Eine eigene Rufnummer für die Zwei-Faktor-Authentifizierung

Dienste haben SMS-Codes übernommen, weil eine Telefonleitung lange Zeit der billigste verfügbare Beleg dafür war, dass eine Person erreichbar, von anderen Nutzern unterscheidbar ist und etwas zu verlieren hat. Der Code prüft nicht, wer Sie sind. Er prüft, dass die Person, die sich anmeldet, eine Nachricht an einer früher hinterlegten Nummer empfangen kann. Das ist ein Beleg für Kontinuität, kein Identitätsnachweis, und dieser Unterschied erklärt fast alles andere.

Jede unangenehme Eigenschaft der SMS-Zwei-Faktor folgt daraus. Weil der Beleg Kontinuität ist, ist die Kontrolle über die Leitung die Kontrolle über das Konto, und jeder Vorgang, der eine Nummer zwischen Personen verschiebt, ob eine legitime Portierung, ein überzeugender Anruf bei einer Anbieter-Hotline oder eine neu vergebene Pool-Nummer, verschiebt die Konten gleich mit. Deshalb lautet die nützliche Frage, wer die Leitung hält und wie lange, und nicht irgendetwas über den Code selbst.

Das ist der Teil, den die meisten Verkäufer von Zweitnummern weglassen. Wenn SMS der einzige Wiederherstellungsweg für ein Konto ist und die Nummer aufhört zu funktionieren, sind Sie ausgesperrt, und der Dienst kann Ihnen meist nicht helfen, weil die Nummer der Beleg war. Eine Zwei-Faktor-Leitung zu verlieren ist keine Unannehmlichkeit, die man an einem Nachmittag umgeht. Es kann endgültig sein, und je mehr Konten auf diese Leitung zeigen, desto schlimmer wird es.

Dieses Risiko spricht unmittelbar gegen das Mieten. Eine Nummer aus einem geteilten Pool geht nach Ende der Miete zurück in den Umlauf, das heißt, jemand anderes empfängt womöglich irgendwann Codes für Konten, die Sie noch führen. Eine Nummer, die Sie behalten und bewusst verlängern, verhält sich nicht so. Der Gegenwert dafür ist, dass dieses Behalten nun in Ihrer Verantwortung liegt und nicht in der eines Netzbetreibers.

Wegwerf- und Pool-Nummern sind für einmalige Anmeldungen gebaut. Für einen Faktor, auf den Sie sich jahrelang verlassen, sind sie das falsche Werkzeug. Eine Zwei-Faktor-Nummer muss in achtzehn Monaten noch funktionieren, dann noch Ihnen gehören und nie jemand anderem gehört haben. Gemietete Nummern scheitern an allen drei Punkten, und zwar konstruktionsbedingt und nicht versehentlich, denn der Wiederumlauf ist das Geschäftsmodell.

Unsere Leitung wird für die bezahlte Laufzeit ausgegeben und in dieser Zeit nicht an andere Kunden weitergereicht. Es liegt keine Karte hinterlegt, die Verlängerung ist also eine ausdrückliche Entscheidung, und $15 alle sechs Monate halten sie aktiv. Hören Sie auf, hört sie auf. Ziehen Sie Ihre Codes vorher um und nicht hinterher, denn hinterher ist die teure Variante.

SMS ist nicht der stärkste zweite Faktor, und es wäre unredlich, sie als solchen zu verkaufen. Die Leitlinien des NIST zu digitalen Identitäten behandeln Out-of-Band-Authentifizierung über das öffentliche Telefonnetz inzwischen als eingeschränkten Authentifikator und nennen dafür SIM-Swapping, Rufnummernportierung und Gerätediebstahl. Wo ein Dienst eine Authenticator-App oder einen Hardware-Sicherheitsschlüssel anbietet, nutzen Sie das statt SMS. Dieser Rat kostet uns einen Verkauf und ist trotzdem der richtige Rat.

SMS bleibt sinnvoll für die große Zahl an Diensten, die nichts anderes anbieten oder die eine Rufnummer verlangen, egal was Sie sonst aktivieren. Für die ist die Frage nicht, ob SMS ideal ist. Die Frage ist, welche Leitung sie empfängt. Eine stille, eigene Nummer mit nur einem Zweck ist ein kleineres Ziel als die, die Sie seit zehn Jahren jeder Website gegeben haben.

Fügen Sie die neue Nummer als zweiten Faktor hinzu, bevor Sie irgendetwas entfernen, bestätigen Sie, dass ein echter Code darauf ankommt, und nehmen Sie erst danach die alte außer Betrieb. Notieren Sie Backup-Codes überall dort, wo ein Dienst sie anbietet, denn Backup-Codes sind der Notausgang, der von keiner Telefonleitung abhängt. Bewahren Sie sie offline auf, nicht in dem Konto, das sie schützen.

Halten Sie die eSIM auf einem Handy installiert, das Sie tatsächlich benutzen, und nicht auf einem in der Schublade, denn eine Leitung, nach der Sie nie sehen, ist eine Leitung, deren Ausfall Sie nicht bemerken werden. Unser Installations-QR ist einmalig nutzbar, löschen Sie das Profil also nicht in der Erwartung auf Ersatz. Es gibt keinen, und ein gelöschtes UK-Nummernprofil wird nie neu ausgegeben.