Authentifizierung ist nicht alles

Im Laufe der Geschichte kam es zu unzähligen Misserfolgen, weil die Planer zu viel Vertrauen in die Qualität ihrer Lösungen hatten. Ob es sich um die unsinkbare Titanic oder die uneinnehmbare Maginot-Linie des Zweiten Weltkriegs handelt - zu viel Vertrauen in eine einzige Lösung hat immer wieder zu schrecklichen Katastrophen geführt.

In der Welt der Cybersicherheit ist das nicht anders. Wenn Sie nur eine einzige Lösung für die Cybersicherheit haben, sind Probleme vorprogrammiert.

Die Gefahren einer einzigen Lösung für die Sicherheit

In diesem Artikel befassen wir uns mit einem speziellen Fall, in dem dies bei einem E-Commerce-Anbieter der Fall war. Dieses Unternehmen hat eine neue Anmelde-API für seine mobile App entwickelt. Sie verstärkten ihre Sicherheit, indem sie eine 1024-Bit-RSA-Verschlüsselung des Passworts in der Nutzlast aller Authentifizierungsanfragen verlangten.

Dies ist eine gute Idee. Schließlich macht es Man-in-the-Middle-Angriffe weitgehend nutzlos, da die Authentifizierungsinformationen nicht für Menschen lesbar sind. Sie erscheinen als base64-kodierte und RSA-verschlüsselte Zeichenfolge. Da die Authentifizierungsanfragen von der eigenen Anwendung kamen, war dies ein ziemlich guter Ansatz. Daumen hoch.

Aber... es geht um mehr als das. Es war keine gute Idee zu denken, dass diese Sicherheitsmaßnahme alles war, was sie brauchten. Anstatt die Sicherheit durch Maßnahmen wie das Erzwingen einer maximalen Anzahl fehlgeschlagener Kennwortversuche weiter zu verbessern, entschied man sich, es einfach auszuliefern und sich dann anderen Entwicklungsarbeiten zuzuwenden.

Auch wenn es den Anschein hat, dass alles in Ordnung war, gab es einen erheblichen Fehler in ihrer Lösung. Der öffentliche 1024-Bit-Schlüssel war mit Hilfe von JADX zur Dekompilierung ihrer mobilen App leicht zu erkennen.

Indem er den öffentlichen Schlüssel in einer lokalen Datei speichert, kann ein Angreifer beliebige Passwörter durchgehen, sie alle mit dem öffentlichen Schlüssel des Ziels verschlüsseln und die Sicherung des Authentifizierungsendpunkts komplett rückgängig machen.

Da es für diesen Endpunkt keine Obergrenze für fehlgeschlagene Kennwortversuche gab, schrieb ich ein bash Skript, das eine Prüfung für so viele Kennwörter wie gewünscht automatisieren würde. Ich bewies dem E-Commerce-Anbieter das Problem mit einem einfachen Countdown für mein Passwort, den ich zur Demonstration des Problems eingerichtet hatte:

Hier ist die Ausgabe meines Skripts:

Schauen wir uns das mal genauer an. In einem for Schleife beginne ich mit einer Willkommensnachricht, in der ich ankündige, welche Ziffer ich einfüge, um an das Kennwort zu gelangen, das ich für dieses Proof-of-Concept festgelegt habe. Dann sehen wir das Passwort und den verschlüsselten Wert, der an die API gesendet wird. (Sie haben doch nicht wirklich geglaubt, dass ich ein so einfaches Passwort verwende, geschweige denn, es hier preisgebe, oder?)

Schließlich gebe ich die API-Antwort auf meine Passwortprüfung aus. Bei den ersten sechs Versuchen erhalte ich eine erfolglose Antwort, aber als ich schließlich zu meinem hypersicheren (😉) Passwort von faster4wardlässt mich die API mit meinem normalen Berechtigungsumfang herein.

So viel zu RSA-verschlüsselten Authentifizierungsnutzdaten...

Wie Sie denselben Fehler vermeiden können

Nun, da wir das Problem erkannt haben, was können wir stattdessen tun? Beginnen wir mit dem grundlegenden Denkfehler, der uns hierher gebracht hat. Es gibt viele Dinge zu tun, um eine Webanwendung erfolgreich zu sichern, denn es gibt kein Patentrezept für die Sicherung einer Anwendung! Für unser obiges Beispiel benötigen Sie neben der starken RSA-Verschlüsselung noch weitere Maßnahmen.

• Stellen Sie sicher, dass Ihre Verschlüsselungsschlüssel sicher sind.
• Erzwingen Sie eine maximale Anzahl von fehlgeschlagenen Passwortüberprüfungsversuchen, die zu einer Kontosperrung führen.
• Begrenzung der Anfragerate einführen.

Für die Sicherheit eines Systems, das dem Internet ausgesetzt ist, muss der Grundsatz der Tiefenverteidigung gelten: Mehrere Verteidigungsschichten müssen auf der gesamten Oberfläche Ihrer Webpräsenz eingesetzt werden, nicht nur an den Stellen, die Sie für besonders interessant oder offensichtlich zu verteidigen halten.

Glücklicherweise bietet Linode viele großartige Sicherheitsfunktionen, die direkt in unsere Plattform integriert sind, und es gibt viele Industriestandards, um einige häufige Angriffsvektoren zu bekämpfen. Einige dieser Lösungen gelten für Ihr Linode-Konto, und einige gelten direkt für Ihre Linodes. Schauen wir uns beide Arten von Schutz an.

Schutz des Admin-Zugangs zu Ihrem Linode-Konto

Wenn jemand in Ihr Linode-Konto eindringen kann, ist das Spiel vorbei. In Ihre Linodes einzudringen wird trivial. Aus diesem Grund sind Linode-Konten auf Sicherheit ausgelegt. Standardmäßig muss jedes Linode-Konto mit einer Telefonverifizierung gesichert werden. Linode erfordert auch die Konfiguration von Sicherheitsfragen und -antworten für die Wiederherstellung des Kontos.

Zusätzlich zur Telefonverifizierung können Sie auch eine Zwei-Faktor-Authentifizierung mit einem zeitbasierten Einmal-Passwort (TOTP) konfigurieren. Obwohl dies für Konten nicht erforderlich ist, wird die Aktivierung von 2FA dringend empfohlen, da sie viel sicherer ist als ein Passwort und Sicherheitsfragen und sogar sicherer als Telefonverifizierungscodes.

Eine weitere Sicherheitsebene ist verfügbar, um ein Linode-Passwort komplett zu umgehen. Sie können eine Drittanbieter-Authentifizierungsquelle (TPA) verwenden. Mit dieser Methode können Sie sichere Methoden für die Anmeldung bei einer Drittanbieterquelle Ihrer Wahl konfigurieren (derzeit werden Google und GitHub dafür unterstützt). Dies verringert die Wahrscheinlichkeit, dass ein entwendetes Passwort dazu führt, dass Sie den Zugang zu Ihrem Linode-Konto verlieren.

Eine letzte Methode zum Schutz Ihres Kontos besteht darin, bestimmte Benutzer einzurichten, die auf bestimmte Teile Ihres Kontos zugreifen können. Auf diese Weise können Sie festlegen, was Unterbenutzer in Ihrem Konto tun können, und so die Möglichkeit verringern, dass ein Angreifer Ihrem Konto ungehinderten Schaden zufügt. 

Es ist eine gute Praxis, diese Trennung zwischen den Benutzern, die auf die verschiedenen Teile Ihrer Infrastruktur zugreifen, einzuführen. Wenn Sie nur ein Team sind, ist das vielleicht nicht nötig. Wenn Sie jedoch eine echte Trennung der Belange vornehmen, können Sie damit sicherstellen, dass keine unbefugten Änderungen an Ihrem Konto oder Ihrer Infrastruktur vorgenommen werden.

Sichern Sie Ihre Linodes

Die Absicherung Ihres Kontos ist zweifellos wichtig, aber die Absicherung Ihrer Server und Infrastruktur ist vielleicht noch wichtiger. Schließlich werden die meisten Angreifer versuchen, über die Infrastruktur in Ihre Infrastruktur einzudringen, und nicht über Ihren Hosting-Anbieter. Linode deckt Sie auch hier ab. 

Einer der besten Orte, um damit zu beginnen, ist die Linode App Marketplace. Egal, ob Sie Sicherheitslösungen wie Haltdos WAF einsetzen möchten, um bösartigen Datenverkehr an den Toren Ihrer Server zu stoppen, oder ob Sie einen Überwachungsstack wie Prometheus + Grafana mit einem Klick installieren möchten - viel einfacher als mit Marketplace können Sie Ihren Stack nicht sichern und überwachen.

Anwendungen von Drittanbietern sind auch nicht die einzigen Lösungen, die Ihnen zur Verfügung stehen. Linode Cloud Firewall ist eine großartige Lösung, die einfach direkt über den Cloud Manager konfiguriert werden kann. Die Verwendung von Linode Cloud Firewall und einer Firewall auf Ihrer Linode ist auch eine gute Idee.

Eine weitere gute Praxis ist es, sicherzustellen, dass Ihre Server gegen DDoS-Angriffe geschützt sind. Mit Linode verteidigen Sie Ihre gesamte Infrastruktur standardmäßig gegen diese Angriffe - und das ohne Kosten! Sie müssen nicht einmal etwas tun, um es zu konfigurieren.

Fazit

Es gäbe noch viel mehr zum Thema Sicherheit zu sagen, aber das reicht wohl erst einmal. Alles in allem sollten Sie vermeiden, dass Ihre clevere Lösung für ein Problem dazu führt, dass Sie vergessen, sich um die anderen Dinge zu kümmern, die Sie in Ihrem Sicherheitskonzept übersehen könnten.