Schmuggelt SSL Schadsoftware in Ihr Unternehmen?

Gary NeweVP Global Solution Architects | F5

Wir alle kennen SSL, diese unverzichtbare kryptografische Technologie, die unsere Online-Kommunikation schützt. Sie sichert die Kommunikation zwischen den von uns verwendeten Webbrowsern und den Servern, auf denen Websites wie diese gehostet werden. Eine sichere Website erkennen Sie am Vorhängeschloss-Symbol oder an der Verwendung von HTTPS in der Adresse.

Und grundsätzlich ist SSL eine gute Sache. Bei jeder Transaktion, die Finanzdaten umfasst, etwa beim Online-Banking oder Online-Shopping, wird SSL eingesetzt, um Ihre Daten zu schützen. In letzter Zeit gibt es jedoch Bestrebungen, den gesamten Internetverkehr abzusichern – und zwar nicht nur Datenverkehr, der Kombinationen aus Benutzernamen und Passwort oder Finanzdaten enthält. Aufsehenerregende Nachrichten wie die Enthüllungen Edward Snowdens über die weltweite Massenüberwachung führen dazu, dass immer mehr Nutzer eine Verschlüsselung im Internet fordern, und die Anbieter kommen diesem Wunsch gerne nach.

Deshalb wird es immer häufiger eingesetzt: Die meisten der weltweit beliebtesten Websites wie Google, Amazon und Facebook haben HTTPS – das für SSL-Verschlüsselung sorgt – inzwischen standardmäßig für den gesamten Datenverkehr aktiviert. Schätzungen zufolge wird bis Ende 2015 mehr als die Hälfte des weltweiten Internetverkehrs verschlüsselt sein. (Das liegt vor allem an Netflix, das einen enormen Anteil am Internetverkehr ausmacht und auf HTTPS umstellt.)

Doch obwohl die Verschlüsselung des Internetverkehrs zweifellos mehr unserer sensiblen Daten schützt, birgt sie für Unternehmen tatsächlich auch größere Risiken. Denn viele Sicherheitsgeräte in Unternehmen können den Inhalt des verschlüsselten Datenverkehrs nicht einsehen, sodass Schadsoftware unbemerkt eindringen kann.

Firewalls, Web-Gateways, Systeme zur Angriffserkennung und -abwehr und weitere Sicherheitslösungen können Schwierigkeiten haben, Malware zu erkennen, die über verschlüsselten Datenverkehr eingeschleust wird. Für Unternehmen könnte es zum Albtraum werden, wenn Cyberkriminelle Malware in einer vermeintlich sicheren Transaktion verbergen können. Und das funktioniert in beide Richtungen: Malware kann nicht nur unentdeckt eingeschleust werden, sondern auch vertrauliche Informationen in einer verschlüsselten Transaktion an ihre Steuerungsinstanz zurücksenden, ohne dass die meisten Sicherheitstools dies erkennen.

Ein Beispiel hierfür ist die Banking-Malware Dyre. Berichten zufolge konnte diese Malware Informationen stehlen, bevor die Verschlüsselung einsetzte, und sie als vermeintlich legitimen verschlüsselten Datenverkehr an den Command-and-Control-Server zurücksenden. Entscheidend ist, dass die Sitzung durch das angezeigte Vorhängeschlosssymbol sicher erscheint, während im Hintergrund sensible Daten abgegriffen werden.

Tatsächlich kann jede dubiose Website Drive-by-Malware verbreiten. Ist die Sitzung verschlüsselt, können Sicherheitstools weder den tatsächlichen Inhalt dieses Datenverkehrs noch dessen Ziel ermitteln. Systeme wie Proxyserver oder URL-Filter-Gateways haben keinerlei Einblick in diesen Datenverkehr.

Es handelt sich um ein sehr reales Problem, mit dem Unternehmen konfrontiert sind. Zahlen von Gartner zeigen, dass weniger als 20 % der Unternehmen, die Firewalls, IPS oder UTM einsetzen, SSL-Datenverkehr entschlüsseln. Das bedeutet, dass in SSL-Datenverkehr verborgene Schadsoftware diese Sicherheitsplattformen umgehen würde. Gartner prognostiziert außerdem, dass bis 2017 mehr als 50 % der Netzwerkangriffe auf Unternehmen SSL nutzen werden, um Sicherheitsmaßnahmen zu umgehen.

Wie können Unternehmen sicherstellen, dass sie nicht von Malware überrascht werden, die sich in verschlüsseltem Datenverkehr verbirgt? Die einfache Antwort wäre, diesen Datenverkehr zu entschlüsseln. Es stellt sich jedoch die Frage, wie dies möglich ist, ohne die Privatsphäre zu verletzen oder sensible Daten Angriffen auszusetzen.

Es kommt also darauf an, zu wissen, welcher Datenverkehr entschlüsselt werden sollte. Wenn ein Unternehmen Inhalte für externe Nutzer bereitstellt, benötigt es eine entsprechende Vorrichtung, um den SSL-Datenverkehr vom Server auszulagern und anschließend Schutzmechanismen in den Datenfluss einzubinden. Dadurch wird die SSL-Verschlüsselung aufgehoben, allerdings auf intelligente Weise: Eine Onlinebanking-Sitzung sollte nicht entschlüsselt werden, eine Facebook-Sitzung hingegen schon.

Die Sicherheitslösung muss intelligent genug sein, um zu erkennen, wohin der Datenverkehr geht, und dann zu entscheiden, ob er entschlüsselt oder unverändert belassen werden soll. Dabei wird die SSL-Verschlüsselung aufgehoben – jedoch auf sichere und intelligente Weise.

Über den Autor

Gary NeweVP Global Solution Architects | F5

Weitere Blogbeiträge von Gary Newe