Sicherheit von SSH steht und fällt mit dem Key Management

Datensicherheit im Netzwerk dank sicherer Schlüssel

| Autor / Redakteur: Jason Thompson, SSH Communications Security / Stephan Augsten

Nachlässige Schlüsselverwaltung schafft Probleme

Verbindet sich ein Anwender über Secure Shell mit dem Server, dann entsteht auf Basis eines kryptographischen Schlüsselpaars eine Vertrauensbeziehung zwischen User-PC und Server. Diese Beziehung wird auf Seiten des Servers erstellt und verwaltet – also auf Systemen, deren Lebenszyklus oft schon in den Neunziger Jahren begonnen hat.

Leider kann keines dieser Systeme herausfinden, wie diese Vertrauensbeziehung seinerzeit zustande gekommen ist und ob sie überhaupt noch existiert. Deshalb müssen Administratoren die Beziehungen bei Bedarf manuell zurückverfolgen. In einem Netzwerk mit möglicherweise tausenden von Schlüsseln gehen hinterlegte Vertrauensbeziehungen aber beinahe zwangsläufig verloren.

Findet ein Angreifer einen entsprechenden Schlüssel, dann könnte er die Identität eines autorisierten Nutzers annehmen und dessen Freiheiten nutzen. Aus diesem Grund eröffnet die schlechte Verwaltung von SSH-Schlüsseln eine ernstzunehmende Schwachstelle. Eine Umfrage zum Key Management, an der sich einige der größten Unternehmen weltweit beteiligt haben, zeigt einige Trends auf:

  • Oft werden Schlüssel nicht gelöscht, selbst wenn damit verknüpfte Entitäten (seien es Anwendungen oder Nutzer) sich nicht mehr im Unternehmen befinden.
  • Jeder zehnte Anwender-Schlüssel ermöglicht einen administrativen Zugriff bzw. gewährt Root-Rechte.
  • Die gleichen SSH-Host-Schlüssel werden gerne auf tausenden Rechnern hinterlegt, so dass das Netzwerk anfällig für Man-in-the-Middle-Attacken wird.
  • Unternehmen wissen nur selten, welcher Schlüssel für welche Zwecke dient.
  • Einige Organisationen erlauben ihren Administratoren, SSH-Schlüssel ohne jegliche Kontroll- oder Freigabeprozesse nach Belieben zu generieren oder zu löschen.
  • Schlüssel-basierte Zugriffsrechte werden im Wesentlichen permanent gewährt – was beispielsweise dem Compliance-Grundsatz von SOX und PCI DSS widerspricht, inaktive Verbindungen ordnungsgemäß zu terminieren.

Probleme mit der Zugriffskontrolle in SSH-gestützten Umgebungen hängen somit glücklicherweise nicht mit irgendwelchen Fehlern im Protokoll selbst zusammen. Sicherheits- und Compliance-Risiken sind vielmehr zurückzuführen auf:

  • Mangelnde Zeit und Ressourcen, um die Probleme zu verstehen und aufzuspüren.
  • Schlechte Tools und mangelnde Richtlinien hinsichtlich der Schlüsselverwaltung.
  • Jahrelanges Fehlen von Regelwerken und Richtlinien für das Key Management.
  • Fehlendes Verständnis für die Tragweite und potenzielle Konsequenzen.
  • Die mangelnde Bereitschaft von Auditoren Sachverhalte aufzudecken, für die sie selber keine Lösungen liefern können.
  • Den Fehler, den automatisierten Zugriff von inaktiven Benutzern nicht zu unterbinden.

Inhalt des Artikels:

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 42412209 / Verschlüsselung)