Serie „Coders Conquer Security Infrastructure as Code“: Unsichere Kryptografie

Vorausschauende Unternehmen setzen zunehmend auf das Konzept „Infrastructure as Code“. Als Entwickler können Sie maßgeblich dazu beitragen, sicheren Code zu erstellen – auch außerhalb der reinen Anwendungsentwicklung. Der Weg dorthin mag anfangs lang erscheinen, doch er lohnt sich, um sich von der Masse abzuheben.

Bevor wir mit dem nächsten Kapitel unserer aktuellen „Coders Conquer Security“-Reihe beginnen, möchte ich Sie zu einer spielerischen Herausforderung zum Thema Schwachstellen bei der Speicherung sensibler Daten einladen. Spielen Sie jetzt und wählen Sie zwischen Kubernetes, Terraform, Ansible, Docker oder CloudFormation:

Wie ist es gelaufen? Falls Ihr Wissen noch etwas Auffrischung gebrauchen kann, lesen Sie weiter:

Die Verschlüsselung kritischer Daten wie Passwörter, persönlicher Informationen und Finanzunterlagen im Ruhezustand ist heutzutage ein Eckpfeiler jeder Cybersicherheitsstrategie. In vielerlei Hinsicht fungiert sie sowohl als letzte Verteidigungslinie als auch als eine der effektivsten Schutzmaßnahmen. Selbst wenn es einem Angreifer gelingt, andere Sicherheitsbarrieren zu durchbrechen und an kritische Dateien zu gelangen, nützen ihm diese wenig, sofern sie ordnungsgemäß verschlüsselt und gespeichert sind.

Dies dient zudem als solider Schutz gegen böswillige Insider, da verschlüsselte Dateien mit anderen Schlüsseln oder Passwörtern gesichert werden können als der Rest des Netzwerks. Ein Systemadministrator oder ein Hacker, der sich Administratorrechte verschafft hat, könnte zwar auf ein geschütztes Verzeichnis zugreifen, wäre jedoch nicht in der Lage, die dort gespeicherten Dateien zu entschlüsseln, wenn der Verschlüsselungsschlüssel an einem anderen Ort aufbewahrt wird.

Natürlich setzen alle Verschlüsselungsmethoden voraus, dass starke Standards verwendet werden, die selbst von leistungsstärksten Computern nicht geknackt werden können.

Warum ist unsichere Kryptografie gefährlich?

In der Computertechnologie liefern sich die Entwicklung starker Verschlüsselungsalgorithmen und deren Entschlüsselung seit Langem ein Wettrennen. 1977 entwickelte die US-Bundesregierung den Data Encryption Standard (DES), einen 56-Bit-Algorithmus, der angesichts der damaligen Rechenleistung als sicher galt.

Doch die Computertechnik entwickelte sich weiter, und durch die Vernetzung von Systemen konnte die Rechenleistung massiv gesteigert werden. 1999 gelang es der Electronic Frontier Foundation in Zusammenarbeit mit Distributed.net, die Verschlüsselung eines DES-geschützten Dokuments innerhalb von nur 22 Stunden öffentlich zu knacken. Plötzlich war kein mit DES geschütztes Dokument mehr sicher.

Ob man es glaubt oder nicht, manche Unternehmen schützen ihre kritischen Dateien noch immer mit dem DES-Algorithmus oder ähnlich schwachen Verfahren. Während 1999 noch ein verteiltes Netzwerk nötig war, um eine 56-Bit-Verschlüsselung zu knacken, schafft das heute fast jeder leistungsstarke Einzelrechner in kürzester Zeit. Hacker nutzen zudem spezielle „Cracking-Maschinen“, die aus Clustern von Grafikprozessoren (GPUs) bestehen. Diese GPUs sind für solche Aufgaben extrem effizient, kostengünstig und lassen sich leicht lokal vernetzen.

Wenn Sie sich heute für einen unsicheren oder schwachen kryptografischen Algorithmus entscheiden, dauert es nicht lange, bis Hacker diese Dateien knacken und lesbar machen können. Bei einer Datenpanne müssen Sie davon ausgehen, dass alle unzureichend geschützten Dateien kompromittiert werden.

Der folgende Kubernetes-Codeausschnitt verwendet beispielsweise einen schwachen Verschlüsselungsalgorithmus, um Informationen auf Ebene des NGINX Ingress Controllers zu schützen:

apiVersion: v1
kind: ConfigMap
metadata:
 name: nginx-load-balancer-conf
 namespace: kube-system
data:
 ssl-ciphers: DES-CBC3-SHA
 ssl-protocols: "TLSv1.2"

In diesem Beispiel wurde die DES-Cipher-Suite zum Schutz der Informationen verwendet. Ein Angreifer könnte diese jedoch leicht entschlüsseln und auf sensible Daten zugreifen.

Es wird empfohlen, starke Verschlüsselungsalgorithmen zu verwenden. Im folgenden Kubernetes-Beispiel wurden starke Cipher-Suites eingesetzt, um die Informationen auf Ebene des NGINX Ingress Controllers zu schützen:

apiVersion: v1
kind: ConfigMap
metadata:
 name: nginx-load-balancer-conf
 namespace: kube-system
data:
 ssl-ciphers: |
   ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:
   ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:
   ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:
   ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:
   ECDHE-RSA-AES128-SHA256
 ssl-protocols: "TLSv1.2"

In diesem Beispiel wurde eine starke Cipher-Suite verwendet, um zu verhindern, dass Angreifer Zugriff auf sensible Informationen erhalten.

Schutz kritischer Informationen durch starke Verschlüsselung

Heute stehen starke Verschlüsselungsmethoden zur Verfügung, die nahezu unknackbar sind. Im Jahr 2001 entwickelte das National Institute of Standards and Technology (NIST) den Advanced Encryption Standard (AES) als Nachfolger für DES. Er nutzt drei verschiedene Schlüssellängen: 128, 192 oder 256 Bit. Die 256-Bit-AES-Verschlüsselung ist am sichersten, wobei alle drei Varianten nach heutigem Stand der Technik als praktisch unknackbar gelten. Tests mit Supercomputern haben gezeigt, dass es Tausende von Jahren ununterbrochener Rechenzeit erfordern würde, um die meisten AES-geschützten Dokumente zu entschlüsseln.

Um kritische Dateien angemessen zu schützen, sollten Entwickler diese zunächst identifizieren. Es ist nicht notwendig, sämtliche Daten im Netzwerk zu verschlüsseln, da dies durch die ständigen Ver- und Entschlüsselungsprozesse den Betrieb verlangsamen könnte. Kritische Dateien wie Personalakten, Kundendaten und Finanzinformationen erfordern jedoch einen ausreichenden Schutz. Im Grunde ist es ein Balanceakt zwischen Sicherheit und der Aufrechterhaltung eines effizienten Systems.

Diese Daten sollten nach einem der AES-Standards verschlüsselt werden. Für besonders sensible Informationen, die keinesfalls in falsche Hände geraten dürfen, empfiehlt sich sogar eine 256-Bit-Verschlüsselung.

Ein weiterer Punkt ist, dass zusätzliche Verschlüsselung vergleichbar mit weiteren Passwörtern für eine Website ist. Das bedeutet, dass autorisierte Benutzer den Überblick über die Verschlüsselungsschlüssel behalten müssen. Um zu verhindern, dass dies zu einem Engpass im Arbeitsablauf wird, sollten Sie den Einsatz einer Schlüsselverwaltungsplattform in Betracht ziehen, um diese Schlüssel sicher zu verwalten. Selbst wenn Sie keine zentrale Schlüsselverwaltung nutzen, stellen Sie sicher, dass alle Schlüssel und Passwörter geschützt sind, damit Unbefugte keinen Zugriff auf Ihre sichersten Datentresore erhalten.

Besuchen Sie die Secure Code Warrior Blogseiten für weitere Einblicke in diese Schwachstelle und erfahren Sie, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen anderer Sicherheitslücken schützen können. Sie können auch eine Demo einer IaC-Challenge auf der Secure Code Warrior-Schulungsplattform ausprobieren, um Ihre Cybersicherheitskenntnisse stets auf dem neuesten Stand zu halten.