- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Wo ist der Authentifizierungsprozess fehlbar?


Machen wir uns nichts vor – Authentifizierung reicht einfach nicht
Phishing-Angriffe sind weiterhin die am weitesten verbreitete Form des Identitätsdiebstahls

- Anzeigen -





Von Garret F. Grajek,VP of Identity at Cylance

Ich habe den größten Teil meines beruflichen Lebens damit verbracht Authentifizierungslösungen zu programmieren, zu implementieren, weiterzuentwickeln und zu patentieren. Daher nehme ich mir das Recht heraus zu sagen, letzten Endes funktioniert Authentifizierung einfach nicht. Mit "funktionieren" im engeren Sinne meine ich, dass es zu 100Prozent garantiert ist, dass es sich tatsächlich um eine vertrauenswürdige Identität handelt, wenn eine Benutzeridentität von einer Authentifizierungslösung an den betreffenden Partner weitergeleitet wird. Und genau das lässt sich nicht garantieren.

Es lässt sich belegen, dass und wie der eigentliche Validierungsprozess innerhalb der Authentisierung funktioniert. Das bedeutet, wir verifizieren mathematisch und empirisch, dass die von einem Authentifizierungsmechanismus zusammengestellte Entität mit den Werten übereinstimmt, die in der Datenbank des akzeptierenden Dritten gespeichert sind, also "matched". Das kann ein Passwort sein, ein Einmal-Passwort, OTP, X.509-basierte Verschlüsselung, biometrische Merkmale, mobile Push-Werte oder eine Gesichtserkennung. In einem Satz: Der Authentisierungsprozess lässt sich validieren und damit auch, dass das technische System korrekt arbeitet.

Betrachtet man diesen Prozess allerdings aus Sicht der Hacker-Gemeinde, und stellt sich die Frage, ob Validierungs-Tools sie von erfolgreichen Angriffen abhalten, müssen wir die Frage wohl oder übel mit einem klaren "Nein" beantworten.

Authentifizierung, reicht das?
Aus Sicht des Benutzers, etwa dem Inhaber einer Firma, ist der beschriebene Prozess nicht nur ein Bruchteil des eigentlichen Authentifizierungsprozesses, sondern bereits der komplette Vorgang. Der Nutzer geht davon aus, dass die authentifizierte Identität zwingend identisch ist mit derjenigen, die auf eine bestimmte IT-Ressource zugreift. Zu dieser Sichtweise trägt die Industrie nicht unwesentlich bei, indem sie gerne vom eigentlichen Problem ablenkt. Bevorzugt verweisen Anbieter etwa auf die immense Zahl unterschiedlicher Vektoren, die sie zur Gesichtserkennung einsetzen – und ein ganzer Markt starrt wie hypnotisiert auf diese und andere vollmundig geleistete Versprechungen. Ungeachtet dessen wächst das Problem weiter.

Nur ein Beispiel. Phishing-Angriffe sind weiterhin die am weitesten verbreitete Form des Identitätsdiebstahls. Aus den Informationen, die Benutzer weiterhin großzügig in sozialen Netzwerken verteilen oder anderswo freiwillig preisgeben, sind Hacker in der Lage umfangreiche Benutzerprofile zu erstellen. Und die wiederum erlauben es ihnen, die Sicherheitsschwachstellen auszumachen und gezielt anzugehen.

Wo ist der Authentifizierungsprozess fehlbar?
In verschiedener Hinsicht. So kann bereits das Formular, in dem die Daten für das Anlegen eines Benutzerkontos gesammelt werden, kompromittiert worden sein. Auch hier ein Beispiel: Innerhalb einer Web-App, kann die Seite, welche die Benutzerinformationen entgegen nimmt, bereits manipuliert sein. Der Nutzer gibt ahnungslos seine Anmeldeinformationen ein, und diese werden dann entweder direkt an den Angreifer übermittelt oder an ein Hacker-Tool zur weiteren Nutzung. Man spricht dann meistens von einem Man-in-the-Browser-Angriff (MitB) oder von Spyware und anderen böswilligen Mechanismen um Benutzerinformationen innerhalb des Authentifizierungsprozesses abzugreifen.

Aber selbst wenn dieser Teil der Authentifizierung – also das Sammeln der Daten – sicher abläuft, heißt das noch lange nicht, dass es Hackern nicht an anderer Stelle des Lebenszyklus gelingt, die Daten abzuziehen. Etwa in der Phase zwischen dem Einsammeln der Daten bis zur eigentlichen Validierung. Dann spricht man von einer Netzwerk- oder Cloud-basierten Man-in-the-Middle-Attacke, ein ziemlich übliches Verfahren. Jüngstes Beispiel: die Bluetooth-basierte "BlueBorne"-Attacke hat sich ebenfalls einen Man-in-the-Middle-Workflow zunutze gemacht.

Dazu kommen WLAN-Angriffe und andere Arten von Netzwerkattacken. Sie alle haben in der Regel nur ein Ziel, nämlich valide Authentifizierungsdaten zu stehlen und sie dann als legitime Anmeldedaten in weiteren Angriffsszenarien zu verwenden. Machen wir uns an dieser Stelle nichts vor. Wir leben in einer hoch mobilen Arbeits- und Geschäftswelt und loggen uns in öffentliche WLANs ein, von unterwegs aus, am Flughafen oder wo auch immer. Hacker wissen das natürlich. Sie nutzen diesen vergleichsweise bequemen Weg an die gewünschten Daten zu gelangen immer noch oft und gern.

Um der Argumentation willen...gehen wir davon aus, dass die Daten tatsächlich sicher gesammelt werden....
Nehmen wir also an, die Daten sind sicher eingesammelt und sicher an die authentifizierende Partei übermittelt worden. Wer aber sagt, dass der tatsächliche Authentifizierungs-Apparat oder Dienst selbst valide sind? Selbst Authentifizierungs-Server und Dienste sind durchschnittliche IT-Ressourcen und ganz genauso den üblichen Angriffsszenarien ausgesetzt wie jede andere auch. Schwachstellen, Risikopotenziale und Fälle, in denen die Sicherheitsmaßnahmen umgangen werden konnten, sind reichlich dokumentiert. Und zu guter Letzt, selbst nachdem eine sichere Authentisierung vom Nutzer an den jeweiligen Dienst übermittelt wurde kann ein Hacker die Session selbst stehlen und einfach wiederverwenden. Solche Session-Angriffe werden oft bei MitB oder Session Hijacking verwendet.

Dabei profitieren die Angriffe von der bestehenden Client-/Server-Architektur. Die Hacker stehlen das Session-Ticket, das zwischen den Parteien ausgetauscht wird um die Identität zu wahren. Solche Session-Tickets haben oftmals Schwachstellen, die eine Brute-Force-Attacke erlauben (wie etwa in jüngster Zeit bei der "GitLab"-Schwachstelle passiert).

Benutzerauthentifizierung löst längst nicht alle Probleme
Mein Fazit lautet, nicht allzu enthusiastisch auf die jeweils aktuellste Authentifizierungslösung zu vertrauen. Jüngstes Beispiel der Entwicklung: nach dem biometrischen Fingerabdruck setzt Apples neues iPhone auf Gesichtserkennung. Die Authentifizierungsspirale hat sich vermutlich noch lange nicht zu Ende gedreht. Authentifizierung hat Unternehmen aus der Schusslinie gebracht. Bis zum Überschreiten der Torlinie in Sachen Benutzersicherheit ist es allerdings ein ziemlich langer Weg. Dabei gilt es, jeden einzelnen Schritt innerhalb dieses Prozesses abzusichern. Dabei muss man sowohl die Validität als auch die Funktionalität der Identitäten überprüfen. Wir sind inzwischen was die Benutzerauthentifizierung anbelangt ganz zufriedenstellend unterwegs. Jetzt geht es darum, Wege zu finden das Benutzerverhalten besser zu verstehen und nachzuvollziehen was geschieht, nachdem die initiale Authentifizierung bereits stattgefunden hat.

In den kommenden Beiträgen beschäftigt sich der Autor damit, wie sich das Authentifizierungsmodell optimieren lässt und welche Tools es braucht um das reale Identitätsproblem zu lösen. Nämlich den Benutzer nicht nur bei Zugriffen auf das Netzwerk zu authentifizieren, sondern während seiner kompletten Reise durch die IT-Ressourcen.

Über den Autor Garret Grajek
Garret Grajek ist VP of Identity bei Cylance und zertifizierter Security Engineer mit mehr als 30 Jahren Erfahrung in der IT-Sicherheit. Er war unter anderem für RSA, Netegrity und Cisco tätig, bevor er SecureAuth IdP, eine 2-Factor/SSO-Lösung entwickelte und sein eigenes Unternehmen gründete. Grajek ist ein industrieweit anerkannter Experte für die Themen Identität, Access und Authentifizierung. Er hält selbst neun Patente, darunter Technologien wie x.509, SSO, Federation und Multi-Faktor-Authentifizierung. (Cylance: ra)

eingetragen: 04.10.17
Home & Newsletterlauf: 02.11.17


Cylance: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Cyberangriffe auf medizintechnische Geräte

    Cyberangriffe treten in vielen unterschiedlichen Formen in Erscheinung. Wenn sie sich allerdings gegen medizinische Einrichtungen, Dienste oder Geräte richten, sind die möglichen Folgen besonders schwerwiegend - für die Patienten sowie Einrichtungen und Behörden im Gesundheitswesen. Wo es Sicherheitslücken gibt, wird es auch jemanden geben, der sie ausnutzt. Wenn man überprüfen will wie hoch das Cybersicherheitsrisiko für Patienten ist muss man drei Komponenten berücksichtigen: medizinische Einrichtungen, Dienste und die Geräte selbst, denn sie sind der Verbindungspunkt zum Patienten. Alle drei sind unter dem Dach des Internet of Medical Things (IoMT) vereint. Versagt eine der Komponenten, ist der Patient einer Gefahr ausgesetzt, die erhebliche Auswirkungen haben kann. Den Verlust personenbezogener Daten, körperliche Schäden oder sogar den Tod.

  • Kontrolle über die Daten gewinnen

    Für Cyberkriminelle sind sensible Unternehmensdaten Gold wert: Gestohlene Kundeninformationen und Account-Logins von Mitarbeitern ermöglichen Betrug und Identitätsdiebstahl; geistiges Eigentum und Geschäftsgeheimnisse lassen sich lukrativ an die Konkurrenz verkaufen. Kontrolle über ihre Daten zu gewinnen, ist in Zeiten massiv wachsender Datenmengen für Unternehmen jeder Größe eine Herausforderung. E-Mails, Kollaborations-Tools und mobile Geräte verbinden Mitarbeiter, Dienstleister und Geschäftspartner, gewähren zugleich aber Zugang zu Unternehmensnetzwerken, die oft vertrauliche Informationen enthalten. Zudem haben Nutzer häufig höhere Zugriffsrechte, als für ihre Aufgaben erforderlich wäre. Das verschärft das Risiko von Datendiebstahl weiter, sowohl durch externe Angreifer als auch durch Insider-Bedrohungen.

  • Sicherheit & Schutz der Privatsphäre

    Patientendaten sind extrem vertrauliche Informationen. Sie besonders zu schützen ist nur konsequent, und die Institutionen im Gesundheitswesen sind sich der Tragweite bewusst. Die hier anfallenden Daten, die sogenannten PHI-Daten, Personal Health Information, sind so sensibel wie begehrt. Das führt schon seit einigen Jahren dazu, dass Institutionen im Gesundheitswesen kontinuierlich mit Angriffen von Innentätern als auch von externen Cyberkriminellen zu kämpfen haben. Die Beispiele erfolgreicher Attacken sind Legion. Auch hierzulande hat es bereits spektakuläre Vorfälle mit schwerwiegenden Folgen gegeben. PII-Daten gehören zu den Daten, die sich besonders gut verkaufen lassen, und die finanzielle Motivation spielt bei externen Angreifern eine entscheidende Rolle. Es verwundert also nicht, dass die Zahl der Angriffe steigt und die verwendeten Vektoren zunehmend ausgefeilter werden. Ziel ist es, illegitim auf alle Arten von medizinischen Daten und Patienteninformationen zuzugreifen und dabei möglichst lange unentdeckt zu Werke zu gehen. Gleichzeitig gehört die Gesundheitsbranche zu den besonders stark regulierten Industriezweigen. Regulatorischer Druck und mögliche Strafen, stellen die Verantwortlichen vor nicht zu unterschätzende Herausforderungen.

  • Die ersten 90 Tage

    Sicherheit in einem wachstumsstarken Unternehmen auf- und ausbauen ist die zentrale Aufgabe eines designierten IT-Sicherheitschefs. Mit großer Wahrscheinlichkeit hat das Unternehmen bereits eine Reihe grundlegender Sicherheitsverfahren und Technologien implementiert, wie etwa Scan-Tools oder einen jährlichen Penetrationstest. Worin aber besteht das beste Fundament für maßgeschneiderte Sicherheitskonzepte? Welche Schritte sind geeignet Sicherheitsmaßnahmen einzuziehen, die mit dem Unternehmen wachsen? Neue und laufende Projekte, konkurrierende Prioritäten, Upgrades, potenzielle Sicherheitsschwachstellen und die 5-Jahresplanung. Mangelnde Betätigung und zu wenig Herausforderungen sind vermutlich das letzte über das sich ein Sicherheitsexperte beklagen muss. Angesichts der Fülle an Aufgaben mag es paradox anmuten: Trotzdem sollte man die Anfangsphase nutzen um sich zunächst gründlich zu orientieren. Nehmen Sie sich die Zeit, den aktuellen Status des Unternehmens gut zu verstehen. Dieses Verständnis trägt entscheidend dazu bei, präzise zu definieren wie der Status in Zukunft sein soll.

  • Wird Bluekeep zu WannaCry 2.0?

    Vor kurzem entdeckte Microsoft die Sicherheitslücke Bluekeep, die die schlimmsten Cyberangriffe seit der berüchtigten Ransomware-Attacke WannaCry aus 2017 ermöglichen könnte. WannaCry konnte sich nur deshalb so weit ausbreiten und solch immense Schäden verursachen, weil Tausende von Systemen nicht gepatcht waren. Microsoft hatte zwar einen Patch bereitgestellt, der vor WannaCry geschützt hätte, aber dieser Patch war bei vielen Systemen nicht aufgespielt worden. So blieben diese Systeme verwundbar. Mit Bluekeep droht sich die Geschichte zu wiederholen: Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht.