- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Wo ist der Authentifizierungsprozess fehlbar?


Machen wir uns nichts vor – Authentifizierung reicht einfach nicht
Phishing-Angriffe sind weiterhin die am weitesten verbreitete Form des Identitätsdiebstahls

- Anzeigen -





Von Garret F. Grajek,VP of Identity at Cylance

Ich habe den größten Teil meines beruflichen Lebens damit verbracht Authentifizierungslösungen zu programmieren, zu implementieren, weiterzuentwickeln und zu patentieren. Daher nehme ich mir das Recht heraus zu sagen, letzten Endes funktioniert Authentifizierung einfach nicht. Mit "funktionieren" im engeren Sinne meine ich, dass es zu 100Prozent garantiert ist, dass es sich tatsächlich um eine vertrauenswürdige Identität handelt, wenn eine Benutzeridentität von einer Authentifizierungslösung an den betreffenden Partner weitergeleitet wird. Und genau das lässt sich nicht garantieren.

Es lässt sich belegen, dass und wie der eigentliche Validierungsprozess innerhalb der Authentisierung funktioniert. Das bedeutet, wir verifizieren mathematisch und empirisch, dass die von einem Authentifizierungsmechanismus zusammengestellte Entität mit den Werten übereinstimmt, die in der Datenbank des akzeptierenden Dritten gespeichert sind, also "matched". Das kann ein Passwort sein, ein Einmal-Passwort, OTP, X.509-basierte Verschlüsselung, biometrische Merkmale, mobile Push-Werte oder eine Gesichtserkennung. In einem Satz: Der Authentisierungsprozess lässt sich validieren und damit auch, dass das technische System korrekt arbeitet.

Betrachtet man diesen Prozess allerdings aus Sicht der Hacker-Gemeinde, und stellt sich die Frage, ob Validierungs-Tools sie von erfolgreichen Angriffen abhalten, müssen wir die Frage wohl oder übel mit einem klaren "Nein" beantworten.

Authentifizierung, reicht das?
Aus Sicht des Benutzers, etwa dem Inhaber einer Firma, ist der beschriebene Prozess nicht nur ein Bruchteil des eigentlichen Authentifizierungsprozesses, sondern bereits der komplette Vorgang. Der Nutzer geht davon aus, dass die authentifizierte Identität zwingend identisch ist mit derjenigen, die auf eine bestimmte IT-Ressource zugreift. Zu dieser Sichtweise trägt die Industrie nicht unwesentlich bei, indem sie gerne vom eigentlichen Problem ablenkt. Bevorzugt verweisen Anbieter etwa auf die immense Zahl unterschiedlicher Vektoren, die sie zur Gesichtserkennung einsetzen – und ein ganzer Markt starrt wie hypnotisiert auf diese und andere vollmundig geleistete Versprechungen. Ungeachtet dessen wächst das Problem weiter.

Nur ein Beispiel. Phishing-Angriffe sind weiterhin die am weitesten verbreitete Form des Identitätsdiebstahls. Aus den Informationen, die Benutzer weiterhin großzügig in sozialen Netzwerken verteilen oder anderswo freiwillig preisgeben, sind Hacker in der Lage umfangreiche Benutzerprofile zu erstellen. Und die wiederum erlauben es ihnen, die Sicherheitsschwachstellen auszumachen und gezielt anzugehen.

Wo ist der Authentifizierungsprozess fehlbar?
In verschiedener Hinsicht. So kann bereits das Formular, in dem die Daten für das Anlegen eines Benutzerkontos gesammelt werden, kompromittiert worden sein. Auch hier ein Beispiel: Innerhalb einer Web-App, kann die Seite, welche die Benutzerinformationen entgegen nimmt, bereits manipuliert sein. Der Nutzer gibt ahnungslos seine Anmeldeinformationen ein, und diese werden dann entweder direkt an den Angreifer übermittelt oder an ein Hacker-Tool zur weiteren Nutzung. Man spricht dann meistens von einem Man-in-the-Browser-Angriff (MitB) oder von Spyware und anderen böswilligen Mechanismen um Benutzerinformationen innerhalb des Authentifizierungsprozesses abzugreifen.

Aber selbst wenn dieser Teil der Authentifizierung – also das Sammeln der Daten – sicher abläuft, heißt das noch lange nicht, dass es Hackern nicht an anderer Stelle des Lebenszyklus gelingt, die Daten abzuziehen. Etwa in der Phase zwischen dem Einsammeln der Daten bis zur eigentlichen Validierung. Dann spricht man von einer Netzwerk- oder Cloud-basierten Man-in-the-Middle-Attacke, ein ziemlich übliches Verfahren. Jüngstes Beispiel: die Bluetooth-basierte "BlueBorne"-Attacke hat sich ebenfalls einen Man-in-the-Middle-Workflow zunutze gemacht.

Dazu kommen WLAN-Angriffe und andere Arten von Netzwerkattacken. Sie alle haben in der Regel nur ein Ziel, nämlich valide Authentifizierungsdaten zu stehlen und sie dann als legitime Anmeldedaten in weiteren Angriffsszenarien zu verwenden. Machen wir uns an dieser Stelle nichts vor. Wir leben in einer hoch mobilen Arbeits- und Geschäftswelt und loggen uns in öffentliche WLANs ein, von unterwegs aus, am Flughafen oder wo auch immer. Hacker wissen das natürlich. Sie nutzen diesen vergleichsweise bequemen Weg an die gewünschten Daten zu gelangen immer noch oft und gern.

Um der Argumentation willen...gehen wir davon aus, dass die Daten tatsächlich sicher gesammelt werden....
Nehmen wir also an, die Daten sind sicher eingesammelt und sicher an die authentifizierende Partei übermittelt worden. Wer aber sagt, dass der tatsächliche Authentifizierungs-Apparat oder Dienst selbst valide sind? Selbst Authentifizierungs-Server und Dienste sind durchschnittliche IT-Ressourcen und ganz genauso den üblichen Angriffsszenarien ausgesetzt wie jede andere auch. Schwachstellen, Risikopotenziale und Fälle, in denen die Sicherheitsmaßnahmen umgangen werden konnten, sind reichlich dokumentiert. Und zu guter Letzt, selbst nachdem eine sichere Authentisierung vom Nutzer an den jeweiligen Dienst übermittelt wurde kann ein Hacker die Session selbst stehlen und einfach wiederverwenden. Solche Session-Angriffe werden oft bei MitB oder Session Hijacking verwendet.

Dabei profitieren die Angriffe von der bestehenden Client-/Server-Architektur. Die Hacker stehlen das Session-Ticket, das zwischen den Parteien ausgetauscht wird um die Identität zu wahren. Solche Session-Tickets haben oftmals Schwachstellen, die eine Brute-Force-Attacke erlauben (wie etwa in jüngster Zeit bei der "GitLab"-Schwachstelle passiert).

Benutzerauthentifizierung löst längst nicht alle Probleme
Mein Fazit lautet, nicht allzu enthusiastisch auf die jeweils aktuellste Authentifizierungslösung zu vertrauen. Jüngstes Beispiel der Entwicklung: nach dem biometrischen Fingerabdruck setzt Apples neues iPhone auf Gesichtserkennung. Die Authentifizierungsspirale hat sich vermutlich noch lange nicht zu Ende gedreht. Authentifizierung hat Unternehmen aus der Schusslinie gebracht. Bis zum Überschreiten der Torlinie in Sachen Benutzersicherheit ist es allerdings ein ziemlich langer Weg. Dabei gilt es, jeden einzelnen Schritt innerhalb dieses Prozesses abzusichern. Dabei muss man sowohl die Validität als auch die Funktionalität der Identitäten überprüfen. Wir sind inzwischen was die Benutzerauthentifizierung anbelangt ganz zufriedenstellend unterwegs. Jetzt geht es darum, Wege zu finden das Benutzerverhalten besser zu verstehen und nachzuvollziehen was geschieht, nachdem die initiale Authentifizierung bereits stattgefunden hat.

In den kommenden Beiträgen beschäftigt sich der Autor damit, wie sich das Authentifizierungsmodell optimieren lässt und welche Tools es braucht um das reale Identitätsproblem zu lösen. Nämlich den Benutzer nicht nur bei Zugriffen auf das Netzwerk zu authentifizieren, sondern während seiner kompletten Reise durch die IT-Ressourcen.

Über den Autor Garret Grajek
Garret Grajek ist VP of Identity bei Cylance und zertifizierter Security Engineer mit mehr als 30 Jahren Erfahrung in der IT-Sicherheit. Er war unter anderem für RSA, Netegrity und Cisco tätig, bevor er SecureAuth IdP, eine 2-Factor/SSO-Lösung entwickelte und sein eigenes Unternehmen gründete. Grajek ist ein industrieweit anerkannter Experte für die Themen Identität, Access und Authentifizierung. Er hält selbst neun Patente, darunter Technologien wie x.509, SSO, Federation und Multi-Faktor-Authentifizierung. (Cylance: ra)

eingetragen: 04.10.17
Home & Newsletterlauf: 02.11.17


Cylance: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Sieben Punkte zur IoT-Security

    Das Internet der Dinge steckt immer noch in den Kinderschuhen, aber hat sich bereits einen Ruf als ausgewachsenes Sicherheitsrisiko gemacht. Ob Router, Drucker, Smart-TV, Spielzeug oder Waschmaschinen - vernetzte Geräte werden für Cyberkriminelle zum Werkzeug für illegales Krypto-Mining, DDoS-Angriffe bis hin zur Lösegelderpressung durch angedrohte Datenlöschung, wie im Fall des Spielzeugherstellers Spiral Toys. Dessen Datenleck machte 2017 Schlagzeilen, bei dem mehr als 800.000 Nutzer betroffen waren. Die IoT-Malware-Landschaft entwickelt sich stetig weiter, während die Sicherheitsvorkehrungen meist noch rudimentär sind. Das Anfang des Jahres entdeckte Botnet "Hide and Seek" bettet, im Gegensatz zur berüchtigten DDoS-Mirai-Malware, eine Vielzahl von Befehlen wie Datenexfiltration, Code-Ausführung und Interferenz mit dem Betrieb des Geräts ein. Die Sicherheitsrisiken im IoT-Bereich sind Großteils auf das rasante Tempo zurückzuführen, mit dem IoT-Devices weltweit implementiert werden - 20 Milliarden installierte Geräte sind nach Schätzungen von Gartner bis Ende 2020 zu erwarten. Im hart umkämpften Technologiesektor hat der Eifer, als erster mit erschwinglichen IoT-Geräten auf den Markt zu kommen, dazu geführt, dass viele Hersteller selbst einige der grundlegendsten Sicherheitsprinzipien zugunsten schneller Entwicklungszyklen außer Acht gelassen haben.

  • Implementierung einer Public Key Infrastructure

    Die digitale Transformation hat inzwischen eine Vielzahl von Branchen erreicht. Nicht zuletzt angetrieben durch die rasante Weiterentwicklung des Internet of Things (IoT) und die darin liegenden unternehmerischen Möglichkeiten. Wie etwa den, sich Wettbewerbsvorteile gegenüber der Konkurrenz zu verschaffen. Richtig aufgesetzt haben IoT-Projekte das Potenzial, betriebliche Abläufe zu rationalisieren, neue Umsatzquellen zu erschließen und Dienstleistungen besser auf die Bedürfnisse der Kunden zuzuschneiden. So erheben und sammeln IoT-Geräte Unmengen von Daten, die Firmen analysieren und für sich nutzbar machen können. Dazu muss allerdings eines gewährleistet sein: Sowohl die Geräte als auch die Daten müssen vertrauenswürdig sein. Sonst hätte es wenig Sinn, sie aufwendig zu analysieren und zueinander in Beziehung zu setzen. Will man die ambitionierten Ziele der digitalen Transformation erreichen, braucht es zwingend eine Vertrauensbasis für IoT-Anwendungen. Eine Technologie, die sich in dieser Hinsicht bereits bewährt hat, wird hier zu einem der zentralen Bausteine: eine auf Best Practices basierende Public Key Infrastructure (PKI).

  • KI: Kein Ersatz für IT-Sicherheitsteams

    Ob Spear-Phishing, Ransomware oder Zero-Day-Exploits, Netzwerke sind ständig in Gefahr gehackt zu werden. Die wachsende Bedrohung geht einher mit immer komplexeren IT-Landschaften, mehr Daten und weniger IT-Personal. Um ihre Netzwerke unter diesen schwierigen Umständen effektiver zu schützen, setzen viele Unternehmen inzwischen auf Technologien wie KI-basierte Verhaltensüberwachung. Sie nutzt die Möglichkeiten von Datenanalyse und maschinellem Lernen um einen der größten Risikofaktoren im Netzwerk zu minimieren: den Benutzer. Nutzer sind die Einfallstore, die sensible Unternehmensdaten gefährden, sei es ein kompromittiertes Nutzerkonto im Netzwerk, ein Insider-Angriff oder unbedachtes Verhalten eines Mitarbeiters.

  • Cyber-Erpressung auf Bestellung

    CryptoLocker, GoldenEye, Locky, WannaCry - Ransomware hat mit der Geiselnahme von Dateien durch Verschlüsselung in den letzten Jahren eine beachtliche und unrühmliche Karriere hingelegt. Und da sich Kriminelle auch bei Digitalisierungstrends wie as-a-Service-Angeboten nicht lumpen lassen, hat die Untergrundökonomie mit Ransomware-as-a-Service (RaaS) rasch ein lukratives Geschäftsmodell für sich entdeckt, das in kürzester Zeit enormes Wachstum erlebt hat. Das Prinzip ist denkbar einfach - wie in der legalen Wirtschaft sind die Dienstleistungen ganz auf die Bedürfnisse einer möglichst breiten Kundschaft zugeschnitten: Auf Ransomware-as-a-Service-Plattformen können nun auch technisch wenig versierte Kriminelle ins Cyber-Erpressergeschäft einsteigen und sich von Schadware-Entwicklern die entsprechende Service-Leistung gegen Abgabe einer festen Gebühr oder einer Provision basierend auf den Lösegeldeinnahmen besorgen.

  • Investitionen in IT-Sicherheit legitimieren

    Wenn man so oft direkt mit unterschiedlichen Unternehmen und Menschen zu tun hat wie der Vertrieb, erkennt man schnell bestimmte Reaktionsschemata. Ebenso wie zuverlässig wiederkehrende Schwierigkeiten beim Implementieren von IT-Sicherheitsmaßnahmen. Den größten Teil unserer Zeit verbringen wir damit zu erläutern warum Cybersicherheit derart wichtig ist und wie ein Unternehmen von bestimmten Maßnahmen am besten profitiert. Trotzdem erhält man regelmäßig dieselben Antworten: "Ich verstehe absolut wovon Sie sprechen, und ich gebe Ihnen sogar Recht. Nur, wie soll ich die zusätzlichen Ausgaben gegenüber der Geschäftsleitung rechtfertigen?" Es gibt allerdings einige grundlegende Argumente die Kunden helfen, Sicherheitsansätze und Lösungen gegenüber der Geschäftsführung oder anderen Zeichnungsbefugten plausibel zu machen.