goSecurity BLOG

Als IT-Security Consultant habe ich im Laufe der Jahre viele verschiedene IT-Umgebungen auditieren dürfen. Oft ist es der Fall, dass die Passwortanforderungen des Active Directory nicht den heutigen Standards entsprechen. Dadurch wird es den Mitarbeitenden erlaubt, schwache und dadurch einfach zu knackende Passwörter einzusetzen. Gar nicht im Fokus sind zudem häufig Applikationen mit eigenen Benutzerverwaltungen.

Für das Firmen-ERP oder andere geschäftskritische Systeme sind jedoch Passwörter im Einsatz, welche einem Angreifer fast schon offene Türen präsentieren. Vierstellige Passwörter ohne Komplexität sind da keine Seltenheit. Solche Passwörter können heutzutage innert Sekunden geknackt werden. Umso wichtiger ist es, eine den aktuellen Sicherheitsempfehlungen entsprechende Passwort-Policy zu haben und diese firmenweit (auch bei nicht AD-integrierten Systemen) konsequent durchzusetzen.

Aktuell empfehlen wir als IT-Security Experten folgende Werte (in diesem Beispiel für das Active Directory):

• Minimale Kennwortlänge 10-12 Zeichen
• Kennwort muss Komplexitätsvoraussetzungen entsprechen: aktiviert
• Minimales Kennwortalter 1 Tag
• Kennwortchronik erzwingen 15
• Kennwörter mit umkehrbarer Verschlüsselung speichern: deaktiviert
• Maximales Kennwortalter 365 Tage

Falls diese Änderungen von heute auf morgen eingesetzt werden, muss unbedingt darauf geachtet werden die Mitarbeitenden zu informieren und gegebenenfalls zu schulen. Manch ein Mitarbeitender ist mit der Wahl eines den obenstehenden Anforderungen entsprechenden Kennworts überfordert. Die Folgen wären aufgeschriebene oder zu einfache Passwörter, welche z.B. aus dem Namen des Hundes, dem Geburtsjahr der Tochter und einem Ausrufezeichen bestehen. Solche Kennwörter sind mittels Information Gathering (Informationssuche im Internet und anderen Quellen) relativ einfach zu »erraten». Ein wirklich sicheres, aber trotzdem verhältnismässig einfach zu merkendes Kennwort kann mit Hilfe eines Merksatzes erstellt werden. Der Satz: Mein Hund Charlie jault immer grässlich laut, wenn er 2 Stunden alleine ist! Ergibt dann das Passwort: MHCjigl,we2Sai!

Heutige Möglichkeiten

Die Möglichkeiten um unerlaubt in einen Account einzudringen, bzw. das Passwort eines Users zu knacken, sind schon weit fortgeschritten. Unter anderen wird zwischen diesen drei Angriffsarten unterschieden:

• Brute Force-Attacke (z.B. über Rainbow-Tables)
• Dictionary-Attacke
• Hybrid-Attacke

Brute Force-Attacke

Eine Brute Force Attacke probiert alle möglichen Kombinationen durch. Sie ist die mit Abstand ineffizienteste Art des Crackings. Oft ist dies aber die einzige Möglichkeit, um mit enormen Rechen- sowie Zeit-Aufwand das richtige Passwort zu knacken.

Dictionary-Attacke

Das spezielle Merkmal einer Dictionary Attacke ist, dass eine Liste mit Wörtern bzw. Passwörtern verwendet wird. Das Cracking Tool testet in diesem Fall einfach alle Wörter bzw. Passwörter dieser Liste durch. Diese Variante führt oft bei Standard- oder weit verbreiteten Passwörtern zum Erfolg.

Hybrid-Attacke

Die Hybride-Attacke ist eine Kombination aus Brute Force- und Dictionary-Attacke. Diese Attacke eignet sich z.B. beim Knacken eines Benutzerpassworts. Durch Information Gathering können viele Wörter, Wortteile oder Zahlenkombinationen in Erfahrung gebracht werden (z.B. Geburtsjahr, PLZ, Hausnummer, Familienname etc.). Diese werden bei dieser Attacke verwendet, um effizient mögliche Passwörter zu testen.

Tools

Tools für eine Durchführung dieser Art von Attacke sind Hydra, ncrack, Burpsuite, gewisse Metasploit Module, ophcrack und JohnTheRipper.

Beispiel

Folgendes Beispiel zeigt, wie «einfach» es für einen Angreifer ist, eine Passwort Cracking Attacke zu lancieren. Es wird ein SSH-Dienst mit Hilfe des Tools THC Hydra angegriffen. Es kommt eine Liste von Passwörtern, welche oft verwendet werden (3500+ Wörter), zum Einsatz. Das Tool Hydra ist im Kali Linux, einer Linux Distribution für Penetration Tester, vorinstalliert. Mittels Konsole kann das Tool mit dem Befehl «hydra» gestartet werden. Ohne Parameter erscheint die Help Page, welche einen guten Einblick in die verschiedenen Möglichkeiten des Tools gibt.

In unserem Fall ist der Benutzername bekannt, also kann -l verwendet werden. Ist dieser aber unbekannt, kann auch hier mittels Listen (-L) ein valider Benutzername gefunden werden.

Die Liste mit möglichen Passwörtern wurde vorab aus dem Internet geladen und direkt ins Home-Verzeichnis des Users gelegt. Um diese Liste für unseren Angriff verwenden zu können, muss die Option -P (für Password-File) genutzt werden.

Als nächstes muss das Ziel definiert werden. Dieses setzt sich aus der IP-Adresse und dem zu attackierenden Dienst zusammen. In diesem Beispiel werden beide Systeme (Kali Linux und das Zielsystem) in einem Host-Only Netzwerk betrieben. Die IP-Adresse des Zielsystems lautet 192.168.247.133. Beim zu attackierenden Dienst handelt es sich um SSH. Die Syntax für «hydra» lautet in unserem Fall also wie folgt:

• 168.247.133 ssh

Zu beachten bei SSH-Diensten ist, dass diese meist nicht mit 16 gleichzeitigen Tasks umgehen können. In unserem Beispiel wurde daher auf 8 Tasks reduziert (-t 8).

Der fertige Befehl zur Ausführung der Attacke lautet nun wie folgt:

Das Tool führt nun die Passwort-Attacke auf den SSH-Dienst des Zielsystems durch. Innerhalb einiger Minuten meldet dieses das gefundene Passwort zurück. Mit diesen Informationen kann nun mittels SSH auf das Zielsystem verbunden werden.

Prävention

Was können Sie gegen solche Attacken machen? Sind Sie diesen schutzlos ausgeliefert? Diese Frage kann ganz klar mit «Nein» beantwortet werden. In der heutigen Zeit existieren viele Möglichkeiten, sich gegen solche Attacken zu schützen.

Sichere Passwörter

Die einfachste Massnahme ist, nur noch als sicher geltende Passwörter einzusetzen. Werden diese nach in der Einleitung genannten Kriterien gewählt, haben Angreifer mit herkömmlichen Mittel kaum eine Chance das Passwort zu knacken. Dies setzt aber voraus, dass alle Mitarbeitenden über einen guten Awareness-Level verfügen und im Umgang mit Passwörtern und der IT-Infrastruktur geschult werden. Das beste Passwort nützt nichts, wenn der Benutzer dieses seinen Kollegen verrät oder unsorgfältig damit umgeht.

Mehr-Faktor-Authentifizierung

Eine gute Möglichkeit den meisten Attacken einen Strich durch die Rechnung zu machen, ist eine Mehr-Faktor-Authentifizierung. Bei Authentifizierungen wird unter drei verschiedenen Faktoren unterschieden:

• Wissen (Passwort)
• Besitzen (SmartCard, Token)
• Sein (Biometrie)

Ein Benutzername und Passwort-basiertes Login besteht somit aus einem Faktor (Wissen). Wird ein Login nun durch einen weiteren Faktor ergänzt (Besitzen oder Sein), handelt es sich um eine Mehr-Faktor-Authentifizierung. Muss nach der ersten Benutzername- und Passwort-Eingabe erneut ein statischer persönlicher Code eingegeben werden, handelt es sich noch nicht um eine Mehr-Faktor-Authentifizierung. Wird aber z.B. mittels SMS bei jedem Login ein Code auf das Mobiltelefon des Mitarbeitenden gesendet, wird von einer Mehr-Faktor-Authentifizierung gesprochen (in diesem Fall ist der zweite Faktor «Besitzen»).

Automatisierte Abwehrlösungen

Es gibt verschiedene automatisierte Massnahmen zur Abwehr von Bruteforce-, Dictionary- und Hybrid-Attacken. Diese reichen von automatisierten Login Sperren nach X-Versuchen bis hin zu IDS bzw. WAF integrierten Blockierungslösungen. Ein Beispiel für ein einfaches Tool, um eine gewisse IP-Adresse nach X-Versuchen zu sperren, ist Fail2Ban. Dieses loggt im Hintergrund jegliche Anmeldeversuche und sperrt die Quell-IP-Adresse automatisch nach einer definierten Anzahl von Fehlversuchen.