"Single Sign-on"-Systeme waren sehr löcherig

Schlüssel, schloss, Aufschließen Bildquelle: public-domain-image.com
Die so genannten "Single Sign-On"-Systeme sollen den Alltag im Web für die Nutzer bequemer machen, ohne, dass es eine Einbuße an Sicherheit gibt. Allerdings sind die verfügbaren Systeme oft selbst relativ unsicher, wie Forscher der Ruhr-Universität Bochum (RUB) herausfanden.
Ungefähr 80 Prozent der untersuchten Systeme wiesen massive Sicherheitslücken auf, teilten die Experten vom Institut für IT-Sicherheit der RUB nun mit. Das "Single Sign-On"-Verfahren, kurz SSO, kann mit einem gut bewachten Tor verglichen werden, das die sensiblen Firmendaten schützt: Wer den Eingang einmal passiert hat, kann auf alle Informationen und Dienste zugreifen, denn er gilt als angemeldet und zugriffsberechtigt.

Viele SSO-Systeme setzen auf die weit verbreitete Security Assertion Markup Language (SAML). Die Identitätsinformationen werden in einer SAML-Nachricht gespeichert und durch eine digitale Signatur geschützt. Doch die Bochumer Forscher fanden einen Weg, diesen Schutz zu umgehen.

"Mit einem neuartigen XML Signature Wrapping-Angriff haben wir sämtliche Sicherheitsfunktionen der digitalen Signatur komplett ausgehebelt", berichtete Jörg Schwenk vom Lehrstuhl für Netz- und Datensicherheit. "Dadurch konnten wir uns jede beliebige Identität aneignen und uns sogar als Systemadministratoren ausgeben."

Die Wissenschaftler testeten 14 weit verbreitete SAML-Anbieter und -Systeme. Davon wiesen 12 kritische Lücken auf. Anfällig waren unter anderem der Cloud-Anbieter Salesforce, das IBM DataPower Security Gateway, Onelogin (benutzt in Joomla, Wordpress, SugarCRM und Drupal) und das Framework OpenSAML (Shibboleth, SuisseID und OpenSAML).

Nachdem die Wissenschaftler die Sicherheitslücken entdeckt hatten, kontaktierten sie umgehend die betroffenen Firmen und schlugen Gegenmaßnahmen vor. "Durch die professionelle Zusammenarbeit mit den Herstellern konnten die kritischen Schwachstellen in den betroffenen Produkten geschlossen werden", so Juraj Somorovsky vom Lehrstuhl für Netz- und Datensicherheit.

Der Fall zeigt allerdings, dass zentralisierte Systeme zwar oft bequem sind, aber auch ein hohes Risiko bergen. Denn ein nicht so wohlgesonnener Angreifer hätte hier Schaden über sehr viele Dienste hinweg anrichten können. Schlüssel, schloss, Aufschließen Schlüssel, schloss, Aufschließen public-domain-image.com
Diese Nachricht empfehlen
Kommentieren4
Jetzt einen Kommentar schreiben


Alle Kommentare zu dieser News anzeigen
Kommentar abgeben Netiquette beachten!

Jetzt als Amazon Blitzangebot

Ab 14:00 Uhr Logitech G403 Wired Prodigy-Optische RGB Gaming Maus (12,000 DPI, mit 6 programmierbaren Tasten, USB)
Logitech G403 Wired Prodigy-Optische RGB Gaming Maus (12,000 DPI, mit 6 programmierbaren Tasten, USB)
Original Amazon-Preis
59,00
Im Preisvergleich ab
54,04
Blitzangebot-Preis
47,70
Ersparnis zu Amazon 19% oder 11,30

Video-Empfehlungen

Tipp einsenden