Sie sind hier: HomeTelekommunikation

Verschlüsselung: Warum SSH ein Angriffsvektor ist

SSH-Schlüssel wurden entwickelt, um Maschinen bei der Identifizierung, Authentifizierung und Kommunikation miteinander über einen sicheren Kanal zu unterstützen. Somit ist die Sicherheit der SSH-Schlüssel eine Voraussetzung für die Sicherheit aller Systeme. Doch sie bieten auch Gefahrenpotenzial.

Schlüssel Hand Zugriff Bildquelle: © Andrea Danti – Fotolia

Vor 2013 dachte der normale Bürger selten über Verschlüsselung nach. Aber das änderte sich, als Edward Snowden als ehemaliger Mitarbeiter der National Security Agency (NSA) Informationen über PRISM preisgab. Seitdem haben eine Reihe von Ereignissen dazu beigetragen, dass so viel von Verschlüsselung gesprochen wird. WikiLeaks veröffentlichte ein neues Dokument in seiner Datenleckserie „Vault 7“, an der die CIA beteiligt war. Diese neue Datei enthielt Informationen über „BothanSpy“ und „Gyrfalcon“, zwei Hacking-Tools, die SSH-Schlüssel stehlen, um so weitergehende Zugriffe auf Server System zu erhalten.

SSH-Schlüssel wurden entwickelt, um Maschinen bei der Identifizierung, Authentifizierung und Kommunikation miteinander über einen sicheren Kanal zu unterstützen. Dies bedeutet, dass die Sicherheit der SSH-Schlüssel eine Voraussetzung für die Gesamtsicherheit aller Systeme ist. Zusammenfassend lässt sich sagen, dass SSH-Schlüssel Abwehrmechanismen gegen Angriffe sind und müssen gut geschützt werden, was leider viel zu selten der Fall ist. Angreifer und Insider wissen seit langem, wie sie missbraucht werden und diese als Angriffsvektor genutzt werden können. Nach einem initialen Einfall auf ein System ist es für Organisationen fast nicht möglich die Zugriffe nachzuverfolgen und Maßnahmen zu treffen zukünftige Einfälle zu unterbinden da es häufig schon an den rudimentärsten Funktionen mangelt. Ein Austausch der Schlüssel von den betroffenen Systemen findet fast nie statt, sodass alle kompromittierten Schlüssel bei späteren Angriffen wiederverwendet werden können. Wenn es hierbei um kompromittierte Kennwörter handeln würde solche Praktiken heutzutage niemals akzeptiert. Glücklicherweise steigt das Bewusstsein für die Thematik schnell. Aber nicht nur fehlende grundlegende Maßnahmen und schlechter Umgang mit SSH Schlüsseln, sondern auch die mächtigen Funktionen von SSH vergrößern die Angriffsfläche immens. Beispielsweise bietet das SSH-Protokoll Port Weiterleitungen. Diese ermöglichen nicht nur die Kommunikation über Firewalls hinweg – ohne die Möglichkeit den Verkehr zu inspizieren – sondern ebenfalls „Remote forwarding“, wobei ein Kanal von „innen nach außen“ geöffnet werden kann. Durch diese und weitere Faktoren werden Angriffe mit SSH Schlüsseln wesentlich weiter ausgeweitet als dies durch Netzwerksegmentierung oder Berechtigungskonzepte möglich sein dürfte ermöglichst.

Wann immer Sie in einem Report lesen “Die Angreifer bewegten sich mehrere Monate im Netz“ und sich gewundert haben, wie so etwas möglich ist, denken Sie zukünftig mal kurz an SSH… In Anbetracht dieser Tatsache, wurde eine Umfrage in Zusammenarbeit mit dem Marktforschungsunternehmen Dimensional Research durchgeführt, um zu verstehen, wie Unternehmen Secure Shell (SSH) in ihrer Umgebung tatsächlich verwalten und implementieren. Die Untersuchung umfasste die Antworten von 411 Sicherheitsexperten aus den Vereinigten Staaten, dem Vereinigten Königreich und Deutschland.

Mangelnde Sichtbarkeit
Die Untersuchung zeigt deutlich, dass die meisten Unternehmen unzureichend auf einen Sicherheitsvorfall auf Grund der Gefährdung oder dem Missbrauch von SSH-Schlüsseln vorbereitet waren oder nicht in der Lage waren, diesen zu erkennen. Eine Mehrheit der Unternehmen haben keinen ausreichenden Überblick über und Einblick in ihre SSH-Schlüssel. Bezeichnenderweise gaben 90 Prozent der befragten Sicherheitsexperten an, dass es ihnen an einem vollständigen und genauen Inventar aller SSH-Schlüssel mangelt. Infolgedessen hatten sie keine Mittel, um festzustellen, ob jemand die Schlüssel ihrer Organisation gestohlen oder missbraucht hatte. Unternehmen müssen wissen, wo jeder Schlüssel verwendet wird und welche Befehle mit welchem Schlüssel ausgeführt werden können. Eine vollständige Sichtbarkeit über die Schlüssel kann Missbrauch verhindern sowie unbenutzte Schlüssel herausstellen, bevor es zum Sicherheitsrisiko wird.