Admin

Okta gehört zu den grössten Cloud-Identity-Providern (IdP) dieser Zeit. Letzten Oktober (2023) hatten Angreifer ein Session Cookie von einem Inhouse-Administrator abgegriffen. Mit dem Session Cookie konnten die Angreifer Namen und E-Mail-Adressen von allen Okta-Kunden abgreifen, die bis dahin den Support von Okta genutzt hatten. Das Beispiel zeigt auf, wie einfach administrative Privilegien mit einem Session Cookie gekapert werden können. Dies ist kein Einzelfall. Im Artikel zeige ich auf, wie solche Attacken verhindert werden können.

Im Falle von Okta entnahmen die Angreifer von einem Browser Recording HAR File das enthaltene Session Cookie. Das Session Cookie war ursprünglich für einen Inhouse-Administrator mit weitreichenden Berechtigungen ausgestellt. Dies wurde schliesslich missbraucht. Meist werden jedoch Infostealer genutzt, um an die Session Cookies von den Administratoren zu gelangen. Infostealer sind gemäss Definition von Trend Micro Trojaner, welche Informationen von einem System auslesen und weiterleiten. Meist werden Session Cookies, Credentials (also Benutzername und Passwörter) oder Tastatureingaben von Keyloggern gesammelt. Infostealer benötigen oft nur Standard-Benutzerberechtigungen, um die Session Cookies von den Browsern zu entwenden. Wer möchte kann beim folgenden Youtube Video sehen, wie Pass-The-Session-Cookie-Attacken funktionieren: www.youtube.com/watch?v=MDiwkAZ-854

Beide Angriffsszenarien haben gemeinsam, dass die Session Cookies oder Credentials auf dem Client vom Administrator vorhanden sind. Um sich effektiv vor Infostealern zu schützen, muss man ein Sicherheitskonzept haben, damit die Session Cookies, Tokens und Credentials schon gar nicht auf dem Client des Administrators vorhanden sind. Aus der Vergangenheit habe ich zwei der meist genutzten Lösungsvarianten herausgesucht, um die administrativen Sessions zu schützen. Aber wie unten beschrieben, haben auch diese Lösungsvarianten ihre Schwächen:

• Terminalserver (Admin Station):
  Für administrative Tätigkeiten wird ein Terminalserver alias «Admin Station» eingesetzt. Diese Variante hat den Nachteil, dass oft Informationen wie Credentials im Zwischenspeicher zwischen Terminalserver und den Clients der Administratoren automatisch gesyncht werden. Somit haben wir wieder nicht die strikte Trennung von Benutzer und administrativen Tätigkeiten. Des Weiteren hat man keine weiteren Funktionen wie Session Recording zur Nachvollziehbarkeit oder zum Freigeben von sensitiven Zugriffen etc. Wenn der Terminalserver ein Windows-System ist, birgt es zusätzlich das grosse Sicherheitsrisiko, dass alle administrativen Credentials von allen eingeloggten Administratoren im «lsass» ausgelesen werden können.
  Hier ein Artikel dazu: www.tec-bite.ch/passwordless-authentication-or-normal-it-madness
• Admin-Laptop:
  Administratoren haben jeweils einen Laptop für die Tasks mit Standard- Berechtigungen wie Mails lesen oder Whitepapers studieren. Fürs administrieren von Systemen besitzen die Admins jeweils einen weiteren Laptop. Dieses Gerät muss jedoch so stark restriktiert sein, dass die Tasks mit Standard-Berechtigungen geblockt werden. Heutzutage möchte man den Administratoren jedoch oft nicht mehr zumuten, dass Sie stetig zwei Laptops mit sich herumtragen. Ein weiterer grosser Nachteil dieser Lösungsvariante ist, dass man Sicherheitsfunktionen wie Session Recording oder Logging der Tätigkeiten mit weiteren Third-Party-Lösungen abdecken muss.

Terminalserver sind grundsätzlich für Benutzer erstellt worden und der «Würgaround» mit zwei Geräten für Admins ist auch nur eine Behelfslösung. Im Werkunterricht der Schule lernt man schnell: Wenn man etwas es richtig machen will, benötigt man dafür das richtige Werkzeug oder Tool. Genauso, wie es uns die Bexio-Werbung im Jahr 2019 vermittelt hat:

Warum wenden wir das Prinzip vom Schulwerkunterricht nicht auch für das Administrieren und Verwalten unserer Systeme an?! Wie oben geschrieben, wird ein Werkzeug / Tool benötigt, das alle administrativen Session Cookies, Credentials und Tokens vom Client des Admins wegbringt. Genau dafür gibts im PAM-Bereich die All-in-One Privileged-Remote-Access-Lösung (PRA) von BeyondTrust:

Wenn man eine Cyber-Versicherung abschliessen möchte, dann verlangen Versicherer heutzutage, dass eine PAM-Lösung wie die von BeyondTrust eingesetzt wird. Diese Anforderung hat meiner Meinung nach auch ihre Begründung. Gerne zitiere ich hier Gartner:

Wer die Administratoren effektiv schützen will, muss die administrativen Accounts, Cookies, Token etc. vom Client der Admins wegbringen. Was auf dem Client der Admins nicht vorhanden ist, kann auf dem Client nicht gestohlen werden. Zudem bringt die All-in-one PAM Lösung von Beyondtrust weiter Funktionen wie 2FA oder Session Recording für alle administrativen Session mit. Eine Übersicht zu den PRA-Funktionalitäten finden Sie hier:

www.avantec.ch/loesungen/beyondtrust/privileged-remote-access

www.avantec.ch/loesungen/beyondtrust

www.avantec.ch/themen/privileged-access-management

www.tec-bite.ch/hat-die-management-zone-ausgedient-hier-ein-vergleich

www.tec-bite.ch/haben-sie-ihre-service-accounts-unter-kontrolle

Das Dark Web gewinnt nach wie vor unter Cyber-Kriminellen an Dynamik. Wie komplex die Ermittlungsarbeit im Darknet ist, weiss auch Serdar Günal Rütsche, Chef der Abteilung Cybercrime bei der Kantonspolizei Zürich. Wohin sich das kriminelle Ökosystem rund um den Handel mit Malware Services bewegt, welche Trends sich auf den Marktplätzen abzeichnen und welche Risiken diese Dynamik für Unternehmen birgt, wollte ich einmal selbst in den Tiefen des Darknets herausfinden.

Die letzten Wochen begab ich mich in die Foren des Onion-Netzes. Einerseits interessierte mich, was aktuell in den Hackerforen diskutiert wird, andererseits wollte ich einmal herausfinden, wie einfach es mittlerweile gemacht wird, kuriose oder gefährliche Services aus dem Darknet zu beziehen und anzubieten.

Ich starte den modifizierten Firefox-Browser. Meine erste Anlaufstelle ist bis heute «The Hidden Wiki»: ein sehr langes Link-Verzeichnis, um auf unterschiedliche Darknet-Seiten zu gelangen. Nicht immer führen bekanntlich alle Links zum Ziel. Beunruhigend: Die seit gefühlt zehn Jahren existierende Dark-Web-Seite «Rent-A-Hacker» existiert bis heute. Verlagert hat sich bloss ein wenig das Dienstleitungsangebot: Während vor einigen Jahren für wenige 100 Euro das Hacken von E-Mail- und Facebook-Konten im Fokus lag, preisen immer mehr Cyber-Kriminelle in den Foren gerne ihre guten Social Engineering Skills an, die ein Scriptkiddie quasi als ein «All-in-One-Paket» für wenige 100 Dollar zwecks eines ganz bestimmtes Ziels hinzubuchen könnte.

Kompromittierte PayPal Accounts scheinen in letzter Zeit wieder besonders im Trend zu sein. Ob Session Cookies oder eine Kombination mit einem zusätzlichen Trojaner: Angebote zur Kompromittierung von zehn PayPal-Accounts im Wert von je 250 bis 500 Dollar kursieren bereits ab 150 Dollar in einem Darknet Market Place. Die Zahlung erfolgt dann in Kryptowährungen, zum Beispiel Bitcoin. Angereichert wird das kriminelle «as-a-Service»-Modell in manchen Fällen sogar mit Dienstleistungen wie zusätzlichen Dashboards inklusive Informationen zu Zahlungssummen und geglückten Angriffen. Das passende Ransomware-as-a-Service-Paket können sich also auch Anfänger ohne viel Vorwissen individuell konfigurieren.

Randnotiz: Es fällt mir auf, dass auf immer mehr Marktplätzen im Darknet Verkäufer und Käufer umfangreiche Bewertungen zu den Angeboten hinterlassen können. Diese Annahme bestätigt auch ein Darkweb-Security-Bericht von HP, wonach mittlerweile 92 Prozent aller Marktplätze sogar mittlerweile über eine Art Streitbeilegungsdienst-Support verfügen.

Nebst der kleinen statischen Tor-Websites tummeln sich eine Menge Diskussionsforen in der Dunkelkammer des Internets. Zu nennen wäre etwa ein «Reddit»-ähnliche Forum namens «Dread», das um die 12’000 User zählen dürfte. Diskutiert werden professionelle Hacking-Anleitungen sowie Ankündigungen oder Schliessungen von Market Places. Nebst sehr detaillierten Anleitungen zu Zero Day Exploits unter Windows wird in dem Anmelde-basierten Forum der Transport illegaler Drogen verhandelt.

Daneben existieren auch länderspezifische Foren wie «XSS», wo es (wie der Name vermuten lässt) um Cross-site Scripting und Web Vulnarability geht. Das Forum verfolgt den Zweck, Exploits, Zero Day Vulnerabilities und Credential-Datenbanken feilzubieten. Verschiedene Ransomware-Gruppen halten auch immer ganz gezielt Ausschau nach bestimmten Skills einzelner Entwickler.

Allgemein lässt sich sagen, dass sich im Dark Web mindestens drei Cyber-Hauptbedrohungen tummeln:

• Vermögens- und Identitätsdiebstahl:
  Hacker verkaufen bis heute vor allem gestohlene Zugangsdaten auf Dark-Web-Marktplätzen, um auch ihrerseits von ihren Bemühungen zu profitieren. Sicherheitslücken können für finanzielle Zwecke, politische oder Unternehmensspionage oder den Diebstahl geistigen Eigentums ausgenutzt werden.
• Remote Access Trojans (RAT) werden regelmässig in den Untergrundforen diskutiert. Die Anonymität gibt Hackergruppen die Freiheit, mehrere potenzielle Ziele zu planen oder auch nach neuen Malware-Schreibern für einen «Task» zu suchen.
• Zero-Day-Lücken und ungepatchte Webanwendungen:
  Schwachstellen in Webanwendungen und anderen Onlinediensten gehören zu den häufigsten Bedrohungen, welche Angreifer für verschiedene Ziele ausnutzen.

«Die Strafverfolgungsbehörden der Schweiz verfügen über beschränkte Ressourcen, die gezielt nach Schwerpunkten und Prioritäten eingesetzt werden können», sagt Serdar Günal Rütsche, Chef der Abteilung Cybercrime bei der Kantonspolizei Zürich, auf die Frage, inwieweit Undercover-Arbeit bei der Verfolgung von Ransomware-Banden gegenüber anderen Delikten im Darknet überhaupt möglich ist. Man führe jährlich mehrere Strafverfahren gegen Ransomware-Gruppen, Pädokriminelle und Drogenhändlern durch.

Die Ermittlungen im Umfeld verschiedener Anonymisierungsmöglichkeiten seien oft sehr aufwendig und komplex, heisst es bei der Kantonspolizei. Man sei zwar in der Lage, jederzeit auf alle Ereignisse mit geeigneten Massnahmen zu reagieren. Dies erfordere jedoch eine ständige Weiterentwicklung der Ermittlungsmassnahmen und setze eine hohe Kooperationsbereitschaft der weltweit agierenden Strafverfolgungsbehörden voraus.

Immerhin gelingt es den Strafverfolgungsbehörden jedoch immer wieder, ein Bandennetz aufzulösen. So gelang es kürzlich, die Darknet-Plattform Kingdom Market erfolgreich abzuschalten, auf welcher über 42’000 kriminelle Angebote kursierten.

Cybercrime als ein Produkt bzw. als ein Service ist klar im Trend. Das «as-a-Service»-Modell mit ganzen Service-Paketen für bestimmte Ziele gewinnt, ganz analog zur richtigen Geschäftswelt, an Aufwind. Für Scriptkiddies ist es immer «safer», erst einen Zugang über bereits vorhandene Hacking-Dienste zu erwerben, statt selbst Spuren zu hinterlassen.

Die Bandbreite der kriminellen Dienste im Dark Web wird allgemein immer grösser. Eine Stichprobe hat ergeben, dass etwa neun von zehn der beworbenen bekannteren Exploits in den dunklen Marktplätzen bereits für weniger als zehn US-Dollar verkauft werden, wobei die Preise für Exploits (die noch nicht publik sind) einige Tausende US-Dollar betragen können.

Security-Analysten von Check Point haben im letzten Jahr im Dark Web mehr KI-Chatbots gefunden, welche auf Large-Language-Modellen (LLM) basieren, wie sie etwa bei ChatGPT bereits Anwendung finden. So ist beispielsweise WormGPT auf KI-gesteuertes Phishing spezialisiert, insbesondere auf Business E-Mail Compromise. Ein weiteres Beispiel ist FraudGPT, ein KI-gesteuerter Chatbot, der für ein paar wenige hundert Dollar pro Monat User verleiten soll, vertrauliche Informationen von sich zu geben.

Es dürfte womöglich eine Zunahme verschiedener Darknet-Imperien aus anderen Ländern wie «XSS» geben. Alleine das russische Cybercrime-Syndikat «Hydra», bevor es im April 2022 runtergenommen wurde, machte nach Schätzungen des US-Departements für Justiz mit seinem Nettowert von über 5,2 Milliarden US-Dollar 80 Prozent aller Kryptowährungen aus.

Angesichts zunehmender Spezialisierung von Services im Darknet empfiehlt sich ein verantwortungsbewusster Umgang mit persönlichen Daten und Accounts und eine Authentifizierung über mehrere Faktoren. Dies gilt besonders für das Absichern von Fernzugängen wie VPN (RDP), Citrix, aber auch Vertragspartner und Lieferanten. Systeme oder Software, die EOL sind, sollten abgeschaltet, erneuert oder in separate Netzsegmente untergebracht werden. Um der immer professionelleren Cyber-Kriminalität entgegenzuwirken, ist eine Kombination aus verschiedenen Sicherheitsmassnahmen erforderlich wie Mail Security, Netzwerksegmentierung, EDR (oder XDR), Schwachstellen-Management und Pentesting.

Ein kontinuierliches Scannen des Dark Webs nach firmenrelevanten Daten wie E-Mail Domains, Public-IP-Adressen oder Kreditkarten-Details kann bei Firmen mit besonders riskanten Daten über Dark-Web-Monitoring-Services sichergestellt werden. Ein solcher Service detektiert frühzeitig Leaks über Ransomware Incidents und durchstöbert Dark-Web-Foren, Onion-Seiten sowie Datenbank- und Cloud-Links nach verdächtigen Informationen. So kann beispielsweise eine gestohlene Kreditkarte früh genug blockiert werden. Darüber hinaus werden mit solchen Services manchmal auch Buchstaben nachgeahmter Unternehmens-Domains identifiziert.

www.avantec.ch/services/cyber-defense-center

www.avantec.ch/loesungen/avantec-newcomers

www.tec-bite.ch/windows-forensik-goldschuerfen-im-digitalen-raum

www.tec-bite.ch/erhoehung-der-cyber-resilience-cybersecurity-vorfaelle-richtig-trainieren

www.tec-bite.ch/die-herausforderungen-bei-einem-siem

Mehr als zwei Jahrzehnte seit Beginn der Cloud-Computing-Ära beobachten führende Cloud-basierte Endpoint-Protection-Anbieter wie CrowdStrike noch immer viele Unternehmen, die zahlreiche unbeabsichtigte Fehler in der Cloud begehen.

Die Verlagerung in die Cloud ist jedoch nicht aufzuhalten. Die Analysten von IDC prognostizieren, dass beispielsweise die Cloud in Asien gar bei 65 Prozent von 2000 Unternehmen bis 2025 On-Prem als primärer Speicherort der betrieblichen Daten ablösen wird. Auch die oft zitierten Gartner-Analysten meinten bereits vor anderthalb Jahren, dass mehr als die Hälfte aller Unternehmensausgaben für Anwendungs- und Infrastruktursoftware sowie Geschäftsprozessdienste und Systeminfrastruktur bis 2025 in die Cloud fliessen dürften.

Die Einführung bringt aber auch einige Security-Anforderungen mit sich. Zu den wichtigsten Prioritäten und Challenges aller Branchen zählen laut eines Cloud Security Reports von Fortinet und «Cybersecurity Insiders» erhöhte Kosten, Compliance-Anforderungen, aber auch die Komplexität von Hybrid- und Multi-Cloud-Lösungen sowie eine geringere Transparenz und der Mangel an qualifizierten Fachkräften. Dies wiederum führt zu einer Verlangsamung der Cloud-Einführungsstrategien. Zudem überrasche es nicht, dass Sicherheitsbedenken in Bezug auf die Cloud weiterhin ein entscheidendes Hindernis darstellen. Trotz wirtschaftlicher Faktoren und Verzögerungen beim Umstieg auf Cloud-Lösungen werden 60 Prozent der Unternehmen mehr in die Cloud Security investieren. Zur höchsten Cloud-Security-Priorität zählen mehr als 51 Prozent der Befragten die Vermeidung von Fehlkonfigurationen. Die Sicherung von Anwendungen, die in die Cloud verlagert wurden, steht bereits an zweiter Stelle (48 Prozent).

Laut Trend Micro besteht die grösste Unternehmens-Herausforderung in der Inkonsequenz. Diese liege zumeist darin begründet, dass bereits einzelne Richtlinien in der einen oder anderen Cloud-Anwendung völlig anders implementiert sein könnten. Trend Micro geht davon aus, dass es aufgrund dieser uneinheitlichen Situation zu Sicherheitsvorfällen kommen wird, da viele Chief Information Security Officers (CISOs) noch nicht mit den neuen Technologien vertraut sind, geschweige denn über die Kapazität verfügten, alle Cloud-Installationen überwachen zu können. Man rechne zudem vermehrt mit Fehlkonfigurationen auf Benutzerseite und vielen Herausforderungen seitens der Entwickler. Die Cloud-Entwickler würden zwar immer agiler, schreibt Trend Micro, könnten jedoch die Sicherheit im Laufe ihrer Entwicklung auf die lange Bank schieben.

Acht Cloud-Security-Trends werden in daher aus meiner Sicht auch in den nächsten Jahren die Sicherheitsstrategie rund um die Cloud dominieren:

Die Adaption eines Zero-Trust-Security-Modells, das auf strikte Identitäts-Verifikation setzt, wird vermehrt Zuspruch erhalten, besonders in Cloud-Umgebungen. Ein Zero-Trust-Modell ersetzt grösstenteils den traditionellen Sicherheitsansatz, bei welchem bislang vorwiegend der Perimeter verteidigt wurde. Eine Zero Trust Network Architecture (ZTNA) beschreibt de facto ein gesamtes Sicherheitsmodell, das davon ausgeht, dass Bedrohungen sowohl innerhalb als auch ausserhalb eines Netzwerks vorhanden sind. Folglich besteht mit Zero Trust eine strenge Überprüfung jedes Nutzers und jedes Geräts, bevor ein Zugriff auf interne Ressourcen ermöglicht wird.

Ende November hat OpenAI die Anwendung ChatGPT auf den Markt gebracht. Eines ist sicher: Entwicklerkonzerne werden AI und Machine Learning weiter stark vorantreiben und in Echtzeit auf Security-Bedrohungen antworten wollen, um Schwachstellen schneller erkennen zu können. Um die KI im IT-Security-Umfeld ranken sich aber auch einige Mythen: Zwar lassen sich dank künstlicher Intelligenz ein grosser Stack an Datenmengen analysieren und angemessene Gegenmassnahmen einleiten. Eine weitreichende Übergabe von Handlungskompetenzen an die KI wird man jedoch in naher Zukunft nicht erleben. Es wird daher auch weiterhin nötig sein, menschliche Akteure in die Detektion von Schwachstellen einzubinden.

Security by Design ist ein Designansatz, welcher die Sicherheit der Hard- oder Software über den gesamten Lebenszyklus eines Produkts gewichtet. Das heisst, Cloud-Plattformen dürften in Zukunft stärker von Anfang an in das Design und deren Infrastruktur investieren, statt später mit Sicherheitsaktualisierungen nachzubessern. Die Vorteile durch Security by Design resultieren beispielsweise in einem reduzierten Risiko für Sicherheitslücken und Schwachstellen in der Hard- und Software, in einer höheren Robustheit und im Idealfall in ein grösseres Vertrauen in die Produkte.

Bei einer Mikrosegmentierung werden Netzwerke in logische und sichere Einheiten aufgeteilt. Mikrosegmentierung unterstützt Networking, indem «demilitarisierte Zonen», also Computernetze mit sicherheitstechnisch kontrollierten Zugriffsmöglichkeiten, erstellt werden. Um Lateral Movements innerhalb einer Cloud-Umgebung zu verhindern, werden Unternehmen vermehrt auf Mikrosegmentierung setzen und ihr Netzwerk in kleinere und stärker isolierte Segmente aufteilen.

Container Security beinhaltet den Schutz der Infrastruktur, der Laufzeitumgebung und der dazwischenliegenden Bereiche. Container benötigen weniger Systemressourcen und haben die Art und Weise, wie Software entwickelt und verwaltet wird, revolutioniert. Zwar gibt es auch Nachteile bei der Komplexität – jedoch sind Container ein begehrtes Mittel zur Bereitstellung und Paketierung von Anwendungen.

Gemäss Gartner werden bis 2025 bis zu 99 Prozent der Security Incidents in der Cloud vom User versursacht. Ein wirksames Cloud Security Posture Management (CSPM) mittels Tools von Drittanbietern ermöglicht die Überwachung von Fehlkonfigurationen in Public Clouds. Dank der automatischen Behebung von Fehlkonfigurationen in IaaS-, PaaS- und SaaS-Umgebungen lassen sich viele fehlerhafte Settings und in verschiedenen Cloud-Umgebungen bzw. Infrastrukturen automatisch beheben.

Immer mehr Tech-Konzerne wie Microsoft und Google setzen schon auf passwortlose Authentisierung und setzen auf die FIDO-2.0-Authentifizierungsspezifikationen, die auf Public-Key-Kryptographie und internationalen Standards basieren, um eine passwortlose Authentifizierung auf mehreren Geräten zu ermöglichen. Zu gängigen Enterprise-Adoptionen im Sicherheitsbereich zählen unter anderem FIDO (Fast Identity Online) und Public-Key-Infrastrukturen (PKI). Vor allem der consumernahe FIDO-Standard verzichtet auf Zertifikate, Komplexität und Kosten, was jedoch als Unternehmensanwendung zum Nachteil werden kann, der mit einem Enterprise Identity Provider (IdP) wettgemacht werden muss. Es lohnt sich allerdings, die Bedürfnisse im Unternehmen genau zu identifizieren.

Über einen Cloud Access Security Broker wird sichergestellt, dass Daten bei der Übertragung in und aus der Cloud sicher bleiben. CASBs werden mehr und mehr von Organisationen eingesetzt, damit Unternehmen den Zugriff auf Cloud-Dienste besser überwachen und kontrollieren wollen.

Mit der Zunahme von Cloud-Migrationen hinterlassen mehr Unternehmen ihren digitalen Fussabdruck.  Allgemein hat laut des «Global Threat Report 2023» von CrowdStrike die Zahl an Exploits in der Cloud während des Jahres 2022 um 95 Prozent (!) zugenommen. Die Bandbreite reicht von Fehlkonfigurationen bis hin zu mehr Credential-Abgriffen, beispielsweise bedingt durch zunehmende Social-Engineering-Attacken. Von einer ansteigenden Tendenz an möglichen Fehlkonfigurationen, verhängnisvollen Control-Panel-Übergriffen und vermehrten identitätsbasierten Angriffsarten ist in dem Bericht ebenfalls die Rede.

Es wird daher auch immer wichtiger, Multi-Cloud-Lösungen korrekt zu konfigurieren und sich bei «grossen Anbietern» alleine nicht in Sicherheit zu wägen, sondern auch Lösungen von Drittanbietern Betracht zu ziehen. Auch der zunehmende Fachkräftemangel stellt Unternehmen vor neue Herausforderungen, weswegen auch Grossunternehmen stärker von externen Anbietern abhängig werden. Diesen Problemen kann beispielsweise mit skalierbaren Endpoint-Detection- oder Managed-Detection-and-Response- (MDR-)Lösungen begegnet werden. MDR (Managed Detection & Response) ist eine Kombination aus führenden automatisierbaren Detection-Lösungen und geschulten Mitarbeitenden. Ein erfahrenes Team aus Cyber-Spezialisten kümmert sich dann um die Incidents, welche im Vorfeld durch die maschinellen Algorithmen detektiert werden.

www.avantec.ch/themen/cloud-security

www.tec-bite.ch/cyber-security-ist-teuer-auch-gleich-besser

www.tec-bite.ch/einfuehrung-in-zero-trust-ein-paradigmenwechsel

www.tec-bite.ch/cloud-security-posture-management-was-habe-ich-davon

www.tec-bite.ch/die-risiken-von-chatgpt-kennen

www.tec-bite.ch/erhoehung-der-cyber-resilience-cybersecurity-vorfaelle-richtig-trainieren

In unserer heutigen Zeit sind wir ständig von der Kryptografie umgeben und sie begleitet uns durch den Alltag – sei es beim E-Banking auf dem Smartphone, beim sicheren Einkauf beim Onlineshopping oder auch beim Versenden einer E-Mail. Die Sicherheit in der Informatikwelt ist ein wichtiger Bestandteil und ist heutzutage gar nicht mehr wegzudenken. Auch in der Wissenschaft werden ständig Untersuchungen durchgeführt, um zu analysieren, wie sicher aktuelle Verschlüsselungsmethoden sind.

In diesem Blogbeitrag werden wir uns gemeinsam mit der Kryptoanalyse auseinandersetzen, um einen kleinen Einblick in dieses interessante, aber auch komplexe Thema zu erhalten. Dabei bin ich kein Experte in diesem Fachgebiet, jedoch habe ich während meines Studiums im Modul «Kryptologie» einige interessante Dinge zu diesem Thema dazugelernt.

Bevor wir aber dazu kommen, wäre es noch interessant zu erfahren, woher das Wort «Kryptoanalyse» überhaupt stammt. Dieses Gebiet ist ein Teilbereich aus der Kryptologie, welches sich aus der Kryptografie und der -analyse bildet. Das Wort Kryptologie steht für «geheim» und setzt sich mit der Wissenschaft des Verschlüsselungsverfahrens auseinander. Oftmals ist es der Fall, dass die beiden Wörter Kryptologie und Kryptografie miteinander verwechselt werden, obwohl es sich hier nicht ganz um das Gleiche handelt. Die Kryptoanalyse beschäftigt sich mit der Praxis, kryptografische Systeme zu analysieren, um deren Schwachstellen zu identifizieren. Das Ziel besteht darin, Chiffren zu entschlüsseln, ohne den geheimen Schlüssel überhaupt zu kennen.

Für den Kryptoanalytiker gibt es unterschiedliche Möglichkeiten, um einen gezielten Angriff durchzuführen. Hier kommt es vor allem auf die verfügbaren Informationen an, welche ein Angreifer bereits besitzt. Je mehr Informationen jeweils vorhanden sind, desto höher ist die Erfolgschance bei der Analyse. Hierfür gibt es drei unterschiedliche Methoden für einen Angreifer:

1. Ciphertext-only-Attacke (Geheimtext ist bekannt)

• Bekannte Informationen: Der chiffrierte Text (Output)
• Ziel des Angriffs: Kenntnis über den Input und/oder den Schlüssel

Im ersten Verfahren ist dem Angreifer nur der verschlüsselte Text bekannt. Dabei sind keine Informationen zum Klartext oder dem Schlüssel bekannt.

2. Known Plain-Text-Attacke (Klartext bekannt)

• Bekannte Informationen: Teile vom Input oder dem chiffrierten Text (Output)
• Ziel des Angriffs: restlicher Input und/oder der Schlüssel

Bei dieser Angriffsmethode verfügt der Angreifer Informationen über gewisse Paare vom Klar- und dem chiffrierten Text.

3. Chosen-Plain-Text Attacke (frei wählbarer Klartext)

• Zugriff des Angreifers:  Krypto-Modul mit dem geheimen Schlüssel
• Bekannte Informationen: Frei wählbarer Input und der Output davon
• Ziel des Angriffs: Schlüssel

Im letzten Verfahren hat der Kryptoanalytiker die Möglichkeit, anhand des verwendeten Verschlüsselungsgeräts einen beliebigen Klartext zu verschlüsseln.

Ein bekannter Grundsatz in der Kryptografie für die Gestaltung und Bewertung von Verschlüsselungssystemen ist das Kerckhoffs’sche Prinzip. Es besagt, dass immer angenommen werden sollte, dass dem Angreifer das kryptografische System bekannt ist und nicht unterschätzt werden sollte. Zudem sollte die Sicherheit eines Verschlüsselungssystems allein auf der Geheimhaltung des Schlüssels basieren und nicht auf der Geheimhaltung des Verschlüsselungsalgorithmus.

In der Vergangenheit wurde schon oft bewiesen, dass die Geheimhaltung eines Verfahrens nicht viel gebracht hat. Es ist lediglich eine Praxis, um die Sicherheit eines Systems durch die Verschleierung der Implementierung zu gewährleisten (dem sogenannten «Security through Obscurity»). Stattdessen sollte jedoch auf bewährte Sicherheitsmechanismen und Verschlüsselungsalgorithmen gesetzt werden. Wenn wir auf die Geschichte zurückblicken, wäre ein bekanntes Beispiel dafür das 2G-Protokoll GSM (Global System for Mobile Communications). Hier basierte die Verschlüsselung auf die Stromchiffre und einem zuvor geheimen Algorithmus. Dieser wurde jedoch zu einem späteren Zeitpunkt veröffentlicht, sodass festgestellt wurde, dass die A5/1-Verschlüsselung unsicher war und durch den A5/3-Algorithmus ersetzt werden musste.

Brute-Force-Attacke

Eine der bekanntesten Methoden in der Kryptoanalyse, um eine Verschlüsselung zu knacken, ist ein Angriff mittels Brute Force. Dabei geht der Angreifer systematisch vor und versucht, alle Kombinationen, ohne das Passwort oder den Schlüssel zu kennen. Ziel all dessen ist es, den Zugang zu einem gesicherten System oder einer Datei zu erhalten. Dabei hängt der Zeitaufwand von der Schlüsselraumgrösse ab, da dieser je nach Grösse aufwendiger wird.

Es gilt jedoch als grundlegende Annahme, dass es nie wert ist, dieses Verfahren zur Entschlüsselung anzuwenden. Stattdessen wird mit dem Einsatz von ausgeklügelten Verfahren ein besserer Ansatz angegangen, um an eine Entschlüsselung zu kommen.

Wörterbuchangriff (Dictionary Attack)

Ein weiteres beliebtes Verfahren ist der Wörterbuchangriff. In dieser Methode besitzt der Angreifer eine Liste von Wörtern – oftmals in diesem Fall Passwörter. Diese werden nacheinander gegen ein System geprüft, bis alle Einträge getestet wurden oder eines erfolgreich funktioniert. Solch ein Angriff kann sehr effektiv sein, falls das Opfer ein schwaches oder oft genutztes Passwort verwendet.

Eine bekannte Anwendung, die für solche Attacken verwendet werden kann, ist «John the Ripper», ein Open-Source-Tool. Auch hier kann eine angepasste Liste häufiger Wörter verwendet werden, bei welcher der jeweilige Output mit dem chiffrierten Passwort verglichen wird.

Aus diesem Grund sollte auch überprüft werden, ob bei der Konfiguration eines Systems gewisse Passwortanforderungen wie die Mindestanzahl von Zeichen oder die Wiederverwendung gesetzt werden können, um die Sicherheit gegen solche Wörterbuchangriffe zu erhöhen.

Seitenkanal-Attacke (Side-Channel Attacks)

Letzteres schauen wir uns noch Side-Channel-Attacks an. Wie der Begriff schon sagt, werden in dieser Methode Nebenkanal-Informationen analysiert, um an die geheimen Informationen zu kommen. Dadurch kann der Verschlüsselungsprozess umgangen werden, ohne direkt das System oder den Algorithmus zu brechen.

Ein Verfahren wäre die Analyse des Stromverbrauchs, bei welcher eine Schlussfolgerung anhand der durchgeführten Operationen eines Prozessors oder dem aktuellen Verbrauch gemacht werden kann.  Ebenfalls kann anhand von Timing Attacks, dem Messen der Zeit für bestimmte Operationen oder auch bei der Analyse der Speichernutzung eines Prozesses, ein Angriff erfolgen. Zu den bekanntesten Sicherheitslücken gehören auch Spectre und Meltdown aus dem Jahre 2017. In beiden Fällen wurde diese Methode dazu verwendet, um unbefugten Zugriff auf den Speicher anderer Prozesse zu erhalten.

Weitere interessante Beispiele von Side-Channel Attacks gibt es unter folgendem Link:
https://cseweb.ucsd.edu/classes/wi22/cse127-a/scribenotes/6-sidechannels-notes.pdf

Wir haben die verschiedenen Angriffsmöglichkeiten in der Kryptoanalyse beleuchtet und das Kerckhoffs’sche Prinzip hervorgehoben, das die Annahme betont, dass Angreifer das kryptografische System kennen. Weiterhin wurde erläutert, dass die Geheimhaltung eines Verfahrens allein nicht ausreicht, um Sicherheit zu gewährleisten, und dass bewährte Sicherheitsmechanismen und Verschlüsselungsalgorithmen von grosser Bedeutung sind.

Schliesslich haben wir einige Methoden in der Kryptoanalyse behandelt, darunter die Brute-Force-Attacke, den Wörterbuchangriff und Seitenkanal-Attacken. Hier wurde betont, dass es oft sinnvoller ist, auf ausgeklügelte Verfahren und bewährte Sicherheitsmechanismen zu setzen, anstatt Brute-Force-Methoden anzuwenden.

Die Kryptografie und ihre Analyse werden auch in Zukunft eine Schlüsselrolle für die Sicherheit unserer digitalen Welt spielen und erfordern fortlaufende Aufmerksamkeit und Innovation.

norbert-pohlmann.com/glossar-cyber-sicherheit/begriffe-der-kryptographie

www.uobabylon.edu.iq/eprints/paper_5_7264_649.pdf

www.tec-bite.ch/quantensichere-kryptographie-von-mathematischer-theorie-zu-konkreten-standards

www.tec-bite.ch/key-length-versus-life-time