Praktisch jeder kennt sie, viele nutzen sie: Mit der steigenden Anzahl von parallel genutzten Geräten, etwa einem Desktop-Computer zu Hause, einem Notebook für unterwegs und dem Tablet für die Couch, ist es für viele Anwender wünschenswert, dass unterschiedlichste Arten von Dokumenten auf all diesen Geräten vorliegen. Sie sollten dort auch immer den gleichen, jeweils aktuellen Stand aufweisen.
Aber auch zur Kommunikation zwischen Teammitgliedern werden solche Dienste heute gerne eingesetzt, etwa zum Austausch von gemeinschaftlich bearbeiteten Dokumenten, gerade auch bei Softwareentwicklerteams oder kleinen Unternehmen, etwa Start-ups.
Foto: Gazlast - shutterstock.com
Die Anbieter von Diensten wie Dropbox, Box oder Google Drive stellen den Nutzern in den meisten Fällen weitestgehend ausreichende Kapazitäten im Gigabyte-Bereich zur Verfügung. Microsoft bietet seinen Abonnenten von Office365 mit einem Volumen von 1 Terabyte de facto unlimitierten OneDrive-Speicher an.
Missbrauch von Zugriffsschlüsseln
Der sogenannte "Man in the cloud"-Angriff wurde auf der BlackHat-Konferenz in Las Vegas im August detailliert dargestellt. Sicherheitsexperten von Imperva belegten hierbei die Bedrohung über eine Vielzahl von Diensten (OneDrive, Google Drive, Box und Dropbox) hinweg.
Die nachgewiesene Lücke beruht insbesondere auf der konzeptionellen Ermöglichung eines bequemen und transparenten Einsatzes des Synchronisations- und Speicherdienstes. Die kontinuierliche Nutzung eines Programmes, das mit dem jeweiligen Serverdienst kommunizieren kann, setzt die einmalige Authentifizierung und Autorisierung des jeweiligen Programmes und der sie ausführenden Instanz voraus. Dies kann über proprietäre Protokolle erfolgen oder über das mittlerweile weitverbreitete OAuth2-Verfahren.
Hat sich der Anwender gegenüber dem Dienst erfolgreich authentifiziert und der Nutzung durch das jeweilige Programm zugestimmt, das durchaus auch der native Client zur Synchronisation sein kann, erhält die Applikation einen dauerhaften nutzbaren, wiederverwendbaren Access Token. Mit diesem weist sich das jeweilige Programm in Zukunft gegenüber dem Dienst aus. Ein erneutes Login durch den Anwender ist üblicherweise nicht mehr notwendig, der Token wird hierfür lokal gespeichert und kontinuierlich wiederverwendet. Selbst ein Passwortwechsel erfordert üblicherweise nicht die Erneuerung des Tokens, da dieser nach Erstellung unabhängig von dem Passwort agiert.
Aus der Cloud auf den Endpoint
Die Einstiegshürde für einen solchen Angriff ist zugegebenermaßen hoch, benötigt sie doch einen bereits erfolgten Einbruch in ein laufendes System. Dies kann etwa durch einen - aus Sicht des Angreifers - erfolgreichen DriveBy-Download oder eine vergleichbare Attacke erfolgen, bei der ausführbarer Code auf der Maschine des Angegriffenen installiert werden kann. Natürlich kann auch hier einmal mehr der unüberlegte Klick auf ein unsicheres Attachment in einer Mail genutzt werden.
Hat der Angreifer hierdurch Zugriff auf die Maschine, kann er im Benutzerkontext des aktuellen Anwenders auf den jeweiligen Token zugreifen. Bemerkenswert ist, dass hierbei kein Zugriff mehr auf den Benutzernamen oder das Passwort notwendig ist. Die jeweiligen Speicherorte des Tokens konnten in allen Diensten ermittelt und ausgelesen werden.
Zwischen Ausspähung und Botnet
Ist dies erfolgt, sind nun unterschiedliche Bedrohungsszenarien denkbar: Valide Zugriffsschlüssel können auch auf anderen Maschinen genutzt werden, sodass der Angreifer dort eine weitere Instanz der Software installieren kann, auf der kontinuierlich alle Änderungen der gespeicherten Dateien synchronisiert werden. Damit kann über die ganz normalen Cloud-Synchronisations-Mechanismen ein illegitimer Zugriff auf private oder wahlweise auch Unternehmensdaten erfolgen. Dies eröffnet Möglichkeiten, die von Spionage (durch Ausspähung innerhalb der Cloud gespeicherter Daten) bis zur Erpressung (Verschlüsselung oder temporäre Löschung entsprechend bekannter Ransomware-Angriffe) reichen.
Aber insbesondere der aktive, schreibende Direktzugriff auf den Rechner des Anwenders, also auf den Endpoint, birgt erhöhte Gefahren. Denkbar - und bereits praktisch ausgenutzt - ist hierbei beispielsweise die Nutzung des Anwenderrechners im Rahmen von Command&Control-Szenarien für Botnets: Die Dateisynchronisation ermöglicht das Überspielen von immer neuen Programmkomponenten, die dann auf dem Rechner des Opfers, kontrolliert durch den Angreifer, aber durch den Account des Angegriffenen ausgeführt werden. Der Cloud-Speicher kann hierbei auch komfortabel für die Bereitstellung auf dem übernommenen Rechner ermittelter Daten quasi als Rückkanal genutzt werden.
Bemerkenswert ist, dass beim "Man in the cloud"-Angriff - anders als bei klassischen "Man in the middle"-Attacken - kein Zugriff auf die Kommunikation mit der eigentlichen Serverinfrastruktur notwendig ist, sondern alles auf der Basis legitimer und eigentlich geduldeter Kommunikationsprotokolle stattfindet
Der Anwender am Zug
Für jeden Anwender solcher Cloud-Dienste stellt sich in dieser Situation die konkrete Frage, inwiefern der Komfort einer solchen Lösung die möglichen Gefahren überwiegt. Viele Unternehmen dulden den Einsatz von Dateisynchronisations-Mechanismen durch entsprechende Regelungen in ihren Security Policies nicht. Ein sehr kritisches Überdenken des Einsatzes einer solchen Lösung ist aber durchaus schon bei mäßig sensitiven, privaten Daten, etwa Kreditunterlagen oder persönlichen Fotos, sinnvoll.
Falls dennoch eine solche Lösung eingesetzt werden soll, stellt sich die Frage, wie die Gefahren erkannt und behoben oder ganz vermieden werden können. Zu diesem Zweck bieten praktisch alle Dienste Mechanismen zur Überwachung an, die ungewöhnliche Zugriffe identifizieren und dem Benutzer melden. Solche Benachrichtigungen sind in jedem Fall ernst zu nehmen und kritisch zu prüfen.
Aber auch aus eigenem Antrieb heraus ist eine regelmäßige Prüfung der erfolgten Zugriffe und insbesondere der vollständigen Liste der synchronisierenden Maschinen angeraten, die Aufschluss über mögliche Attacken bieten kann. Bei Dropbox beispielsweise findet sich diese Information im Web-Frontend in der Lasche "Sicherheit" im Dropdown-Menü Einstellungen unter dem Benutzernamen. Vergleichbare Funktionalitäten finden sich in allen breit eingesetzten Cloud-Synchronisation-Diensten.
Ungewöhnliche Rechnerstandorte können ein erster Hinweis auf eine Kompromittierung sein. Im Zweifelsfall ist es sicherer, alle registrierten Geräte zu entfernen und sukzessive die tatsächlich vertrauenswürdigen mit neuen Tokens zu registrieren.
Eine möglichst starke Authentifizierung ist ein weiterer Schritt zum Schutz der Tokens. Praktisch alle dieser Dienste bieten heute 2-Faktor-Authentifizierung an, deren Einsatz grundlegend empfohlen wird.
Um den oben beschriebenen, notwendigen ersten Zugriff des Angreifers auf den Rechner im Ansatz zu verhindern, sind die klassischen Schutzmechanismen für den Endpoint umso wichtiger: Dies umfasst den Virenschutz, einen vor aktuellen Angriffvektoren geschützten Browser, ein vorsichtiges, intelligentes Umgehen mit potenziell gefährlichen Inhalten in unbekannten Mail-Nachrichten und einen hochaktuellen Schutz vor Spam- und Phishing-Nachrichten.
Verschlüsselung und alternative Dienste
Im Unternehmensumfeld, wie in jedem kritischeren anderen Einsatzfeld, empfiehlt sich der Einsatz sichererer Lösungen. Hierfür bieten spezialisierte Anbieter die Nutzung von sicheren und verschlüsselten Arbeitsräumen und Projektumgebungen für Arbeitsteams an. Diese sind zwar kostenpflichtig, unterliegen aber nicht den derzeit identifizierten Schwächen. Eine Suchmaschinenrecherche nach "zero knowledge cloud storage" oder anderen vergleichbar leistungsfähigen Technologien kann hier erste Hinweise geben.
Verschlüsselungsdienste, die eine zusätzliche Sicherheitsschicht oberhalb der eigentlichen Speicherdienste implementieren, schützen zwar die Daten vor illegitimem Zugriff, können aber nicht die Übernahme eines Tokens verhindern. Ähnlichen Limitationen unterliegt die manuelle Speicherung sensibler Dateien in kleinen verschlüsselten Dateicontainern innerhalb des Cloud-Storage.
Verantwortung und Risikoabschätzung
Jedem Anwender muss immer klar sein, dass die Wahl der genutzten Dienste und die Art der dort gespeicherten Daten schlussendlich in der eigenen Verantwortung liegen. Hinreichend fortgeschrittene Bedrohungsszenarien wie die hier beschriebene "Man in the cloud"-Attacke erfordern in jedem, auch im privaten Umfeld eine entsprechende Risikoabschätzung bei der Auswahl der genutzten Dienste.
Die Vermeidung des Einsatzes einer poteztiell bedrohten Komponente ist im Zweifelsfall die bessere Alternative als die Mitigation bestehender Risiken in einer laufenden Umgebung. Ein grundlegend hohes Sicherheitsniveau der eingesetzten Rechnersysteme vom Betriebssystem bis zu den kritischen Anwendungen ist in jedem Fall eine zwingende Voraussetzung. (bw)