind, was Angreifer daran hindert, die menschliche Unfähigkeit auszunutzen, eine 0 (Null) von einem O (Großes O) in einer schädlichen Website-URL zu unterscheiden. Die Anmeldedaten sind sicher im Schlüssel gespeichert, wodurch sich verhindern lässt, dass sie ohne Wissen des Benutzers oder versehentlich auf ein anderes System übertragen werden. Die Verwendung von FIDO2-Authentifikatoren verringert darüber hinaus die Wirksamkeit von Social Engineering durch Phishing: Weder können Benutzer dazu verleitet werden, ein Einmalpasswort an Dritte weiterzugeben, noch sind Angreifer in der Lage, SMS-Authentifizierungscodes direkt durch einen SIM-Swapping-Angriff zu stehlen.

Alexander Koch

ist VP Sales EMEA bei Yubico.