Unsichere kryptografische Speicherung & Sicherheit | Secure Code Warrior

Daten sind das Lebenselixier von Unternehmen. Sie bilden die grundlegende Basis für das Überleben, die Umsatzgenerierung und die Bereitstellung von Kundenservices. In unserer zunehmend digital geprägten Gesellschaft tragen Entwickler als Verwalter dieser wertvollen Informationen eine enorme Verantwortung. Wenn Entwickler vertrauliche Daten nicht schützen, wird das Unternehmen zum Opfer unsicherer kryptografischer Speicherung.

Werfen wir einen Blick darauf, wie Daten sicher gespeichert werden und was passieren kann, wenn dies nicht geschieht.

Unsichere kryptografische Speicherung verstehen

Wenn Angreifer Zugriff auf ein System erlangen, sind sie meist auf der Jagd nach wertvollen Daten. Sie wissen schon – die Art von Daten, die genutzt werden können, um Konten zu übernehmen oder weitere Angriffe auszuführen. Manchmal werden solche Daten auch einfach auf dem Schwarzmarkt zu Geld gemacht.

Unsichere kryptografische Speicherung ist keine einzelne Schwachstelle wie SQL-Injection oder XSS. Sie ist die Folge davon, dass Daten nicht so geschützt werden, wie es erforderlich wäre.

Sensible Informationen müssen geschützt werden. Wenn Sie Passwörter und Kreditkartendaten im Klartext speichern, spielen Sie russisches Roulette mit Ihrem Unternehmen.

Wenn ein Hacker in Ihre Datenbank eindringt und Daten mittels SQL-Injection, XML-Injection oder einer anderen Methode stiehlt, erhält er Zugriff auf alles. Wenn Sie Ihre Daten jedoch verschlüsseln, wird es für ihn deutlich schwieriger, diese tatsächlich zu nutzen.

Es ist wichtig zu beachten, dass Sicherheitsverletzungen nicht immer durch böswillige Außenstehende verursacht werden. Auch ein unbefugter Insider kann problemlos Daten stehlen, wenn diese nicht verschlüsselt sind. Mitarbeiter Ihres Unternehmens müssen nicht alles in der Datenbank sehen können; unzureichende Zugriffskontrollen oder offengelegte sensible Daten können zu direktem Diebstahl führen.

Denken Sie auch daran, dass Verschlüsselung nicht gleich Verschlüsselung ist. Die Verwendung falscher kryptografischer Algorithmen ist genauso gefährlich wie der vollständige Verzicht darauf. Bekannte schwache Algorithmen bieten versierten Angreifern kaum Widerstand.

Warum unsichere kryptografische Speicherung gefährlich ist

Viele Unternehmen werden durch eine andere Schwachstelle (wie SQL-Injection) kompromittiert und sind dann nicht in der Lage, die gestohlenen Daten zu verbergen. Das macht eine ohnehin schon schlimme Situation noch katastrophaler.

• Bei Adult Friend Finder kam es zu einem Datenleck, bei dem 412 Millionen Konten offengelegt wurden. Die Passwörter waren mit dem schwachen Hashing-Algorithmus SHA-1 geschützt und konnten von Angreifern innerhalb eines Monats problemlos geknackt werden.
• Bei Uber wurden 57 Millionen Nutzerdatensätze und 600.000 Fahrerdatensätze gestohlen. Persönliche Informationen gingen verloren. Dies geschah, weil ein GitHub-Repository von Uber den Benutzernamen und das Passwort für das AWS-Konto offen zugänglich machte – keine gute Idee. Ubers Unternehmenswert sank aufgrund dieses Vorfalls um 20 Milliarden Dollar.
• Das PlayStation Network von Sony wurde gehackt, wobei 77 Millionen Konten betroffen waren. 12 Millionen dieser Konten enthielten unverschlüsselte Kreditkartendaten. Sony zahlte später 15 Millionen Dollar im Rahmen einer Sammelklage.

Die Folgen einer unsachgemäßen Speicherung sensibler Daten sind eindeutig schwerwiegend.

Sony wurde verklagt, was eine erhebliche Strafe darstellt. Doch selbst wenn es nicht zu einer Klage kommt, können der Reputationsverlust und regulatorische Konsequenzen für ein Unternehmen katastrophal sein.

Unsichere kryptografische Speicherung besiegen

Wie können Entwickler verhindern, dass es zu solchen Datenlecks kommt?

Der erste Schritt besteht darin, zu identifizieren, welche Daten überhaupt eine Verschlüsselung erfordern. Schließlich sind nicht alle Daten gleich. Kategorisieren Sie Ihre Daten und setzen Sie dann gezielt Verschlüsselung ein.

Persönliche Daten wie Sozialversicherungsnummern, Passwörter und Kreditkartendetails müssen grundsätzlich geschützt werden. Je nach Art Ihres Unternehmens müssen Sie möglicherweise auch Gesundheitsakten oder andere als privat eingestufte Informationen absichern.

Sobald Sie wissen, welche Daten geschützt werden müssen, ist der nächste Schritt der Einsatz der richtigen Werkzeuge zur Gewährleistung der Sicherheit. Generell empfiehlt es sich, auf kryptografische Algorithmen zu setzen, die sich bewährt haben und als sicher gelten.

Entwickeln Sie unter keinen Umständen eigene kryptografische Funktionen. Diese enthalten höchstwahrscheinlich Schwachstellen, die Angreifer nutzen können, um die Verschlüsselung zu knacken.

Verwenden Sie zur Verschlüsselung von Daten wie Sozialversicherungsnummern oder Kreditkarteninformationen AES. Es gibt verschiedene Betriebsmodi für AES; ein zum Zeitpunkt der Erstellung dieses Artikels sehr empfehlenswerter Modus ist Galois/Counter Mode (GCM). Ein weiterer Tipp: Stellen Sie sicher, dass kein Padding verwendet wird, falls Bibliotheken Sie zur Auswahl eines Padding-Typs auffordern.

Verwenden Sie für Passwörter einen Hash-Algorithmus, da Hashes nicht umkehrbar sind. Aus einem stark gehashten Wert kann ein Angreifer den ursprünglichen Text nicht wiederherstellen. Argon2 und Bcrypt gelten als solide Wahl für das Hashing von Passwörtern. Denken Sie daran, das Passwort vor dem Hashing immer mit einem zufälligen Wert zu „salzen“, damit für dasselbe Passwort niemals zwei identische Hashes entstehen.

Für diese Funktionen gibt es Implementierungen in allen gängigen Programmiersprachen und Frameworks. Informationen zur effektiven Nutzung finden Sie in der Dokumentation Ihrer jeweiligen Sprache oder Ihres Frameworks.

Die Generierung, Speicherung und Verwaltung von Schlüsseln sind wichtige Bestandteile der Kryptografie. Schlecht verwaltete Schlüssel können offengelegt und zur Entschlüsselung Ihrer Daten missbraucht werden. Einige Frameworks unterstützen das Schlüsselmanagement, wie etwa die ASP.NET Data Protection API. Allgemeine Best Practices für das Schlüsselmanagement finden Sie im Cheat Sheet von OWASP.

Durch die sichere Speicherung Ihrer Daten verhindern Sie kostspielige und peinliche Datenschutzverletzungen. Im schlimmsten Fall, wenn ein Angreifer Ihre Daten stehlen sollte, wird es für ihn deutlich schwieriger, diese einzusehen oder für böswillige Zwecke zu nutzen.

Verstecken Sie Ihre Daten vor aller Augen

Lassen Sie uns kurz zusammenfassen, wie Sie Ihre Daten schützen:

• Kategorisieren Sie Ihre Daten, um zu wissen, was geschützt werden muss
• Verwenden Sie starke, branchenerprobte Algorithmen zur Verschlüsselung sensibler Daten
• Speichern Sie Ihre Passwörter mithilfe starker Einweg-Hashes

Um das Thema weiter zu vertiefen, werfen Sie einen Blick auf unsere Lernressourcen. Wenn Sie bereit sind, tiefer einzusteigen und zu üben, testen Sie unsere Plattform in Ihrer bevorzugten Sprache. Wir decken eine Menge ab!

Mit diesen Werkzeugen können Sie verhindern, dass Ihre Daten gestohlen werden und Ihr Unternehmen finanzielle Verluste sowie einen Reputationsschaden erleidet.

Bereit, unsichere kryptografische Speicherung sofort zu finden und zu beheben? Gehen Sie in die Arena und testen Sie Ihre Fähigkeiten [hier starten]