{"id":218070,"date":"2019-05-16T01:57:44","date_gmt":"2019-05-15T23:57:44","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=218070"},"modified":"2022-04-04T14:13:17","modified_gmt":"2022-04-04T12:13:17","slug":"sicherheitsproblem-in-googles-titan-security-keys","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/05\/16\/sicherheitsproblem-in-googles-titan-security-keys\/","title":{"rendered":"Sicherheitsproblem in Googles Titan Security Keys"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>Google-Mitarbeiter verwenden intern Titan Security Keys, um Anmeldeinformationen zu speichern. Die Titan Security Keys werden nun aber auch frei auf dem Markt verkauft. Leider musste Google ein Sicherheitsproblem im Bluetooth-Teil des Sicherheits-Keys einr\u00e4umen. Die Titan Security Keys sollen ausgetauscht werden. <strong>Erg\u00e4nzung:<\/strong> Auch Sicherheitsschl\u00fcssel des Anbieters Feitian sind betroffen.<\/p>\n<p><!--more--><\/p>\n<h2>Googles Titan Security Keys<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg04.met.vgwort.de\/na\/44d9b6aee7794e1ba0d63ed796a42dd6\" alt=\"\" width=\"1\" height=\"1\" \/>Das Unternehmen hatte Titan Security Keys auf der Google Cloud Next '18 Convention in San Francisco vorgestellt. Die USB-L\u00f6sung soll, \u00e4hnlich dem YubiKey von Yubico, eine hardwarebasierte Zwei-Faktor-Authentifizierung f\u00fcr Online-Konten mit dem h\u00f6chsten Grad an Schutz vor Phishing-Angriffen bieten. Google hat diese L\u00f6sung in der Vergangenheit bei den eigenen Mitarbeitern verwendet.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">Google 'Titan Security Key' Is Now On Sale For $50 <a href=\"https:\/\/t.co\/asXH96IjuD\">https:\/\/t.co\/asXH96IjuD<\/a><\/p>\n<p>\u2014 bhendrick (@bhendrick) <a href=\"https:\/\/twitter.com\/bhendrick\/status\/1036637985381462016?ref_src=twsrc%5Etfw\">3. September 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Das Kit wird seit September 2018 f\u00fcr 50 US $ in den Vereinigten Staaten im <a href=\"https:\/\/store.google.com\/?srp=\/product\/titan_security_key_kit\" target=\"_blank\" rel=\"noopener noreferrer\">Google Store<\/a> (nur in den USA abrufbar) verkauft und besteht aus folgenden Komponenten:<\/p>\n<ul>\n<li>USB Security Key,<\/li>\n<li>Bluetooth Security Key,<\/li>\n<li>USB-C to USB-A Adapter,<\/li>\n<li>USB-C to USB-A Verbindungskabel.<\/li>\n<\/ul>\n<p>Eigentlich eine gute Sache, um einen Passwortklau zu verhindern. Ich hatte \u00fcber das Projekt im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2018\/09\/04\/google-titan-security-keys-made-in-china\/\">Google Titan Security Keys \u2013 Made in China<\/a> berichtet.<\/p>\n<h2>Leider gibt es ein Sicherheitsproblem<\/h2>\n<p>In einem Blog-Beitrag <a href=\"https:\/\/security.googleblog.com\/2019\/05\/titan-keys-update.html\" target=\"_blank\" rel=\"noopener noreferrer\">Advisory: Security Issue with Bluetooth Low Energy (BLE) Titan Security Keys<\/a> vom 16. Mai 2019 musste Google allerdings ein Sicherheitsproblem beim Titan Security Key eingestehen. Man ist auf ein Problem aufmerksam geworden, das die in den USA erh\u00e4ltliche Bluetooth Low Energy (BLE)-Version des Titan-Sicherheitsschl\u00fcssels betrifft.<\/p>\n<p>Aufgrund einer Fehlkonfiguration in den Bluetooth-Pairing-Protokollen der Titan Security Keys ist es einem Angreifer, der sich physisch in Ihrer N\u00e4he des Keys befindet, in die Kommunikation einzuklinken. Das geht allerdings nur in dem Moment, in dem Benutzer den Sicherheitsschl\u00fcssel per Bluetooth zur Authentifizierung verwendet. Dann kann der Angreifer mit dem Titan Security Key, oder mit dem Ger\u00e4t, mit dem der Sicherheitsschl\u00fcssel verbunden ist, kommunizieren. Damit die Fehlkonfiguration ausgenutzt werden kann, m\u00fcsste ein Angreifer eine Reihe von Ereignissen eng aufeinander abstimmen:<\/p>\n<ul>\n<li>Benutzer, die sich per Titan Security Key bei einem Konto auf ihrem Ger\u00e4t anmelden, werden normalerweise aufgefordert, die Taste auf dem BLE-Sicherheitsschl\u00fcssel zu dr\u00fccken, um ihn zu aktivieren. Ein Angreifer, der sich zu diesem Zeitpunkt in unmittelbarer N\u00e4he befindet, kann m\u00f6glicherweise sein eigenes Ger\u00e4t mit dem betroffenen Sicherheitsschl\u00fcssel verbinden, bevor sich das eigene Ger\u00e4t verbindet. Unter diesen Umst\u00e4nden k\u00f6nnte sich der Angreifer mit seinem eigenen Ger\u00e4t am Konto des Benutzers anmelden, wenn er zus\u00e4tzlich den Benutzernamen und das Passwort des Benutzers erhalten hat. Diese Ereignisse m\u00fcsste der Angreifer genau terminieren.<\/li>\n<li>Bevor Nutzer ihren Sicherheitsschl\u00fcssel verwenden k\u00f6nnen, muss er mit Ihrem Ger\u00e4t gekoppelt werden. Einmal gepaart, k\u00f6nnte ein Angreifer in der N\u00e4he sein Ger\u00e4t benutzen, um sich als als betroffener Sicherheitsschl\u00fcssel auszugeben. Dann k\u00f6nnte er sich mit dem Ger\u00e4t des Benutzers verbinden, sobald dieser aufgefordert wird die Taste auf dem Titan Sicherheitsschl\u00fcssel zu dr\u00fccken. Danach k\u00f6nnen Angreifer versuchen, das Ger\u00e4t des Benutzers so zu \u00e4ndern, dass es als Bluetooth-Tastatur oder -Maus erscheint. Dies w\u00fcrde Angreifern die Manipulation des Ger\u00e4ts erm\u00f6glichen.<\/li>\n<\/ul>\n<p>Die Szenarien sind aber so komplex und mit vielen Annahmen versehen, dass eine praktische Ausnutzbarkeit nicht realistisch erscheint. Google schreibt denn auch, dass dieses Sicherheitsproblem keinen Einfluss auf den Hauptzweck von Sicherheitsschl\u00fcsseln hat, n\u00e4mlich Nutzer vor Phishing durch einen entfernten Angreifer zu sch\u00fctzen.<\/p>\n<p>Sicherheitsschl\u00fcssel bleiben der st\u00e4rkste verf\u00fcgbare Schutz vor Phishing; es ist immer noch sicherer, einen Schl\u00fcssel zu verwenden, der dieses Problem aufweist, anstatt die zweistufige sicherheitsschl\u00fcsselbasierte Verifizierung (2SV) im Google-Konto auszuschalten oder auf weniger phishing-resistente Methoden (z.B. SMS-Codes oder Eingabeaufforderungen, die an Ihr Ger\u00e4t gesendet werden) herunterzusetzen.<\/p>\n<p>Dieses Bluetooth-Problem beim Titan Security Key hat keinen Einfluss auf USB- oder NFC-Sicherheitsschl\u00fcssel. Google empfiehlt den Leuten daher, den Titan Security Key weiter zu verwenden, wird die Keys aber austauschen. Weitere Details sind <a href=\"https:\/\/security.googleblog.com\/2019\/05\/titan-keys-update.html\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a> nachzulesen. (<a href=\"https:\/\/techcrunch.com\/2019\/05\/15\/google-recalls-its-bluetooth-titan-security-keys-because-of-a-security-bug\/\" target=\"_blank\" rel=\"noopener noreferrer\">via<\/a>)<\/p>\n<h2>Feitian-Sicherheits-Keys ebenfalls betroffen<\/h2>\n<p>Kleine Erg\u00e4nzung zum Artikel. Auf heise ist von mir der Beitrag <a href=\"https:\/\/www.heise.de\/meldung\/Schwachstelle-in-Bluetooth-Titan-Security-Keys-Google-bietet-Gratis-Umtausch-4424949.html\" target=\"_blank\" rel=\"noopener noreferrer\">Schwachstelle in Bluetooth Titan Security Keys \u2013 Google bietet Gratis-Umtausch<\/a> zum Thema erschienen. Dort hat sich ein Leser mit <a href=\"https:\/\/www.heise.de\/forum\/heise-Security\/News-Kommentare\/Schwachstelle-in-Bluetooth-Titan-Security-Keys-Google-bietet-Gratis-Umtausch\/Feitian-von-Amazon-sind-betroffen\/thread-5990942\/#posting_34518671\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Kommentar<\/a> gemeldet. Er bekam eine E-Mail zu allen Amazon-Konten, die mit dem betreffenden Sicherheitsschl\u00fcssel des chinesischen Herstellers Feitian gesichert sind. Das ist der Hersteller, der f\u00fcr Google die Fertigung des Titan Security Keys \u00fcbernommen hatte (siehe\u00a0<a href=\"https:\/\/borncity.com\/blog\/2018\/09\/04\/google-titan-security-keys-made-in-china\/\" rel=\"bookmark\">Google Titan Security Keys \u2013 Made in China<\/a>).\u00a0Die Mitteilung war, dass die Sicherheitsschl\u00fcssel betroffen seien. Der Hersteller hat eine <a href=\"https:\/\/web.archive.org\/web\/20220224161502\/https:\/\/www.ftsafe.com\/replacement\/\" target=\"_blank\" rel=\"noopener noreferrer\">entsprechende Webseite<\/a> mit weiteren Informationen, auch zum Austausch, eingerichtet.<\/p>\n<p>&nbsp;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Google-Mitarbeiter verwenden intern Titan Security Keys, um Anmeldeinformationen zu speichern. Die Titan Security Keys werden nun aber auch frei auf dem Markt verkauft. Leider musste Google ein Sicherheitsproblem im Bluetooth-Teil des Sicherheits-Keys einr\u00e4umen. Die Titan Security Keys sollen ausgetauscht werden. &hellip; <a href=\"https:\/\/borncity.com\/blog\/2019\/05\/16\/sicherheitsproblem-in-googles-titan-security-keys\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-218070","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/218070","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=218070"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/218070\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=218070"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=218070"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=218070"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}