Die deutsche Softwarefirma TeamViewer, welche die gleichnamige Fernzugriffslösung anbietet, wurde 2016 gehackt. Da angeblich beim Hack keine Kundendaten entwendet wurden, entschied TeamViewer, seine Kunden darüber nicht proaktiv zu informieren. (Über diesen Schachzug von TeamViewer kann jeder selbst urteilen ob dies langfristig die richtige Strategie war.) Auf jeden Fall erwartet man von einer Fernzugriffslösung nicht nur hohe Benutzerfreundlichkeit und gute Tools für den Fernzugriff, sondern auch, dass die Lösung sicher ist. Denn niemand möchte eine Fernzugriffslösung nutzen, die sicherheitsanfällig ist oder sogar vorinstallierte Backdoors integriert hat.
Das Detail entscheidet über die Sicherheit
Das Thema Sicherheit einer Fernzugriffslösung spielt nicht nur bei der Wahl der Fernzugriffslösung eine Rolle, sondern ist bei der Lösung überall allgegenwärtig. Gerade wenn man die Policy seiner Fernzugriffslösung definiert, muss nicht nur an die Benutzerfreundlichkeit gedacht, sondern der Fokus sollte auch auf die Sicherheit gelegt werden. Hier zwei Beispiele aus der Schublade «No-Goes»:
Einleitung:
Alice ist eine frei erfundene Person und braucht in den beiden Szenarien Unterstützung zur Administrierung ihrer Appliance. Sie ruft ihren Security Partner des Vertrauens an und erhält Unterstützung von Bob. Zur besseren Unterstützung beschliessen die beiden, einen Fernzugriff aufzubauen.
Szenario 1:
Nachdem der Fernzugriff aufgebaut worden ist, öffnet Alice ihre Passwort-Excel-Liste und sucht die entsprechenden Credentials zur Administrierung ihrer Appliance heraus. Bob hat währenddessen volle Einsicht in die Passwort-Excel-Liste. Im schlimmsten Fall wird die Session sogar noch aufgezeichnet und alle Auditor-Mitglieder der Fernzugriffslösung hätten dann auch noch Einsicht – No-Go Nr. 1.
Szenario 2:
Auch hier wird wieder der Fernzugriff aufgebaut. Anschliessend logt sich Alice bei ihrem Passwortspeicher an und nutzt die Copy-Paste-Funktion um sich beim Admin Web-UI ihrer Appliance möglichst einfach und rasch anzumelden – No-Go Nr. 2.
Hier die Erklärung zu No-Go Nr. 2: Bei vielen Fernzugriffslösungen werden die Zwischenspeicher von beiden Parteien automatisch geteilt. Durch ein einfaches Einfügen des geteilten Zwischenspeichers in sein eigenes Notepad hätte Bob unbemerkt die administrativen Credentials von Alice zu sich kopieren können. Entweder deaktiviert man das automatische Teiles des Zwischenspeichers oder man nutzt optimalerweise eine Password-Managment-Lösung und keinen Passwortspeicher. Dazu ein eigener Blog-Eintrag: Die Achilles-Sehne der IT – Passwortspeicher vs. Password Management (Stichwort: Credential Injection).
Der Teufel liegt im Detail
Mit richtiger Konfiguration bei der Fernzugriffslösung hätte das zweite Szenario verhindert werden können. (Das erste Szenario sollte man schon gar nicht erleben dürfen…) Bei der Konfigurierung der Fernzugriffslösung muss auch immer bedacht werden, für welchen Zweck die Lösung genutzt wird. Wenn zum Beispiel die Fernzugriffslösung für die Unterstützung von Kunden genutzt wird, sollte verhindert werden, dass Bob, der die Unterstützung anbietet, die Festplatte von Alice im Hintergrund durchsuchen kann. Das bringt mich zum nächsten Punkt. Der Teufel liegt im Detail, wie das Sprichwort sagt. Daher sollten Firmen nur ihre eigene Fernzugriffslösung erlauben. Denn damit hat die Firma selbst die Kontrolle über alle Funktionen und kann somit ungewollte Datenabflüsse verhindern. Falls andere Fernzugriffslösungen erlaubt werden, muss dies, wie bei allen Ausnahmen, gut bedacht und begründbar sein.
Alles in einem
Wie oben erwähnt, muss die Fernzugriffslösung einerseits benutzerfreundlich sein, dem Supporter gute und unterstützende Tools bieten können, aber es muss auch die Sicherheit beider Parteien berücksichtigen. Eine dieser Lösungen, die solche Szenarien bestens erfüllt, ist Remote Support von BeyondTrust. Bei Remote Support merkt man von der ersten Minute an, dass dieses Produkt schon einige Jahre gereift ist. Es unterstützt nicht nur Credential Injection sondern auch skillbasiertes Routing. Sodass die Supportanfrage bei jenem Supporter landet, welcher die beste Erfahrung auf dem benötigten Gebiet hat und am wenigsten ausgelastet ist. Damit kann die aufgewendete Supportzeit minimiert werden und die Zufriedenheit aller wird erhöht. Session Recording kann zum Schutz beider Parteien aktiviert werden und ergänzt die automatisch generierten Logs für das Auditing.
Remote Support von BeyondTrust hat auch einen eigenen Vault für Passwörter oder kann an den BeyondTrust Password Safe (siehe Blog-Eintrag Die Achilles-Sehne der IT – Passwortspeicher vs. Password Management) gebunden werden. Dadurch kann nach jedem unbeaufsichtigten Zugriff auf ein Zielsystem das genutzte Passwort rotiert (neu generiert) werden. Hiermit wird der Angriffsmethode Pass-the-Hash entgegengewirkt und der Angreifer kann sich nach der Passwort Rotation mit dem Hash nicht mehr anmelden.
Schlusswort
Vielleicht ist es an der Zeit, dass Ihre Fernzugriffs-Policy wieder eine Review bekommt. Das Sprichwort: «Die Kette ist nur so stark wie das schwächste Glied», bringt es auf den Punkt. Die Konfiguration der Fernzugrifflösung muss genau so «stark» sein wie die ausgewählte Fernzugriffslösung selbst. Eine «starke» Fernzugriffslösung hat in meinen Augen nicht nur Sicherheitsfunktionen wie Session Recording, voll umfängliches Auditing und Credential Injection, sondern auch benutzerfreundliche Funktionen wie zum Beispiel skillbasiertes Routing.
In einem Satz gesagt:
«Eine starke Fernzugrifflösung vereint Sicherheit und hohe Benutzerfreundlichkeit in einem.»
Der Beitrag Leakt Ihre Fernzugriffslösung? erschien zuerst auf Tec-Bite.