Machen wir uns nichts vor – Authentifizierung reicht einfach nicht

Autor/Redakteur: Garret F. Grajek, VP of Identity bei Cylance/gg

Ich habe den größten Teil meines beruflichen Lebens damit verbracht Authentifizierungslösungen zu programmieren, zu implementieren, weiterzuentwickeln und zu patentieren. Daher nehme ich mir das Recht heraus zu sagen, letzten Endes funktioniert Authentifizierung einfach nicht. Mit „funktionieren“ im engeren Sinne meine ich, dass es zu 100 Prozent garantiert ist, dass es sich tatsächlich um eine vertrauenswürdige Identität handelt, wenn eine Benutzeridentität von einer Authentifizierungslösung an den betreffenden Partner weitergeleitet wird. Und genau das lässt sich nicht garantieren.

Es lässt sich belegen, dass und wie der eigentliche Validierungsprozess innerhalb der Authentisierung funktioniert. Das bedeutet, wir verifizieren mathematisch und empirisch, dass die von einem Authentifizierungsmechanismus zusammengestellte Entität mit den Werten übereinstimmt, die in der Datenbank des akzeptierenden Dritten gespeichert sind, also „matched“. Das kann ein Passwort sein, ein Einmal-Passwort, OTP, X.509-basierte Verschlüsselung, biometrische Merkmale, mobile Push-Werte oder eine Gesichtserkennung. In einem Satz: Der Authentisierungsprozess lässt sich validieren und damit auch, dass das technische System korrekt arbeitet.

Betrachtet man diesen Prozess allerdings aus Sicht der Hacker-Gemeinde, und stellt sich die Frage, ob Validierungs-Tools sie von erfolgreichen Angriffen abhalten, müssen wir die Frage wohl oder übel mit einem klaren „Nein“ beantworten.

Authentifizierung, reicht das?

Aus Sicht des Benutzers, etwa dem Inhaber einer Firma, ist der beschriebene Prozess nicht nur ein Bruchteil des eigentlichen Authentifizierungsprozesses, sondern bereits der komplette Vorgang. Der Nutzer geht davon aus, dass die authentifizierte Identität zwingend identisch ist mit derjenigen, die auf eine bestimmte IT-Ressource zugreift. Zu dieser Sichtweise trägt die Industrie nicht unwesentlich bei, indem sie gerne vom eigentlichen Problem ablenkt. Bevorzugt verweisen Anbieter etwa auf die immense Zahl unterschiedlicher Vektoren, die sie zur Gesichtserkennung einsetzen –  und ein ganzer Markt starrt wie hypnotisiert auf diese und andere vollmundig geleistete Versprechungen. Ungeachtet dessen wächst das Problem weiter.

Nur ein Beispiel. Phishing-Angriffe sind weiterhin die am weitesten verbreitete Form des Identitätsdiebstahls. Aus den Informationen, die Benutzer weiterhin großzügig in sozialen Netzwerken verteilen oder anderswo freiwillig preisgeben, sind Hacker in der Lage umfangreiche Benutzerprofile zu erstellen. Und die wiederum erlauben es ihnen, die Sicherheitsschwachstellen auszumachen und gezielt anzugehen.

Wo ist der Authentifizierungsprozess fehlbar?

In verschiedener Hinsicht. So kann bereits das Formular, in dem die Daten für das Anlegen eines Benutzerkontos gesammelt werden, kompromittiert worden sein. Auch hier ein Beispiel: Innerhalb einer Web-App, kann die Seite, welche die Benutzerinformationen entgegennimmt, bereits manipuliert sein. Der Nutzer gibt ahnungslos seine Anmeldeinformationen ein, und diese werden dann entweder direkt an den Angreifer übermittelt oder an ein Hacker-Tool zur weiteren Nutzung. Man spricht dann meistens von einem Man-in-the-Browser-Angriff (MitB) oder von Spyware und anderen böswilligen Mechanismen um Benutzerinformationen innerhalb des Authentifizierungsprozesses abzugreifen. Aber selbst wenn dieser Teil der Authentifizierung – also das Sammeln der Daten – sicher abläuft, heißt das noch lange nicht, dass es Hackern nicht an anderer Stelle des Lebenszyklus gelingt, die Daten abzuziehen. Etwa in der Phase zwischen dem Einsammeln der Daten bis zur eigentlichen Validierung. Dann spricht man von einer Netzwerk- oder Cloud-basierten Man-in-the-Middle-Attacke, ein ziemlich übliches Verfahren. Jüngstes Beispiel: die Bluetooth-basierte „BlueBorne“-Attacke hat sich ebenfalls einen Man-in-the-Middle-Workflow zunutze gemacht.

Dazu kommen WLAN-Angriffe und andere Arten von Netzwerkattacken. Sie alle haben in der Regel nur ein Ziel, nämlich valide Authentifizierungsdaten zu stehlen und sie dann als legitime Anmeldedaten in weiteren Angriffsszenarien zu verwenden. Machen wir uns an dieser Stelle nichts vor. Wir leben in einer hoch mobilen Arbeits- und Geschäftswelt und loggen uns in öffentliche WLANs ein, von unterwegs aus, am Flughafen oder wo auch immer. Hacker wissen das natürlich. Sie nutzen diesen vergleichsweise bequemen Weg an die gewünschten Daten zu gelangen immer noch oft und gern.

Um der Argumentation willen…gehen wir davon aus, dass die Daten tatsächlich sicher gesammelt werden….

Nehmen wir also an, die Daten sind sicher eingesammelt und sicher an die authentifizierende Partei übermittelt worden. Wer aber sagt, dass der tatsächliche Authentifizierungs-Apparat oder Dienst selbst valide sind? Selbst Authentifizierungs-Server und Dienste sind durchschnittliche IT-Ressourcen und ganz genauso den üblichen Angriffsszenarien ausgesetzt wie jede andere auch. Schwachstellen, Risikopotenziale und Fälle, in denen die Sicherheitsmaßnahmen umgangen werden konnten, sind reichlich dokumentiert. Und zu guter Letzt, selbst nachdem eine sichere Authentisierung vom Nutzer an den jeweiligen Dienst übermittelt wurde, kann ein Hacker die Session selbst stehlen und einfach wiederverwenden. Solche Session-Angriffe werden oft bei MitB oder Session Hijacking verwendet.

Dabei profitieren die Angriffe von der bestehenden Client-/Server-Architektur. Die Hacker stehlen das Session-Ticket, das zwischen den Parteien ausgetauscht wird um die Identität zu wahren. Solche Session-Tickets haben oftmals Schwachstellen, die eine Brute-Force-Attacke erlauben (wie etwa in jüngster Zeit bei der „GitLab“-Schwachstelle passiert).

Benutzerauthentifizierung löst längst nicht alle Probleme

Mein Fazit lautet, nicht allzu enthusiastisch auf die jeweils aktuellste Authentifizierungslösung zu vertrauen. Jüngstes Beispiel der Entwicklung: nach dem biometrischen Fingerabdruck setzt Apples neues iPhone auf Gesichtserkennung. Die Authentifizierungsspirale hat sich vermutlich noch lange nicht zu Ende gedreht. Authentifizierung hat Unternehmen aus der Schusslinie gebracht. Bis zum Überschreiten der Torlinie in Sachen Benutzersicherheit ist es allerdings ein ziemlich langer Weg. Dabei gilt es, jeden einzelnen Schritt innerhalb dieses Prozesses abzusichern. Dabei muss man sowohl die Validität als auch die Funktionalität der Identitäten überprüfen. Wir sind inzwischen, was die Benutzerauthentifizierung anbelangt, ganz zufriedenstellend unterwegs. Jetzt geht es darum, Wege zu finden das Benutzerverhalten besser zu verstehen und nachzuvollziehen was geschieht, nachdem die initiale Authentifizierung bereits stattgefunden hat.