Broadcast Defense 5: Fehlende Zugriffskontrolle

Angriffstyp des Monats: Wenn die Tür nur so aussieht, als wäre sie zu

Stellt euch eine alte Truhe vor, verschlossen mit einem schweren Schloss. Jemand kniet davor, ein Draht in der Hand, bereit, sich Stift für Stift durchzuarbeiten, so wie man es aus Geschichten über Schatzsucher und Diebe kennt. Doch nach dem ersten vorsichtigen Ansetzen passiert etwas Unerwartetes: kein Widerstand, kein Klicken der Stifte, gar nichts. Ein genauerer Blick verrät, warum. Im Schloss ist überhaupt kein Zylinder verbaut. Es hängt nur zur Abschreckung da, ein Vorhängeschloss ohne Innenleben. Der Deckel lässt sich einfach anheben.

Genau dieses Prinzip beschreibt eine der häufigsten Schwachstellen in digitalen Systemen: die fehlerhafte Zugriffskontrolle. Ein System zeigt an, wer worauf zugreifen darf, ähnlich wie das Schloss an der Truhe, prüft das im Hintergrund aber nicht wirklich nach. Für den Nutzer sieht alles korrekt abgesichert aus: Ein Klick auf einen gesperrten Bereich wird abgelehnt, eine Fehlermeldung erscheint, ein Button ist ausgegraut. Doch diese Prüfung findet oft nur an der Oberfläche statt, im Browser oder in der App selbst. Sie ist sichtbar, aber wirkungslos. Wer diese Oberfläche einfach umgeht, etwa indem er eine Anfrage direkt an das dahinterliegende System schickt, stößt auf keinen weiteren Widerstand mehr, das Schloss war nie wirklich da.

Eine fehlerhafte Zugriffskontrolle lässt sich ganz leicht aushebeln.

Für Angreifer ist das besonders attraktiv, weil es keine ausgefeilte Technik braucht. Kein Passwort muss geknackt, keine Software manipuliert werden. Es reicht, die sichtbare Kontrolle zu ignorieren und direkt mit dem System dahinter zu sprechen, eine Fähigkeit, die eher Neugier und technisches Grundverständnis erfordert als aufwendiges Hacking-Wissen.

In der Medienbranche kommt eine Besonderheit hinzu: Selten arbeitet ein Sender oder Broadcaster vollständig für sich allein. Viele Systeme sind über gemeinsame Plattformen mit Agenturen, Produktionsfirmen und externen Dienstleistern verbunden, jede dieser Verbindungen ist eine zusätzliche Tür. Eine einzige übersehene Prüfung kann ausreichen, um von einem einfachen Nutzerkonto bis in produktionskritische Bereiche vorzudringen.

Die entscheidende Frage lautet daher: Wie lassen sich solche unsichtbaren Schwachstellen erkennen, bevor sie ausgenutzt werden?

Genau hier setzt der [R.E.D.] Schwachstellen-Scan von Riedel Networks an: Dieser kann öffentlich erreichbare Systeme auf genau solche Fehler in der Zugriffskontrolle untersuchen, bevor sie jemand anderes findet. Eine Prüfung wie diese hätte auch im beschriebenen Fall helfen können, die Schwachstelle frühzeitig aufzudecken, statt sie erst durch eine Sicherheitsforscherin entdeckt werden zu lassen.

Chris Rock ist ein bekannter Cyber-Aktivist.

Besonders anschaulich und erschreckend wird das vorgestellte Angriffsprinzip greifbar, wenn man sich einen renommierten Fall des Hackers und Cyber-Aktivisten Chris Rock ansieht. Chris, der auch bei der Entwicklung der Managed IT-Security Lösung [R.E.D.] Riedel Enterprise Defense mitgeholfen hat, ist in der Szene einer der bekanntesten Stimmen und regelmäßig Sprecher auf der DEF.CON in Las Vegas.

Vor einigen Jahren gelang es ihm in verschiedenen Ländern, die Geburten- und Sterberegister zu infiltrieren. Er verfügte fortan über die Möglichkeit, Menschen »sterben zu lassen« oder gar neu zu erschaffen. Die Implikationen und Möglichkeiten, hieraus Schaden zu verursachen oder sich selbst zu bereichern, stellt er noch heute gerne anschaulich vor. Das Verrückte: In diesem speziellen Fall war keine hohe technische Expertise von Nöten: Die unzureichende Identitätsprüfungen und lückenhafte Kontrollmechanismen reichten aus, um Zugang zu sensiblen Prozessen zu erhalten. Und man mag es kaum glauben: Fragt man Chris, sind einige der Systeme bis heute, trotz mehrfacher Meldung, weiterhin nicht komplett geschützt.

Wenn Sie mehr über den erwähnten Fall, Chris Rock, oder seine genutzte Expertise zur Entwicklung von Riedel Enterprise Defense [R.E.D.] erfahren möchten, füllen Sie bitte das Kontaktformular von Riedel Networks aus. Die Experten freuen sich über den interessierten Austausch!

Seite 1: Basiswissen Angreifer
Seite 2: Sicherheitsvorfall des Monats: Durch die Lücke zum Generalschlüssel
Seite 3: Angriffstyp des Monats: Endpoint, Netzwerk, Cloud  – Verlosung Schwachstellen-Scan