Mit den Tipps und Workshops im ADMIN-Magazin 03/2013 sichern Administratoren ihre Webserver und Netze gegen Angriffe ab: gegen Abhören sensibler Informationen, ... (mehr)

Benachrichtigungen

Für ein Notfall-Passwort-Management sind Benachrichtigungen bei Zugriffen auf Passwörter eine essenzielle Anforderung. Passwort-Management-Lösungen, die explizit für den Mehrbenutzermodus entwickelt wurden, setzen dies zuweilen nicht vollständig um. So werden Nachrichten über Siegelbrüche in PSE nur programmintern versendet. Das bedeutet, dass man eine Benachrichtigung nur dann angezeigt bekommt, wenn man das Programm als Passwortverantwortlicher gerade benutzt. Im Allgemeinen wird jedoch die Software erst bei Bedarf gestartet und somit ist eine zeitnahe Benachrichtigung an die Verantwortlichen nicht sichergestellt.

Es ist zwar möglich, sich alle innerhalb von PSE verschickten Nachrichten an genau eine fest vorgegebene E-Mail-Adresse weiterleiten zu lassen, jedoch ist es im Allgemeinen eher erwünscht, dass die E-Mails an die für den jeweiligen Passworteintrag zuständigen Administratoren gehen. Dazu lässt sich das in Listing 1 vorgestellte Python-Skript verwenden, das die E-Mails von einem festen IMAP-Account liest, parst und an den gewünschten Empfänger weiterleitet.

Listing 1

Weiterleitung von PSE-Nachrichten

 

Zusätzlich werden die abgerufenen E-Mails in einem speziellen Ordner archiviert. Innerhalb des Skripts wird ausgenutzt, dass die E-Mails, die von PSE an eine feste Zieladresse versendet werden, eine vorher definierte Struktur haben und somit einfach geparst werden können, um die eigentlich gewünschte Empfängeradresse der E-Mail-Benachrichtigung zu ermitteln.

Sicherheitsbedenken

Viele Sicherheitsbedenken der Nutzer beruhen auf einem subjektiven Sicherheitsgefühl. So ist es beispielsweise nicht unwahrscheinlich, dass Nutzer sich dagegen sträuben, ein verschlüsseltes und versiegeltes Passwort in einer serverbasierten Datenbank zu speichern, weil dort viele potenzielle Gefahren drohen: Beispielsweise eine nicht ausreichende Verschlüsselung, eine Backdoor, ein Bug im verwendeten Produkt oder ein klassischer Cracker, der sich per Remote Exploit Zugriff zu den hinterlegten Daten verschafft.

Neben diesen subjektiven Sicherheitsbedenken muss man sich jedoch durchaus bewusst sein, dass ein zentraler Ort, an dem ein Großteil der Passwörter und sonstigen Zugriffsberechtigungen einer Organisation abgelegt ist, tatsächlich ein attraktives Ziel für potenzielle Angreifer darstellt. Aus diesem Grund ist es wichtig, im Vorfeld zu untersuchen, ob die gewählte Software-Lösung und das System, auf dem sie betrieben wird, den eigenen Sicherheitsanforderungen genügt.

Da es bei Closed-Source-Lösungen nicht mit praktikablem Aufwand möglich ist, die Software auf mögliche Schwachstellen oder absichtlich eingebaute Backdoors zu untersuchen, ist es hilfreich, sich über die Sicherheitspolitik des Herstellers in der Vergangenheit zu informieren. Aber selbst Open-Source-Lösungen sind in der Regel nicht frei von Schwachstellen, da solche Projekte einerseits so umfangreich sind, dass sie durch ein einfaches Lesen des Codes nicht in ausreichendem Maße analysiert werden können. Andererseits sind organisationsweite Passwort-Management-Lösungen ein eigenes Spezialgebiet, hinter dem nur selten große und zugleich herausragend aktive Open-Source-Communities stehen. Aus diesem Grund bietet es sich auch hier an, zu untersuchen, wie es beispielsweise um die Reaktionszeiten der Entwickler nach gemeldeten Sicherheitsmängeln steht und welche Arten von Sicherheitslücken von ihnen in der Vergangenheit schon zu beheben waren.

Viele Hersteller versprechen in ihren Produktbeschreibungen, dass Passwort-einträge mit den neuesten und sichersten kryptographischen Algorithmen verschlüsselt in der Datenbank abgespeichert werden. Der Nachweis dieser Behauptung ist jedoch nur sehr schwer bis gar nicht zu erbringen und selbst bei Open-Source-Lösungen ist die Korrektheit der Implementierung nur mit größerem Aufwand nachweisbar. Zudem sollte berücksichtigt werden, dass die verschlüsselte Speicherung der Passworteinträge nur einer von mehreren wichtigen Sicherheitsbausteinen ist. Mindestens genauso wichtig sind die zuverlässige Implementierung des Berechtigungs-Managements und dem Schutzbedarf angemessene Authentifizierungsmöglichkeiten. Beispielsweise beugt eine Zwei-Faktor-Authentifizierung dem Problem vor, dass ein vom Angreifer ausgespähtes Benutzerpasswort den Zugriff auf alle seine Passworteinträge ermöglicht.

Ähnliche Artikel

comments powered by Disqus

Artikel der Woche

Eigene Registry für Docker-Images

Wer selber Docker-Images herstellt, braucht auch eine eigene Registry. Diese gibt es ebenfalls als Docker-Image, aber nur mit eingeschränkter Funktionalität. Mit einem Auth-Server wird daraus ein brauchbares Repository für Images. (mehr)
Einmal pro Woche aktuelle News, kostenlose Artikel und nützliche ADMIN-Tipps.
Ich habe die Datenschutzerklärung gelesen und bin einverstanden.

Konfigurationsmanagement

Ich konfiguriere meine Server

  • von Hand
  • mit eigenen Skripts
  • mit Puppet
  • mit Ansible
  • mit Saltstack
  • mit Chef
  • mit CFengine
  • mit dem Nix-System
  • mit Containern
  • mit anderer Konfigurationsmanagement-Software

Google+

Ausgabe /2019