Definition Replay-Angriff Was ist ein Replay-Angriff?

Ein Replay-Angriff ist eine Cyberangriffsmethode, bei der eine legitime Datenübertragung aufgezeichnet und verzögert erneut eingespielt wird. Ziel ist es, eine fremde Identität vorzutäuschen oder Aktionen erneut ausazulösen. Mithilfe von Sicherheitsmaßnahmen wie Nonces lassen sich Replay-Angriffe verhindern.

Ein Replay-Angriff ist eine Cyberangriffsmethode. Sie wird auch als Angriff durch Wiedereinspielung oder Wiedereinspielungsangriff bezeichnet. Die Angreifer fangen bei dieser Methode eine gültige, legitime Datenübertragung zwischen zwei Kommunikationspartnern ab, zeichnen sie auf und spielen sie zu einem späteren Zeitpunkt zu böswilligen Zwecken wieder ein. Bei den wiedereingespielten Daten kann es sich um Anmeldeinformationen, Authentifizierungssequenzen, Transaktionsdaten oder andere Arten von Informationen handeln, die sich für Angriffe ausnutzen lassen.

Ohne entsprechende Gegenmaßnahmen sind Replay-Angriffe sehr gefährlich, da Angreifer ohne Kenntnis von Zugangsdaten eine fremde Identität vortäuschen oder Aktionen erneut auslösen können. Der eigentliche Inhalt der wiedereingespielten Datenübertragung muss dem Angreifer nicht bekannt sein. Die Inhalte können nach wie vor korrekt verschlüsselt sein. Für das angegriffene System sehen die wiederholten Daten ohne technische Maßnahmen gegen eine Wiedereinspielung, zum Beispiel Nonces, Zeitstempel, Sequenznummern und andere, wie gültige Daten oder Aktionen aus. Der Schutz vor Replay-Angriffen ist daher ein unverzichtbarer Bestandteil sicherer Kommunikations- und Authentifizierungsprotokolle.

Cyberkriminelle führen Replay-Angriffe im Netzwerkbereich beispielsweise bei der Authentifizierung gegenüber einem System, bei der Steuerung von IoT-Geräten oder bei Transaktionen im Online-Banking aus. Auch drahtlose Datenübertragungen und Kommunikationsprotokolle, wie sie für die Kommunikation mit drahtlosen Schlüssel- und Zugangssystemen verwendet werden, können anfällig gegenüber Replay-Attacken sein.

Die 9 häufigsten Cyberangriffe

Auf diese Cyberattacken müssen Unternehmen vorbereitet sein

Wie ist der prinzipielle Ablauf eines Replay-Angriffs?

Technisch können Replay-Angriffe unterschiedlich ablaufen. Der prinzipielle Ablauf eines Replay-Angriffs ist aber immer gleich und kann in diesen vier grundlegenden Schritten beschrieben werden:

• 1. Ein Angreifer verschafft sich Zugriff auf die Kommunikation zwischen zwei Kommunikationspartnern (zum Beispiel zwischen einem Client und einem Server), indem er nicht an sich adressierte Datenpakete mitliest oder sich als Man-in-the-Middle in einem Datenübertragungssystem platziert.

• 2. Der Angreifer zeichnet die zwischen den Kommunikationspartnern ausgetauschten Daten auf und speichert sie in unveränderter Form zwischen.

• 3. Zu einem späteren Zeitpunkt sendet der Angreifer die aufgezeichneten Daten mit den Authentifizierungsinformationen oder anderen vertrauenswürdigen Daten erneut an das Zielsystem. Der Angreifer benötigt kein exaktes Wissen über den Inhalt der wiederholten Daten und muss diese nicht entschlüsseln.

• 4. Das Zielsystem erkennt nicht, dass es sich um wiederholte Nachrichten handelt. Es hält die wiedereingespielte Datenübertragung für gültig und gewährt dem Angreifer Zugang zu Ressourcen oder führt eine bestimmte Aktion erneut aus.

Bibliothekspaket Net::OAuth betroffen

Enorm kritische Schwachstelle in Perl

Wie lassen sich die beiden Begriffe Replay-Angriff und Man-in-the-Middle-Angriff voneinander abgrenzen?

Die Angriffsmethoden Man-in-the-Middle-Angriff und Replay-Angriff sind beides Formen von Cyberangriffen, die auf dem Abfangen der Kommunikation zwischen zwei Parteien basieren. Der Replay-Angriff wird teils auch als eine einfachere Variante oder Unterform eines Man-in-the-Middle-Angriffs bezeichnet. Trotz der Überschneidungen der beiden Begriffe, können die Cyberangriffsmethoden hinsichtlich ihres Ablaufs, ihrer Ziele und ihrer eingesetzten Verfahren voneinander abgegrenzt werden.

Ein Replay-Angriff fängt eine Datenübertragung ab und wiederholt die zuvor legitim übertragenen Daten verzögert, ohne Veränderung beziehungsweise mit nur minimalen Veränderungen. Was die eigentlichen Inhalte der wiedereingespielten Daten angeht, verhält sich ein Replay-Angreifer passiv. Ein Man-in-the-Middle-Angriff hingegen ist in der Regel komplexer. Auch hier fängt der Angreifer die Kommunikation zweier Parteien ab. Anschließend wird er aber aktiv und greift in den Kommunikationsprozess ein, indem er die abgefangenen Daten verändert. Diese manipulierten Daten können in Echtzeit, noch während der gerade stattfindenden Kommunikation, an das Quell- oder Zielsystem ausgespielt werden. Der Angreifer klinkt sich aktiv in die Kommunikation der beiden Parteien ein, liest Daten in Echtzeit mit und kann Daten einfügen oder verändern und so die Kommunikation steuern oder die ausgetauschten Nachrichten für seine Zwecke manipulieren.

Was haben unsichtbare Agenten und Schnüffler in Dateien zu suchen?

Sniffing- und Man-in-the-Middle-Angriffe erkennen und verhindern

Welche Ziele verfolgen die Angreifer mit einem Angriff durch Wiedereinspielung?

Ziel eines Replay-Angriffs ist es, durch das Abfangen und Wiedereinspielen eines gültigen Datenaustauschs dem angegriffenen System eine legitime Kommunikation vorzuspielen und es dadurch zu täuschen. Die Angreifer möchten sich gegenüber dem Zielsystem, zum Beispiel durch die erneute Nutzung eines Session-Tokens, authentifizieren und Zugriff auf bestimmte Ressourcen oder Daten erhalten. Ziel eines Replay-Angriffs kann es auch sein, sensible Transaktionen wie Überweisungen zu wiederholen und vom angegriffenen System erneut ausführen zu lassen. Cyberkriminelle setzen Replay-Angriffe auch ein, um Systeme durch wiederholte Anfragen oder Befehle gezielt zu stören und ihre Verfügbarkeit negativ zu beeinflussen. Im Umfeld von drahtlosen Zugangssystemen, beispielsweise von RFID-Systemen oder schlüssellosen Fahrzeug-Systemen, werden die im Rahmen eines Replay-Angriffs abgefangenen und wiedereingespielten Funkdaten genutzt, um unbefugt Zugang zu erhalten oder Sicherheitsmechanismen wie Türen zu öffnen.

Welche Maßnahmen gibt es zum Schutz vor Replay-Angriffen?

Gelingt es einem Angreifer, Zugriff auf die Kommunikation zweier Parteien zu erhalten und die ausgetauschten Nachrichten aufzuzeichnen, lässt sich ohne geeignete Schutzmaßnahmen durch einfaches erneutes Einspielen und Wiederholen des abgefangenen Datenaustauschs großer Schaden anrichten. Angreifer erhalten unberechtigt Zugang zu Ressourcen oder führen Aktionen erneut aus. Besonders gefährlich kann das sein, da es in öffentlichen Netzwerken wie dem Internet, aber auch in geschlossenen Netzen oft gar nicht möglich ist, dass die Kommunikationsdaten anderer Netzwerkteilnehmer verborgen bleiben. Selbst wenn die Kommunikation vollständig verschlüsselt erfolgt und andere Netzwerkteilnehmer keine Kenntnis über die Inhalte der Nachrichten haben, lassen sich diese für Replay-Angriffe missbrauchen.

Warum mobile Authentifizierung nicht genug ist

Was Phishing as a Service so gefährlich macht

Aufgrund des großen Missbrauchspotenzials und der einfachen Durchführbarkeit von Replay-Angriffen gehört der Schutz vor dieser Art von Angriff zu den essenziellen Bestandteilen sicherer Kommunikations- und Authentifizierungsprotokolle. Es müssen entsprechende technische Maßnahmen definiert und ergriffen werden, um das Wiedereinspielen von Datenübertragungen zuverlässig zu erkennen und wiederholte Nachrichten abzuweisen. Um dies zu realisieren, gibt es verschiedene Schutzmechanismen. In modernen Protokollen wie TLS/SSL, IPsec oder Kerberos sind meist mehrere dieser Schutzmechanismen standardmäßig implementiert.

Eine häufig genutzte Schutzmaßnahme ist die Verwendung einer sogenannten Nonce. Eine Nonce ist eine einmalig generierte zufällige Zeichenfolge, die jeweils nur ein einziges Mal für einen bestimmten Zweck verwendet werden darf. Wiederholt ein Angreifer bei einem Replay-Angriff eine alte, bereits benutzte Nonce, erkennt dies das Zielsystem und weist die Nachricht ab.

Eine weitere Schutzmaßnahme ist das Einfügen von Zeitstempeln in den Datenaustausch. Bei jeder eintreffenden Nachricht wird geprüft, ob der Zeitstempel innerhalb eines zugelassenen Zeitfensters liegt. Die bei einem Replay-Angriff verzögert eingespielten Daten enthalten alte Zeitstempel und können identifiziert werden.

Viele Kommunikationsprotokolle verwenden zudem Sequenznummern und versehen Nachrichten mit fortlaufenden Nummern. Die Kommunikationspartner akzeptieren nur Nachrichten mit korrekten, fortlaufenden Nummern. Wiederholt gesendete Daten eines Replay-Angriffs werden anhand der Sequenznummern identifiziert und abgewiesen.

Passwortlose Authentifizierung

Passkeys statt Passwörter und Phishing

Die Verwendung von Einmalpasswörtern (OTPs) und Sitzungs-Token kann gegenüber Replay-Angriffen ebenfalls hilfreich sein. Die Passwörter oder Token gelten jeweils nur für eine Anmeldung oder Sitzung beziehungsweise nur für einen begrenzten Zeitraum oder eine bestimmte Anzahl von Transaktionen. Durch Replay-Angriffe wiederholte Token oder Passwörter haben keine Gültigkeit mehr.

Weitere Maßnahmen zum Schutz vor Replay-Angriffen sind:

• Challenge-Response-Verfahren mit für jede Authentifizierungsanfrage individuell zu lösenden Herausforderungen (Challenges)

• Überprüfung der Integrität und Authentizität jeder Nachricht und ihres Absenders beispielsweise durch sogenannte Message Authentication Codes (MACs)

• Nutzung der Mehrfaktor-Authentifizierung mit der Kombination mehrerer unabhängiger Merkmale (beispielsweise Passwort und Hardware-Token) für eine gültige Authentifizierung

(ID:50539018)