This Content Component encountered an error
This Content Component encountered an error
This Content Component encountered an error

Es gibt mehrere Initiativen, um Passwörter als die wichtigste Standardmaßnahme zur Authentifizierung in Unternehmen abzulösen. So versuchen etwa Organisationen wie die FIDO Alliance, effektivere Technologien zur Anmeldung an entfernten Systemen zu entwickeln. Viele Webseiten bieten bereits jetzt schon eine Zwei-Faktor-Authentifizierung an, um sich bei ihnen einzuloggen. Manche setzen dabei sogar auf biometrische Methoden.

Es sind aber nicht nur schlechte oder schwache Passwörter, die eine Bedrohung für den Zugang zu Netzwerken darstellen. Tatu Ylönen, Erfinder und Entwickler des Netzwerkprotokolls SSH (Secure Shell) und Gründer von SSH Communications Security, hat mit SearchSecurity über weitere Risiken gesprochen. Unter anderem kritisiert er die unkontrollierte Zunahme nicht mehr verwalteter SSH-Schlüssel. Als Grund dafür sieht er das mangelhafte Management von SSH-Schlüsseln in vielen Unternehmen.

In zwei Beispielen beschreibt Ylönen den Umfang dieser Probleme: So wurden bei einem vor kurzem durch sein Team durchgeführten Audit bei einer Wall-Street-Bank mit etwa 220.000 Mitarbeitern rund drei Millionen SSH-Keys gefunden. Mit zehn Prozent dieser Schlüssel sei es möglich gewesen, Root-Zugang zu Live-Servern zu erhalten. Dabei wurde bei dem Audit mit 15.000 Servern und 500 Geschäftsanwendungen nur etwa ein Viertel der gesamten eingesetzten Infrastruktur überprüft.

90 Prozent der bei der Bank entdeckten SSH-Keys waren laut Ylönen nicht mehr im Einsatz und wurden eigentlich nicht mehr benötigt. In einem anderen Fall konnte einer seiner Kollegen einen SSH-Schlüssel wieder verwenden, als er nach zehn Jahren eine Gesundheitsorganisation besuchte, bei der er früher schon einmal als Consultant tätig war. Der Schlüssel wurde nie gelöscht.

Fernzugriff per SSH

SSH verwendet ein Public-Key-System, um sich sicher an einem entfernten System anzumelden und um einen verschlüsselten Verbindungskanal zwischen den beiden Teilnehmern aufzubauen. Die Technologie ist weit verbreitet und wurde auch in vielen Anwendungen implementiert. Das Protokoll wird außerdem häufig von Administratoren verwendet, um Applikationen und Systeme aus der Ferne zu verwalten, da es einen sicheren Kanal über eigentlich unsichere Netzwerke bereitstellen kann. SSH findet sich darüber hinaus mittlerweile in der Firmware vieler IoT-Geräten (Internet of Things). Dadurch erhöht sich die Zahl der SSH-Schlüssel, die ein Unternehmen verwalten muss.

SSH-Schlüssel bieten im Prinzip dieselben Zugangsmöglichkeiten wie Nutzernamen und Passwörter. So erlauben sie es Nutzern und Programmen, sich ohne Eingabe eines Passworts sicher bei einem System anzumelden. Sie werden deswegen oft für den Zugang zu Admin-Accounts auf Produktivservern, Datenbanken, Routern, Firewalls, Payment-Systemen und vielem mehr eingesetzt. Wenn jedoch ein Root-Account erst einmal kompromittiert wurde, bekommt der Angreifer die volle Kontrolle über das System. Trotz dieser Tragweite wird das Management von SSH-Schlüsseln bei der Planung, Implementierung und dem Audit von IAM-Systemen (Idendity and Access Management) oft vernachlässigt.

Missbrauch nicht genutzter Schlüssel

Die Beispiele von Ylönen zeigen, dass der Lebenszyklus von SSH-Schlüsseln von ihrer Erstellung bis zu ihrer Löschung häufig unzureichend verwaltet wird. Dadurch entsteht eine große Lücke bei der Kontrolle von Zugängen und Identitäten. Böswillige Insider oder externe Hacker können nicht mehr genutzte Schlüssel nutzen, um heimlich Zugangskontrollen zu umgehen und um auf fremde Accounts zuzugreifen, ohne dass dies in Audit-Protokollen auftaucht.

Die Infrastruktur und die Daten in Unternehmen sind durch diese „vergessenen“ Schlüssel einem hohen Risiko ausgesetzt. Ein Beispiel aus der jüngeren Vergangenheit ist die Attacke auf Sony Pictures im Jahr 2014. Dabei sollen entwendete SSH-Schlüssel eingesetzt worden sein. Damals wurden fünf Filme gestohlen und illegal verbreitet. Die Bedeutung von SSH-Schlüsseln ist so groß, dass es im Internet sogar einen Schwarzmarkt für gestohlene Schlüssel gibt.

Das National Institute of Standards and Technology (NIST) hat aufgrund der Probleme den Ratgeber NISTOR 7966 mit dem Titel Security of Interactive and Automated Access Management Using Secure Shell (SSH) veröffentlicht. In ihm finden sich viele nützliche Empfehlungen zum Umgang mit SSH-Schlüsseln. Das Dokument zeigt, wie man sie im Unternehmen aufspürt, am besten nutzt und wie man sie überwacht.

Damit bietet es eine wertvolle Hilfe beim Verwalten, Sichern und Implementieren von SSH-Schlüsseln. Die erste Aufgabe eines Unternehmens sollte jedoch sein, alle in ihrer IT-Umgebung existierenden SSH-Schlüssel zu finden und zu katalogisieren. Das gilt sowohl für Rechenzentren, die Server und Desktops, Cloud-Systeme sowie für mobile und IoT-Geräte.

Unternehmen verlieren die Kontrolle

57 Prozent der genutzten Verwaltungsmethoden für SSH-Schlüssel basieren bislang laut der Umfrage 2016 Global Encryption Trend Study des Ponemon Institutes entweder auf Papierunterlagen oder Spreadsheets. Damit sind menschliche Fehler vorprogrammiert, so dass viele Organisationen über kurz oder lang die Kontrolle über ihre SSH-Schlüssel verlieren werden. Unternehmen sollten stattdessen ein leistungsfähiges Produkt oder einen Service zum Aufspüren und automatischen Verwalten ihrer SSH-Schlüssel nutzen. Beispiele für geeignete Lösungen sind TrustAuthority von Venafi, PowerBroker Password Safe von BeyondTrust und Universal SSH Key Manager von SSH Communications Security.

Sobald die bereits existierenden Schlüssel wieder unter Kontrolle gebracht wurden, ist es nötig, die einmal getroffenen Richtlinien und Prozesse für das Provisioning, Monitoring, Auditing und Löschen von SSH-Schlüssel auch wirklich konsequent umzusetzen. Diese Aufgabe ist ebenfalls deutlich leichter mit automatischen Werkzeugen durchzuführen. Außerdem sollten Administratoren, Datenbank-Manager, Entwickler und andere Mitarbeiter, die SSH-Schlüssel für ihre Arbeit benötigen, in einem sicheren Umgang mit ihnen geschult werden. Nur wenn sie die Risiken schlecht geschützter Schlüssel verstehen, lässt sich das Problem eingrenzen.

IT-Sicherheit beginnt bereits dort, wo jemand Zugriff auf ein System und Daten erhält. Unternehmen müssen deswegen verstehen, dass SSH-Schlüssel vergleichbar mit Passwörtern sind und ein robustes Management und ausreichenden Schutz erfordern. Wenn ein Unternehmen keine Kontrolle über den Zugang zu einem System hat, dann ist es auch nicht sicher.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!

Nächste Schritte

IAM-Strategie an Cloud und Software-defined-Ansätze anpassen

OpenSSH optimal für maximale Sicherheit konfigurieren

Nutzung von Zertifikaten und Schlüsseln stark angestiegen

Wie sich Zugriffs-Management und Identity Governance unterscheiden

Artikel wurde zuletzt im Juni 2017 aktualisiert

Pro+

Premium-Inhalte

Weitere Pro+ Premium-Inhalte und andere Mitglieder-Angebote, finden Sie hier.

This Content Component encountered an error
This Content Component encountered an error

- GOOGLE-ANZEIGEN

SearchStorage.de

SearchNetworking.de

SearchEnterpriseSoftware.de

SearchDataCenter.de

Close