„Aus großer Macht folgt große Verantwortung.“ Bei aller Anerkennung für Voltaire und Churchill ist das Zitat vor allem aus den „Spider-Man“-Comics bekannt, wo es Peter Parkers Onkel Ben zugeschrieben wird. Seine weite kulturelle Verbreitung verdankt der Satz natürlich auch der Tatsache, dass er sich auf unzählige Situationen und Themen anwenden lässt – darunter, wie der Titel bereits andeutet, auch die TLS-Inspektion.
Vor Kurzem veröffentlichte die National Security Agency (NSA) der Vereinigten Staaten eine Empfehlung zu möglichen Risiken im Zusammenhang mit der Implementierung von Transport Layer Security Inspection (TLSI). Die Empfehlung der NSA enthielt außerdem Maßnahmen, mit denen Organisationen, die TLSI-Produkte implementieren und einsetzen, potenzielle Sicherheitslücken minimieren können.
Eine kurze Einführung in TLSI: TLSI – auch bekannt als „TLS Break and Inspect“ – ist ein Verfahren, mit dem Unternehmen Netzwerkverkehr entschlüsseln und erneut verschlüsseln können, der mit TLS oder sogar Secure Socket Layer (SSL) verschlüsselt ist. TLSI ist für Unternehmen unverzichtbar, da die meisten Angriffe heutzutage in verschlüsseltem Datenverkehr verborgen sind. Aktuellen Forschungsergebnissen zufolge werden mittlerweile über 90 % der Seitenaufrufe mit SSL/TLS verschlüsselt, und 71 % der Phishing-Websites verwenden Verschlüsselungszertifikate.
Viele Unternehmen setzen heute ein dediziertes Gerät wie einen Proxy, eine Firewall, ein Intrusion-Detection-System (IDS) oder ein Intrusion-Prevention-System (IPS) ein, um TLS-verschlüsselten Datenverkehr zu entschlüsseln und erneut zu verschlüsseln. Andere leiten TLS-verschlüsselten Datenverkehr nach wie vor durch eine Kette von Geräten in ihrer Sicherheitsinfrastruktur, sodass er von jedem Sicherheitsgerät entschlüsselt und erneut verschlüsselt werden muss. Der gesamte TLSI-Prozess unterstützt Unternehmen dabei, eingehenden verschlüsselten Datenverkehr auf potenzielle Bedrohungen wie Malware zu überwachen. Zudem können Unternehmen ausgehenden verschlüsselten Datenverkehr auf Datenexfiltration und aktive Command-and-Control-Kommunikation (C2) mit bösartigen Servern überwachen, über die weitere Angriffsmittel heruntergeladen werden können.
Doch laut der Empfehlung der NSA können sowohl die eingesetzte und verwendete TLSI-Methode als auch die Art ihrer Implementierung erhebliche Risiken für ein Unternehmen mit sich bringen.
Die NSA empfiehlt in ihrer Sicherheitsempfehlung außerdem, den TLS-Datenverkehr innerhalb des Netzwerks einer Organisation nur einmal zu entschlüsseln und zu überprüfen. Darin wird ausdrücklich davon abgeraten, den TLS-Datenverkehr durch einen Forward-Proxy zu entschlüsseln, zu überprüfen und erneut zu verschlüsseln und ihn anschließend zur Wiederholung desselben Vorgangs an einen weiteren Forward-Proxy zu senden. Dieses Vorgehen vergrößert die Angriffsfläche, ohne einen zusätzlichen Nutzen zu bieten.
Wenn ein Unternehmen eine TLSI-Lösung einsetzt oder nutzt, die TLS-Zertifikate nicht ordnungsgemäß validiert, kann die TLS-Verschlüsselung geschwächt werden, wodurch eine Schwachstelle für Man-in-the-Middle-Angriffe (MiTM) entsteht.
Ein nicht ordnungsgemäß funktionierendes Forward-Proxy-Gerät, das für TLSI verwendet wird, kann dazu führen, dass entschlüsselter Datenverkehr an ein nicht autorisiertes Gerät eines Drittanbieters umgeleitet wird und sensible Daten gestohlen oder missbraucht werden.
Laut der Empfehlung der NSA kann die Überwachung des Netzwerkverkehrs zum Forward-Proxy dazu beitragen, potenzielle Angriffsmöglichkeiten zu verringern. Um darüber hinaus sicherzustellen, dass die TLSI ordnungsgemäß funktioniert, empfiehlt die NSA, Protokolldaten zu analysieren. So lassen sich fehlgeleitete Datenströme erkennen und ein vorsätzlicher oder unbeabsichtigter Missbrauch durch Administratoren aufdecken.
Außerdem müssen TLSI-Produkte wahrscheinlich TLS-Verbindungen verketten, was zu einer Herabstufung des Verschlüsselungsschutzes führen könnte. Dadurch könnten schwächere Verschlüsselungsverfahren oder TLS-Versionen ausgenutzt werden. Einige TLSI-Angebote lassen schwächere TLS-Versionen und Verschlüsselungsverfahren möglicherweise nur in Ausnahmefällen zu.
Die meisten TLSI-Forward-Proxy-Geräte verfügen über eine eigene interne Zertifizierungsstelle (CA), um neue Zertifikate zu erstellen und zu signieren. Die integrierte CA könnte jedoch dazu verwendet werden, Schadcode zu signieren und dabei Sicherheitsmechanismen wie IDS und IPS zu umgehen oder bösartige Dienste bereitzustellen, die legitime Dienste imitieren. Die NSA empfiehlt Unternehmen, Produkte auszuwählen, die Datenflüsse, TLS und CA-Funktionen ordnungsgemäß implementieren.
Eine weitere Angriffsfläche kann dort entstehen, wo das TLSI-Gerät den Datenverkehr entschlüsselt, unmittelbar bevor dieser an Sicherheitsgeräte weitergeleitet wird. Der Datenverkehr liegt dann im Klartext vor und ist anfällig für Angriffe, wodurch Angreifer an Benutzeranmeldedaten und andere sensible Daten gelangen könnten.
F5 SSL Orchestrator stellt sicher, dass verschlüsselter Datenverkehr entschlüsselt, durch geeignete Sicherheitskontrollen überprüft und anschließend erneut verschlüsselt wird. Dadurch schafft die Lösung Transparenz im verschlüsselten Datenverkehr und mindert die Risiken verborgener Bedrohungen. SSL Orchestrator maximiert zudem die Effektivität bestehender Sicherheitsinvestitionen, indem Sicherheitsdienste dynamisch verkettet und entschlüsselte Datenströme richtlinienbasiert gesteuert werden. Dabei werden kontextbezogene Informationen auf den verschlüsselten Datenverkehr angewendet. Darüber hinaus verwaltet und verteilt SSL Orchestrator zentral die neuesten Verschlüsselungstechnologien über die gesamte Sicherheitsinfrastruktur eines Unternehmens hinweg. Zertifikate und Schlüssel werden zentral verwaltet, während zugleich eine zuverlässige Verwaltung und Kontrolle von Verschlüsselungsverfahren gewährleistet wird. SSL Orchestrator überwacht unabhängig den Zustand jedes einzelnen Sicherheitsdienstes. Die Lösung stellt außerdem sicher, dass Sicherheitslösungen mit maximaler Effizienz arbeiten und dank der Lastausgleichs- und Skalierungsfunktionen von F5 hochverfügbar skaliert werden können. Darüber hinaus unterstützt sie die strengsten und robustesten behördlichen und branchenspezifischen Standards für Sicherheit und Datenschutz.
Der Schwerpunkt der NSA-Empfehlung liegt darauf, die TLS-Entschlüsselung und -Überprüfung zuverlässig und nur einmal durchzuführen. Eine All-in-One-Lösung wie eine Next-Generation Firewall (NGFW) mag dieses Konzept zwar technisch abdecken, ist in der Praxis jedoch kaum geeignet, sämtliche Arten von verschlüsseltem Datenverkehr und die jeweiligen Durchsatzanforderungen zu bewältigen. Was tatsächlich benötigt wird – und der beste Ansatz, um die TLS-Entschlüsselung und -Überprüfung zuverlässig und nur einmal durchzuführen –, ist eine engmaschig überwachte, sicher verbundene Kombination aus Produkten verschiedener Anbieter, die als Lösung nach dem Prinzip „einmal entschlüsseln, überprüfen und erneut verschlüsseln“ konfiguriert ist. Eine solche Lösung erweist sich als flexibler, ausfallsicherer und praxistauglicher.
Mit F5 SSL Orchestrator muss ein Unternehmen keine Forward-Proxy-Geräte miteinander verketten. Auch eine separate Überwachung des Datenverkehrs oder eine zusätzliche Geräteüberwachung ist nicht erforderlich. Dank der Full-Proxy-Architektur kommt stets die sicherste Cipher Suite beziehungsweise Verschlüsselungsmethode zum Einsatz. Mit anderen Worten: SSL Orchestrator minimiert sämtliche in der NSA-Empfehlung genannten Risiken und unterstützt Unternehmen zugleich dabei, dem bewährten Grundsatz Rechnung zu tragen, dass Verantwortung und Befugnisse Hand in Hand gehen.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...