{"id":11808,"date":"2017-10-25T14:53:21","date_gmt":"2017-10-25T12:53:21","guid":{"rendered":"https:\/\/www.sysbus.eu\/?p=11808"},"modified":"2017-10-26T11:27:59","modified_gmt":"2017-10-26T09:27:59","slug":"machen-wir-uns-nichts-vor-authentifizierung-reicht-einfach-nicht","status":"publish","type":"post","link":"https:\/\/www.sysbus.eu\/?p=11808","title":{"rendered":"Machen wir uns nichts vor \u2013 Authentifizierung reicht einfach nicht"},"content":{"rendered":"

\"\"<\/a><\/p>\n

Autor\/Redakteur: Garret F. Grajek, VP of Identity bei Cylance<\/a>\/gg<\/p>\n

Ich habe den gr\u00f6\u00dften Teil meines beruflichen Lebens damit verbracht Authentifizierungsl\u00f6sungen zu programmieren, zu implementieren, weiterzuentwickeln und zu patentieren. Daher nehme ich mir das Recht heraus zu sagen, letzten Endes funktioniert Authentifizierung einfach nicht. Mit \u201efunktionieren\u201c im engeren Sinne meine ich, dass es zu 100 Prozent garantiert ist, dass es sich tats\u00e4chlich um eine vertrauensw\u00fcrdige Identit\u00e4t handelt, wenn eine Benutzeridentit\u00e4t von einer Authentifizierungsl\u00f6sung an den betreffenden Partner weitergeleitet wird. Und genau das l\u00e4sst sich nicht garantieren.<\/p>\n

<\/p>\n

Es l\u00e4sst sich belegen, dass und wie der eigentliche Validierungsprozess innerhalb der Authentisierung funktioniert. Das bedeutet, wir verifizieren mathematisch und empirisch, dass die von einem Authentifizierungsmechanismus zusammengestellte Entit\u00e4t mit den Werten \u00fcbereinstimmt, die in der Datenbank des akzeptierenden Dritten gespeichert sind, also \u201ematched\u201c. Das kann ein Passwort sein, ein Einmal-Passwort, OTP, X.509-basierte Verschl\u00fcsselung, biometrische Merkmale, mobile Push-Werte oder eine Gesichtserkennung. In einem Satz: Der Authentisierungsprozess l\u00e4sst sich validieren und damit auch, dass das technische System korrekt arbeitet.<\/p>\n

Betrachtet man diesen Prozess allerdings aus Sicht der Hacker-Gemeinde, und stellt sich die Frage, ob Validierungs-Tools sie von erfolgreichen Angriffen abhalten, m\u00fcssen wir die Frage wohl oder \u00fcbel mit einem klaren \u201eNein\u201c beantworten.<\/p>\n

Authentifizierung, reicht das? <\/strong><\/p>\n

Aus Sicht des Benutzers, etwa dem Inhaber einer Firma, ist der beschriebene Prozess nicht nur ein Bruchteil des eigentlichen Authentifizierungsprozesses, sondern bereits der komplette Vorgang. Der Nutzer geht davon aus, dass die authentifizierte Identit\u00e4t zwingend identisch ist mit derjenigen, die auf eine bestimmte IT-Ressource zugreift. Zu dieser Sichtweise tr\u00e4gt die Industrie nicht unwesentlich bei, indem sie gerne vom eigentlichen Problem ablenkt. Bevorzugt verweisen Anbieter etwa auf die immense Zahl unterschiedlicher Vektoren, die sie zur Gesichtserkennung einsetzen \u2013\u00a0 und ein ganzer Markt starrt wie hypnotisiert auf diese und andere vollmundig geleistete Versprechungen. Ungeachtet dessen w\u00e4chst das Problem weiter.<\/p>\n

Nur ein Beispiel. Phishing-Angriffe sind weiterhin die am weitesten verbreitete Form des Identit\u00e4tsdiebstahls. Aus den Informationen, die Benutzer weiterhin gro\u00dfz\u00fcgig in sozialen Netzwerken verteilen oder anderswo freiwillig preisgeben, sind Hacker in der Lage umfangreiche Benutzerprofile zu erstellen. Und die wiederum erlauben es ihnen, die Sicherheitsschwachstellen auszumachen und gezielt anzugehen.<\/p>\n

Wo ist der Authentifizierungsprozess fehlbar?<\/strong><\/p>\n

In verschiedener Hinsicht. So kann bereits das Formular, in dem die Daten f\u00fcr das Anlegen eines Benutzerkontos gesammelt werden, kompromittiert worden sein. Auch hier ein Beispiel: Innerhalb einer Web-App, kann die Seite, welche die Benutzerinformationen entgegennimmt, bereits manipuliert sein. Der Nutzer gibt ahnungslos seine Anmeldeinformationen ein, und diese werden dann entweder direkt an den Angreifer \u00fcbermittelt oder an ein Hacker-Tool zur weiteren Nutzung. Man spricht dann meistens von einem Man-in-the-Browser-Angriff (MitB) oder von Spyware und anderen b\u00f6swilligen Mechanismen um Benutzerinformationen innerhalb des Authentifizierungsprozesses abzugreifen. Aber selbst wenn dieser Teil der Authentifizierung \u2013 also das Sammeln der Daten \u2013 sicher abl\u00e4uft, hei\u00dft das noch lange nicht, dass es Hackern nicht an anderer Stelle des Lebenszyklus gelingt, die Daten abzuziehen. Etwa in der Phase zwischen dem Einsammeln der Daten bis zur eigentlichen Validierung. Dann spricht man von einer Netzwerk- oder Cloud-basierten Man-in-the-Middle-Attacke, ein ziemlich \u00fcbliches Verfahren. J\u00fcngstes Beispiel: die Bluetooth-basierte \u201eBlueBorne\u201c-Attacke hat sich ebenfalls einen Man-in-the-Middle-Workflow zunutze gemacht.<\/p>\n

Dazu kommen WLAN-Angriffe und andere Arten von Netzwerkattacken. Sie alle haben in der Regel nur ein Ziel, n\u00e4mlich valide Authentifizierungsdaten zu stehlen und sie dann als legitime Anmeldedaten in weiteren Angriffsszenarien zu verwenden. Machen wir uns an dieser Stelle nichts vor. Wir leben in einer hoch mobilen Arbeits- und Gesch\u00e4ftswelt und loggen uns in \u00f6ffentliche WLANs ein, von unterwegs aus, am Flughafen oder wo auch immer. Hacker wissen das nat\u00fcrlich. Sie nutzen diesen vergleichsweise bequemen Weg an die gew\u00fcnschten Daten zu gelangen immer noch oft und gern.<\/p>\n

Um der Argumentation willen…gehen wir davon aus, dass die Daten tats\u00e4chlich sicher gesammelt werden….<\/strong><\/p>\n

Nehmen wir also an, die Daten sind sicher eingesammelt und sicher an die authentifizierende Partei \u00fcbermittelt worden. Wer aber sagt, dass der tats\u00e4chliche Authentifizierungs-Apparat oder Dienst selbst valide sind? Selbst Authentifizierungs-Server und Dienste sind durchschnittliche IT-Ressourcen und ganz genauso den \u00fcblichen Angriffsszenarien ausgesetzt wie jede andere auch. Schwachstellen, Risikopotenziale und F\u00e4lle, in denen die Sicherheitsma\u00dfnahmen umgangen werden konnten, sind reichlich dokumentiert. Und zu guter Letzt, selbst nachdem eine sichere Authentisierung vom Nutzer an den jeweiligen Dienst \u00fcbermittelt wurde, kann ein Hacker die Session selbst stehlen und einfach wiederverwenden. Solche Session-Angriffe werden oft bei MitB oder Session Hijacking verwendet.<\/p>\n

Dabei profitieren die Angriffe von der bestehenden Client-\/Server-Architektur. Die Hacker stehlen das Session-Ticket, das zwischen den Parteien ausgetauscht wird um die Identit\u00e4t zu wahren. Solche Session-Tickets haben oftmals Schwachstellen, die eine Brute-Force-Attacke erlauben (wie etwa in j\u00fcngster Zeit bei der \u201eGitLab\u201c-Schwachstelle passiert).<\/p>\n

Benutzerauthentifizierung l\u00f6st l\u00e4ngst nicht alle Probleme<\/strong><\/p>\n

Mein Fazit lautet, nicht allzu enthusiastisch auf die jeweils aktuellste Authentifizierungsl\u00f6sung zu vertrauen. J\u00fcngstes Beispiel der Entwicklung: nach dem biometrischen Fingerabdruck setzt Apples neues iPhone auf Gesichtserkennung. Die Authentifizierungsspirale hat sich vermutlich noch lange nicht zu Ende gedreht. Authentifizierung hat Unternehmen aus der Schusslinie gebracht. Bis zum \u00dcberschreiten der Torlinie in Sachen Benutzersicherheit ist es allerdings ein ziemlich langer Weg. Dabei gilt es, jeden einzelnen Schritt innerhalb dieses Prozesses abzusichern. Dabei muss man sowohl die Validit\u00e4t als auch die Funktionalit\u00e4t der Identit\u00e4ten \u00fcberpr\u00fcfen. Wir sind inzwischen, was die Benutzerauthentifizierung anbelangt, ganz zufriedenstellend unterwegs. Jetzt geht es darum, Wege zu finden das Benutzerverhalten besser zu verstehen und nachzuvollziehen was geschieht, nachdem die initiale Authentifizierung bereits stattgefunden hat.<\/p>\n","protected":false},"excerpt":{"rendered":"

Autor\/Redakteur: Garret F. Grajek, VP of Identity bei Cylance\/gg Ich habe den gr\u00f6\u00dften Teil meines beruflichen Lebens damit verbracht Authentifizierungsl\u00f6sungen<\/p>\n","protected":false},"author":3,"featured_media":11800,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"colormag_page_container_layout":"default_layout","colormag_page_sidebar_layout":"default_layout","footnotes":""},"categories":[1881,37],"tags":[342,10362,10365,1170,9697,9776,2062,4412,8072,3388,1039,10364,10363,1035,3753,3392,10366,5115,64,10361],"class_list":["post-11808","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-glosse","category-security","tag-authentifizierung","tag-biometrische-merkmale","tag-blueborne","tag-bluetooth","tag-cylance","tag-einmal-passwort","tag-fingerabdruck","tag-gesichtserkennung","tag-gitlab","tag-hacker","tag-iphone","tag-mitb","tag-mobile-push-werte","tag-otp","tag-passwort","tag-phishing","tag-session-hijacking","tag-spyware","tag-wlan","tag-x-509-basierte-verschluesselung"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/11808","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=11808"}],"version-history":[{"count":1,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/11808\/revisions"}],"predecessor-version":[{"id":11809,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/11808\/revisions\/11809"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/media\/11800"}],"wp:attachment":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=11808"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=11808"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=11808"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}