Passwort-Irrsinn: Sicherheitsrisiko Windows Remote-Desktop-Protokoll

Nutzer können sich auch mit bereits widerrufenen Passwörtern über Windows Remote-Desktop anmelden - ein Umstand, der laut einem Sicherheitsforscher die grundlegenden Annahmen über Passwort­sicherheit infrage stellt, aber von Microsoft gewollt ist.

Sicherheitsrisiko durch unveränderte Anmeldedaten

Sicherheitsforscher warnen, dass dieses Verhalten de facto eine nicht sichtbare Hintertür schafft, die unbefugten Zugriff auf Computer ermöglicht. Das meldet das Online-Magazin ArsTechnica und erläutert das dahinterliegende Problem.

Das Remote-Desktop-Protokoll (RDP) ist in Windows integriert und erlaubt es Nutzern, sich von entfernten Standorten in ihr System einzuloggen, als säßen sie direkt davor. In der Regel wird empfohlen, sofort nach dem Verdacht auf eine Kompromittierung eines Kontos das Passwort zu ändern - ein Schritt, der normalerweise den Zugriff durch unautorisierte Dritte unterbinden sollte. Doch Microsoft hat entschieden, dass diese Praxis nicht zwingend zu einem sofortigen Ausschluss des ehemaligen Passworts für RDP-Anmeldungen führt.


Diese Entscheidung lässt Sicherheitsexperten aufhorchen. Daniel Wade, ein unabhängiger Forscher, wies auf dieses ungewöhnliche Verhalten hin und beschrieb in seinem Bericht, der ArsTechnica vorliegt, wie Benutzer weiterhin über RDP auf Systeme zugreifen können, selbst nachdem sie ihre Passwörter geändert haben.

Es ist nicht nur ein Fehler, sondern ein Vertrauensbruch. Nutzen die Menschen diese Funktion, gehen sie davon aus, dass das Ändern ihres Passworts sie schützt.

Die Aufdeckung löste Besorgnis aus, da alte Anmeldedaten in vielen Fällen weiterhin gültig sind, während neuere Passwörter sogar ignoriert werden könnten. Microsoft hat dies als eine bewusste Design­entscheidung gerechtfertigt und in einem Support-Dokument genauer erläutert. Microsoft hat zudem wohl erklärt, dass man die Sicherheits­bedenken kennt, aber nicht teilt.

Nach Auskunft des Unternehmens soll dies sicherstellen, dass Nutzer nicht ungewollt ausgesperrt werden, wenn ihre Systeme offline sind. Wade hebt hervor, dass gerade in Fällen eines kompromittierten Microsoft- oder Azure-Kontos das Ändern des Passworts nicht den erhofften Schutz bietet.

Angreifer könnten durch die Rückfalloption, sich mit dem alten Passwort über RDP Zugriff zu verschaffen, ungehindert auf sensible Daten zugreifen. "Dies schafft eine stille, entfernte Hintertür in jedes System, in dem das Passwort jemals zwischengespeichert wurde", fasst Wade zusammen.

Die technische Basis hinter diesem Verhalten ist die lokale Zwischen­speicherung von Anmelde­informationen. Wenn sich ein Benutzer mit einem Microsoft- oder Azure-Konto anmeldet, werden die Anmelde­daten lokal auf dem Computer gespeichert. In der Konsequenz vergleicht Windows bei jeder RDP-Anmeldung nur die lokalen Daten - eine Maßnahme, die den Fernzu­griff über widerrufene Passwörter weiterhin erlaubt.

Microsoft hat zwar seine Online-Dokumentation aktualisiert, um die Nutzer über dieses Verhalten zu informieren, jedoch gibt es keine klaren Anweisungen zur Handhabung der Situation, wenn ein Konto kompromittiert wurde. Laut Will Dormann, einem Sicherheitsanalysten, bleibt den Administratoren letztendlich nur die Möglichkeit, RDP so zu konfigurieren, dass es nur mit lokal gespeicherten Anmeldedaten arbeitet, um sich abzusichern.

Was meint ihr zur Diskussion um die grundlegende Sicherheit und zur Vertrauenswürdigkeit?


Siehe auch: