Entwickler meistern Sicherheit: Share & Learn-Reihe – Authentifizierung

In diesem Blogbeitrag behandeln wir eines der häufigsten Probleme von Unternehmen, die Websites betreiben oder ihren Mitarbeitern Fernzugriff auf IT-Ressourcen ermöglichen – also so gut wie jedem. Wie Sie sicher schon vermutet haben, geht es um das Thema Authentifizierung.

Wenn sich ein Hacker einfach mit einem gültigen Benutzernamen und Passwort als Administrator anmelden kann, muss er keine komplexen Techniken einsetzen, um Netzwerkbarrieren zu umgehen. Das System öffnet ihm quasi die Tür und lässt ihn herein. Schlimmer noch: Wenn der Angreifer nicht allzu auffällig agiert, ist seine Anwesenheit kaum zu entdecken, da die meisten Schutzmechanismen ihn lediglich als legitimen Benutzer oder Administrator bei der Arbeit einstufen.

Die Kategorie der Authentifizierungsschwachstellen ist sehr umfangreich. Wir konzentrieren uns jedoch auf die häufigsten Probleme, die sich oft versehentlich in Anmeldeprozesse einschleichen. Indem Sie diese Lücken schließen, können Sie den Großteil der Authentifizierungsprobleme in Ihrem Unternehmen beseitigen.

In dieser Folge erfahren Sie:

• Wie gängige Authentifizierungsschwachstellen ausgenutzt werden
• Warum sie so gefährlich sind
• Welche Richtlinien und Techniken eingesetzt werden können, um Authentifizierungsschwachstellen zu eliminieren.

Wie nutzen Angreifer Authentifizierungsschwachstellen aus?

Es gibt eine ganze Reihe von Schwachstellen, die sich in ein Authentifizierungssystem einschleichen können, weshalb Hacker jede davon etwas anders ausnutzen. Gehen wir zunächst die häufigsten Schwachstellen durch und zeigen dann an einigen Beispielen, wie diese ausgenutzt werden könnten.

Zu den häufigsten Authentifizierungsschwachstellen gehören:

• Schwache oder unzureichende Passwortrichtlinien,
• Unbegrenzte Anmeldeversuche,
• Preisgabe von Informationen bei fehlgeschlagenen Anmeldeversuchen,
• Übertragung von Anmeldedaten über unsichere Kanäle,
• Schwache Passwort-Hashing-Verfahren,
• Sowie ein unsicherer Prozess zur Passwortwiederherstellung.

Eine schwache Passwortrichtlinie ist wahrscheinlich die häufigste Schwachstelle. Wenn Benutzer Passwörter ohne jegliche Einschränkungen erstellen dürfen, werden viel zu viele von ihnen leicht erratbare Varianten wählen. Jedes Jahr veröffentlichen verschiedene IT-Nachrichtenportale Listen der am häufigsten verwendeten Passwörter, und „123456“ sowie „password“ sind immer unter den Top fünf. Es gibt noch weitere. Administratoren verwenden beispielsweise sehr gerne „God“. Sicher, das ist zwar humorvoll oder leicht zu merken, aber eben auch sehr leicht zu erraten. Hacker kennen die gängigsten Passwörter und probieren diese als Erstes aus, wenn sie versuchen, in ein System einzudringen. Wenn solche Passwörter in Ihrem Unternehmen erlaubt sind, werden Sie früher oder später gehackt.

Eine weniger offensichtliche, aber dennoch gefährliche Schwachstelle ist die Rückmeldung von Informationen bei einer fehlgeschlagenen Anmeldung. Dies ist problematisch, da unterschiedliche Fehlermeldungen – je nachdem, ob ein Benutzername nicht existiert oder das Passwort falsch ist – es Angreifern ermöglichen, gültige Benutzer im System zu identifizieren und sich gezielt auf das Erraten der Passwörter für diese Konten zu konzentrieren. In Kombination mit einer Schwachstelle, die unbegrenzte Anmeldeversuche zulässt, können Angreifer Wörterbuchangriffe auf die gefundenen Benutzerkonten starten, was ihnen bei leicht zu erratenden Passwörtern schnell Zugriff verschaffen kann.

Warum sind Authentifizierungsschwachstellen so gefährlich?

Es gibt eine klassische Geschichte aus dem Wilden Westen über einen paranoiden Siedler, der seine Vordertür dreifach verriegelte, die Fenster vernagelte und mit griffbereiten Waffen schlief. Am nächsten Morgen fand man ihn tot auf. Die Angreifer kamen herein, weil er vergessen hatte, die Hintertür abzuschließen. Authentifizierungsschwachstellen sind genau so. Es spielt keine Rolle, welche Überwachungstools oder proaktiven Kontrollen Sie implementiert haben oder wie viele Experten Sie beschäftigen, wenn ein Angreifer mit einem gültigen Benutzernamen und Passwort in Ihr Netzwerk gelangen kann.

Sobald der Angreifer im System ist, gibt es nur wenige Einschränkungen für sein Handeln. Solange er sich innerhalb seiner Benutzerrechte bewegt – die bei einem kompromittierten Administratorkonto sehr umfangreich sein können –, ist die Chance gering, dass er rechtzeitig entdeckt wird, um ernsthafte Schäden zu verhindern. Das macht diese Kategorie von Schwachstellen zu einer der gefährlichsten für jedes System.

Beseitigung von Authentifizierungsschwachstellen

Eine der besten Methoden, um Authentifizierungsschwachstellen in einem Netzwerk zu eliminieren, sind gute, global durchgesetzte Passwortrichtlinien. Benutzer – auch Administratoren – sollten nicht nur daran gehindert werden, Passwörter wie „password“ zu verwenden, sondern auch dazu gezwungen werden, eine Komplexität zu wählen, die Wörterbuchangriffe oder das Ausprobieren gängiger Phrasen für Angreifer unmöglich macht. Sie können eigene Regeln für die Passwortvergabe festlegen, basierend auf der Kritikalität des zu schützenden Systems. Dies macht es für Angreifer deutlich schwieriger, Passwörter zu erraten oder per Brute-Force zu knacken.

Sie sollten zudem die Anzahl der fehlgeschlagenen Anmeldeversuche begrenzen, sodass ein Benutzer beispielsweise nach drei falschen Passworteingaben gesperrt wird. Diese Sperre kann temporär sein, da bereits eine Verzögerung von wenigen Minuten automatisierte Wörterbuchangriffe stoppt. Alternativ kann sie permanent sein, bis das Konto durch einen Administrator entsperrt wird. In jedem Fall sollte das Sicherheitspersonal bei einer solchen Sperrung alarmiert werden, um die Situation beobachten zu können.

Eine weitere effektive Methode, um Angreifern die Informationsbeschaffung zu erschweren, ist die Verwendung einer allgemeinen Fehlermeldung bei der Eingabe eines falschen Benutzernamens oder Passworts. Diese sollte für beide Fälle identisch sein, damit Hacker nicht erkennen können, ob der Zugriff aufgrund eines nicht existierenden Benutzers oder eines falschen Passworts verweigert wurde.

Authentifizierungsschwachstellen gehören zu den häufigsten und gefährlichsten Sicherheitslücken in den meisten Systemen. Sie lassen sich jedoch auch recht einfach identifizieren und beheben.

Weitere Informationen zu Authentifizierungsschwachstellen

Weiterführende Informationen finden Sie im Authentication Cheat Sheet von OWASP. Sie können Ihr neu erworbenes Wissen zur Verteidigung auch mit der kostenlosen Demo der Secure Code Warrior-Plattform testen, die Cybersicherheitsteams zu erstklassigen Cyber-Experten ausbildet. Um mehr über die Abwehr dieser und vieler weiterer Bedrohungen zu erfahren, besuchen Sie den Secure Code Warrior-Blog.

Stellen Sie sich einer Authentifizierungsschwachstelle direkt auf der Secure Code Warrior-Plattform: [Hier starten]