Beim Schutz der Privatsphäre im Internet geht es längst nicht mehr nur darum, neugierigen Blicken aus dem Weg zu gehen. Die Verschlüsselung im Web spielt eine entscheidende Rolle beim Schutz unserer Privatsphäre und entwickelt sich ständig weiter.
Kryptografische Protokolle wie Transport Layer Security (TLS), die früher Anmelde- und Bezahlseiten vorbehalten waren, haben in letzter Zeit stark an Bedeutung gewonnen. Sie ermöglichen es, Endpunkte zu authentifizieren und vertraulich miteinander kommunizieren zu lassen. Auch die TLS-Standards wurden in den vergangenen zwei Jahren aktualisiert. Browser werden bald alte und unsichere Implementierungen des Protokolls wie TLS 1.0 und 1.1 blockieren. Zudem werden neue Protokolle eingeführt, um heute noch weitverbreitete unsichere Protokolle abzusichern.
Es ist leicht nachzuvollziehen, warum Unternehmen Schwierigkeiten haben könnten, mit dieser Entwicklung Schritt zu halten. So entdeckten Sicherheitsforscher Anfang letzten Jahres beispielsweise erstmals eine Malware, die das neue Verschlüsselungsprotokoll für das Domain Name System, DNS-over-HTTPS (DoH), nutzte.
Die TLS-Landschaft ist nicht mehr das, was sie einmal war, und Unternehmen müssen über die neuesten Entwicklungen auf dem Laufenden bleiben, um sicherzustellen, dass Websites sicher bereitgestellt und während ihrer gesamten Lebensdauer gewartet werden.
Mit dem Wandel Schritt halten
Unternehmen verstehen größtenteils, welche Vorteile neue TLS-Updates bieten können, und scheinen Veränderungen gegenüber aufgeschlossen zu sein. So ergab beispielsweise der aktuelle TLS-Telemetriebericht von F5 Labs, dass fast ein Drittel der eine Million meistbesuchten Alexa-Websites TLS-1.3-Verbindungen akzeptierte. In vielerlei Hinsicht ist dies auch aus geschäftlicher Sicht sinnvoll. Die meisten gängigen Webbrowser unterstützen den neuen Standard bereits, und er bietet eine Reihe von Sicherheits- und Leistungsvorteilen.
Allerdings kommt die Einführung der neuesten TLS-Version noch nicht für alle infrage.
Wenn dies der Fall ist, sollten Unternehmen erwägen, den RSA-Schlüsselaustausch vollständig zu deaktivieren, indem sie die entsprechenden Verschlüsselungssammlungen entfernen. Untersuchungen von F5 haben ergeben, dass mehr als ein Drittel der weltweit beliebtesten Websites RSA nach wie vor als bevorzugten kryptografischen Algorithmus anbietet – obwohl Sicherheitsforscher weiterhin Möglichkeiten finden, ihn anzugreifen. Dazu gehört die 19 Jahre alte ROBOT-Schwachstelle, die es ermöglicht, RSA-Entschlüsselungs- und Signaturvorgänge mit dem privaten Schlüssel eines TLS-Servers durchzuführen. Untersuchungen von F5 Labs zufolge sind vermutlich noch immer etwas mehr als 2 % der weltweit führenden Websites für diesen Exploit anfällig.
Wie bei anderer Software entdecken Sicherheitsforscher auch in TLS-Bibliotheken häufig Schwachstellen. Daher müssen Unternehmen sicherstellen, dass sie benachrichtigt werden, wenn Updates für den TLS-Stack ihres Webservers, Load Balancers oder Application Delivery Controllers verfügbar sind. Ebenso unerlässlich sind Richtlinien für die schnelle Installation von Patches.
Es ist außerdem wichtig zu beachten, dass jede Zertifizierungsstelle (Certificate Authority, CA) ein Zertifikat für jede beliebige Domain im Internet ausstellen kann. Daher empfiehlt es sich, die Berechtigung auf lediglich zwei oder drei bekannte und vertrauenswürdige CAs zu beschränken. Dies lässt sich durch das Erstellen von DNS-Einträgen für die Autorisierung von Zertifizierungsstellen (Certificate Authority Authorization, CAA) erreichen. Darüber hinaus bietet die Verwendung des HTTP-Headers „Strict-Transport-Security“ (HSTS) für Webanwendungen eine zusätzliche Sicherheitsebene, da Browser dann ausschließlich versuchen, eine Website sicher über HTTPS zu laden. Dies ist eine entscheidende Maßnahme, um Netzwerkangriffe zu verhindern, bei denen das Laden unsicherer Seiten erzwungen wird und Angreifer dadurch den Netzwerkverkehr ausspähen, manipulieren und umleiten können.
Obwohl DNS-CAA-Einträge entwickelt wurden, um die fehlerhafte Ausstellung von Zertifikaten für gültige Domains zu verhindern, versuchen Betrüger nur selten, ein Zertifikat für eine bestehende Domain wie mybank.com zu erstellen. Stattdessen erstellen sie Zertifikate für Domains, die ihnen selbst gehören, und verwenden dabei den Markennamen „mybank“ als Subdomain, beispielsweise mybank.attacker.com.
Glücklicherweise wird jedes Mal, wenn eine Zertifizierungsstelle ein Zertifikat ausstellt, dieses in einer weltweit verteilten Datenbank (den Certificate-Transparency-Protokollen) erfasst. Durch die Überwachung von CT-Protokollen lässt sich frühzeitig erkennen, wenn Bedrohungsakteure eine Domain oder Marke imitieren.
Da HTTPS inzwischen allgegenwärtig ist, müssen auch mehr Verschlüsselungsverfahren, Schlüssel und Zertifikate verwaltet werden. In Verbindung mit der zunehmenden Verbreitung von DevOps-Methoden führt dies dazu, dass Änderungen und Bereitstellungen immer schneller erfolgen.
Ebenso wie Sicherheitstools und -tests in die Automatisierungs-Toolchain integriert werden, muss auch die Konfiguration von HTTPS eingebunden werden. Dazu gehören die orchestrierte Erstellung digitaler Zertifikate und die Entwicklung interner Richtlinien, in denen Standards wie die Mindestschlüssellänge und Verschlüsselungssammlungen festgelegt werden. Eine solche Automatisierung hilft auch bei Zertifikaten, deren Ablaufdatum bevorsteht, indem sie diese automatisch erneuert, bevor es zu einer Dienstunterbrechung kommen kann.
Die TLS-Sicherheitslücke im Blick behalten
Leider bestehen selbst bei einer ordnungsgemäßen Implementierung von TLS weiterhin zahlreiche Datenschutz- und Sicherheitslücken. Protokolle wie DNS-over-HTTPS (DoH) sollen dazu beitragen, diese Lücken zu schließen. Sie verbessern zwar den Datenschutz für Internetnutzer, können es den Sicherheitsteams von Unternehmen jedoch auch erschweren, schädlichen Datenverkehr zu erkennen und zu blockieren. In einigen Fällen ist es daher erforderlich, DoH in Unternehmensnetzwerken zu deaktivieren oder interne DoH-Dienste für Ihre Benutzer bereitzustellen. Diese Dienste arbeiten mit Ihrem Webproxy zusammen und helfen dabei, unerwünschten Datenverkehr herauszufiltern.
Letztendlich kann selbst die weltweit beste TLS-Implementierung nicht verhindern, dass Schadcode durch clientseitige Malware eingeschleust oder die Sicherheit durch Skripte von Drittanbietern beeinträchtigt wird. Daher empfehlen wir stets, sich mit den Grenzen von HTTPS und den bestehenden Sicherheitslücken vertraut zu machen.
Eines ist sicher: Die Verschlüsselung entwickelt sich ständig weiter. Schlüssellängen nehmen zu, Zertifikate werden zunehmend automatisiert, Regierungen erlassen Beschränkungen und neue Protokolle entstehen. Gerade dieser ständige Wandel birgt für viele Unternehmen und ihre Kunden neuartige Risiken. Eine mangelhafte TLS-Implementierung bleibt Hackern, Aufsichtsbehörden und Cyberversicherern nicht verborgen und kann ernsthafte Zweifel an der übrigen Infrastruktur eines Unternehmens aufkommen lassen.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...