Entwickler meistern Sicherheit: Share & Learn-Reihe – Unzureichender Anti-Automatisierungsschutz

Stellen Sie sich vor, Sie stehen vor der Tür einer alten Flüsterkneipe oder eines Untergrundclubs. Das kleine Guckloch in der Tür öffnet sich und ein kräftiger Türsteher fragt nach dem Passwort. Der potenzielle Besucher kennt das Passwort nicht und rät einfach. Es ist falsch, also lässt der Türsteher ihn nicht hinein.

Das ist das, was normalerweise passieren würde. Stellen Sie sich nun vor, der Besucher, der das falsche Passwort erraten hat, versucht es sofort noch einmal, liegt wieder falsch und wird erneut abgewiesen. Dann stellen Sie sich vor, wie der potenzielle Besucher ein Wörterbuch aufschlägt und anfängt, Wörter vorzulesen – angefangen bei „Aardvark“ und weiter mit jedem einzelnen möglichen Wort.

Höchstwahrscheinlich würde der Türsteher ein solches Verhalten nicht zulassen, aber Websites und Anwendungen mit unzureichender Anti-Automatisierung tun genau das. Sie erlauben Benutzern, immer wieder Passwörter zu versuchen, sogar unter Einsatz von Automatisierungstechniken, bis sie schließlich auf die richtige Lösung stoßen.

In dieser Folge erfahren Sie:

• Wie Angreifer unzureichende Anti-Automatisierung ausnutzen
• Warum Anwendungen mit unzureichender Anti-Automatisierung gefährlich sind
• Techniken zur Behebung dieser Schwachstelle.

Wie nutzen Angreifer unzureichende Anti-Automatisierung aus?

Der Einsatz von Automatisierung oder Wörterbuch-Angriffen, wie ihn unser imaginärer Kneipenbesucher praktiziert, ist in der Cybersicherheit nichts Neues. Tatsächlich gehörten diese Brute-Force-Angriffe zu den ersten Hacker-Techniken überhaupt. Und mit der zunehmenden Geschwindigkeit von Computern wurden sie immer effizienter. Ein schneller Computer kann ein ganzes Wörterbuch in nur wenigen Minuten durchgehen, abhängig von der Verbindungsgeschwindigkeit zwischen dem Angreifer-Computer und dem Zielsystem.

Genau wegen dieser Art von automatisierten Angriffen wurden Anti-Automatisierungs-Software und entsprechende Techniken entwickelt. Sie geben Anwendungen die Möglichkeit festzustellen, ob die Aktionen eines Benutzers außerhalb der Norm menschlichen Verhaltens liegen.

Wenn eine Anwendung nicht über ausreichende Anti-Automatisierungs-Prüfungen verfügt, können Angreifer einfach so lange Passwörter erraten, bis sie das richtige gefunden haben. Oder sie nutzen Automatisierungssoftware für andere Zwecke, wie etwa das Spammen von Kommentaren in Foren.

Warum ist unzureichende Anti-Automatisierung gefährlich?

Es kann gefährlich sein, böswilligen Benutzern den Einsatz von Automatisierung zur Umgehung von Sicherheitsmaßnahmen zu gestatten. Der Grund, warum automatisierte Angriffe seit den Anfängen der Informatik bis heute bestehen, ist ihre hohe Effektivität. Wenn Sie einem Automatisierungsprogramm unbegrenzt Zeit geben, Passwörter ohne Konsequenzen für falsche Eingaben zu übermitteln, wird es irgendwann das richtige finden.

Wenn dies in einem Forum geschieht, können Wellen von offensichtlich skriptgesteuerten Kommentaren legitime Benutzer frustrieren oder sogar wie eine Art Denial-of-Service-Angriff wirken, indem sie Systemressourcen verschwenden. Automatisierte Beiträge könnten auch als Werkzeug für Phishing oder andere Angriffe genutzt werden, um die Köder so vielen Menschen wie möglich zu präsentieren.

Behebung von Problemen durch unzureichende Anti-Automatisierung

Um das Problem der unzureichenden Anti-Automatisierung zu beheben, müssen alle Anwendungen in die Lage versetzt werden, festzustellen, ob Aktionen von einem Menschen oder einer Automatisierungssoftware ausgeführt werden. Eine der beliebtesten und am weitesten verbreiteten Techniken ist der Completely Automated Public Turing test to tell Computers and Humans Apart, kurz CAPTCHA.

Das CAPTCHA ist im Grunde ein Turing-Test, der erstmals 1950 vom Informatiker Alan Turing vorgeschlagen wurde, um menschliches und computergesteuertes Verhalten voneinander zu unterscheiden. Moderne CAPTCHAs stellen Aufgaben, die Menschen leicht lösen können, an denen Computer jedoch scheitern oder die sie schlicht nicht verstehen. Ein bekanntes Beispiel zeigt ein in ein Raster unterteiltes Foto und fordert den Benutzer auf, alle Felder mit einem bestimmten Objekt zu markieren, etwa einer Blume oder einem Gesicht. Der Computer kann nicht verstehen, wonach gefragt wird, und kann daher nicht einmal versuchen, das Bild zu scannen. Selbst wenn er es könnte, übersteigt die Bilderkennung die Fähigkeiten der meisten Programme, die nicht speziell dafür entwickelt wurden.

Weitere Beispiele für CAPTCHAs sind die Anzeige von verzerrtem Text, einfache Logikfragen oder sogar das laute Abspielen der Frage. Die Implementierung einer CAPTCHA-Abfrage an kritischen Stellen einer Anwendung, etwa bei der Passworteingabe, kann Automatisierungsprogramme effektiv stoppen.

Es ist auch möglich, Automatisierungsprogramme zu stoppen, indem man die Anzahl der falschen Eingaben von derselben Quelle begrenzt. Wenn zu viele falsche Passwörter eingegeben werden, kann das Konto vorübergehend gesperrt werden. Dies verzögert das Automatisierungsprogramm so weit, dass es seinen Nutzen verliert, oder erfordert sogar die Freischaltung durch einen menschlichen Administrator. All dies sollte Anti-Automatisierungs-Schwachstellen innerhalb einer Anwendung verhindern.

Weitere Informationen zu unzureichendem Anti-Automatisierungsschutz

Weitere Informationen finden Sie in den Ausführungen von OWASP zum Thema unzureichender Anti-Automatisierungsschutz. Sie können Ihr neu erworbenes Verteidigungswissen auch mit der kostenlosen Demo der Secure Code Warrior-Plattform auf die Probe stellen, die Cybersicherheitsteams zu erstklassigen Cyber-Experten ausbildet. Um mehr über die Abwehr dieser Schwachstelle und eine ganze Reihe weiterer Bedrohungen zu erfahren, besuchen Sie den Secure Code Warrior-Blog.

Bereit, unzureichenden Anti-Automatisierungsschutz sofort zu finden und zu beheben? Testen Sie Ihre Fähigkeiten in unserer Game Arena: [Hier starten]