Projekt „Windows seziert“ BSI nimmt Windows auseinander

Wie kann Windows Hello for Business besser abgesichert werden? Das BSI analysiert im Rahmen eines neuen Projekts Windows-Dienste und zeigt mögliche Angriffsszenarien sowie Schutzmaßnahmen auf.

Egal wie hoch oder niedrig der Grad ihrer Digitalisierung ist: Unternehmen und Organisationen kommen nicht ohne Betriebssystem aus. Die meisten von ihnen nutzen Windows von Microsoft, welches genau deshalb ein beliebtes Angriffsziel von Cyberkriminellen ist. Aus diesem Grund hat es sich das Bundesamt für Sicherheit in der Informationstechnik zur Aufgabe gemacht, im Rahmen des Projekts „Windows seziert“ tiefgreifende Analysen von Windows 10 und Windows 11 durchzuführen. Für den ersten Durchlauf wurde Windows Hello for Business (WHfB) genauer unter die Lupe genommen.

Security-Insider Podcast – Folge 105

Das Ende von Windows 10 ist da!

Mehr Sicherheit für Windows Hello for Business

Wie der Authentifizierungsablauf mit Windows Hello for Business technisch funktioniert, wollte das Bundesamt herausfinden. Daher beinhaltet die 170-seitige Analyse eine Beschreibung des Ablaufs der Identitätsprüfung, des Windows-Biometriedienstes sowie der Schnittstelle „Win­dows Biometric Framework“. Zudem werden die Verwaltung und der Aufbau der Bio­me­trie-Datenbank sowie die erweiterte Anmeldesicherheit „Enhanced Sign-in Security“ (ESS) erläutert. Außerdem zeigt das BSI auf, wie WHfB in Unternehmen eingeführt wird, welche Konfigurations­mög­lich­kei­ten es für Administratoren gibt und wie Sicherheitsvorfälle erkannt und protokolliert werden können. Dazu werden mögliche Angriffsszenarien und passende Gegenmaßnahmen aufgezeigt.

Davon leitet das BSI schlussendlich Empfehlungen zur Absicherung von Hello for Business ab. Unter anderem werden diese Punkte genannt:

• WHfB sollte möglichst im ESS-Modus betrieben werden. Dafür sind Virtualization-Based Security, ein Trusted Platform Module 2.0 und ein ESS-kompatibler biometrischer Sensor erforderlich. „In jedem Fall sollte WHfB mit dem höchsten Sicherheitsniveau konfiguriert werden, was der ESS-Modus sein kann.“

• Für das höchste Sicherheitsniveau sollte ein TPM verwendet werden. „In the case of WHfB, use of the TPM is essential to ensure the highest degree of security.“

• Pro Gerät sollte nicht mehr als ein Benutzer für WHfB registriert werden. Dadurch wird das Risiko reduziert, dass ein lokaler Administrator die Identität eines anderen registrierten Domänenbenutzers übernimmt. „Aus diesem Grund empfehlen wir, dass nicht mehr als ein Benutzer auf einem einzigen Rechner registriert werden sollte.“

Biometrische Anmeldung an Windows, Ressourcen und Cloud

Windows Hello for Business konfigurieren

• Für die Anmeldung sollte anstelle biometrischer Verfahren eine PIN-Authentifizierung in Betracht gezogen werden.

• Die PIN sollte stark sein und zusammen mit einem TPM verwendet werden. „In Verbindung mit einem TPM mit Schutz vor Brute-Force-Angriffen und einer starken PIN kann diese Methode relativ sicher eingesetzt werden.“

• WHfB-Clients sollten umfassend gehärtet werden.

• Die Domäne sollte gehärtet und eine klare Benutzertrennung umgesetzt werden.

• Es sollte ein konsequentes administratives Tiering umgesetzt werden. Zusätzlich empfehlen die Analysten eine Festplattenverschlüsselung mit einem starken Passwort. „So können beispielsweise Tiering und Festplattenverschlüsselung mit einem starken Passwort einer Kompromittierung entgegenwirken.“

• Der Einsatz externer biometrischer Geräte sollte durch geeignete Konfigurationsmaßnahmen unterbunden werden. Alternativ kann ESS verwendet werden, da dieser Modus nur integrierte Sensorik unterstützt. „WHfB ermöglicht es, dies via Konfigurationsmaßnahmen zu unterbinden. Weiterhin kann ESS genutzt werden, welches keine externen Geräte, sondern nur in Rechnersystemen integrierte Sensorik unterstützt.“

Mithilfe von Analysen wie dieser will das BSI IT-Sicherheitsbeauftragte und Administratorinnen und Administratoren befähigen, zu bewerten, ob bestimmte Windows-Dienste, wie in diesem Fall Hello for Business für den Einsatz in ihren Szenarien geeignet ist und wie sichere Konfigurationen vorgenommen werden können. In den kommenden Monaten werden zahlreiche weitere Veröffentlichungen, mit Ergebnissen aus dem Projekt „Windows seziert“ folgen, wie zum Beispiel Analysen zu „Protected Process Light“ und „Control Flow Guard“,.

Künstliche Intelligenz auf dem Prüfstand

BSI legt Prüfkatalog A5 für vertrauenswürdige KI vor

(ID:50901805)