Abo
  • Services:
Anzeige
Certificate Transparency ist ohne Zweifel ein sinnvolles Sicherheitsfeature für TLS - aber es hat unerwartete Konsequenzen für andere Bereiche.
Certificate Transparency ist ohne Zweifel ein sinnvolles Sicherheitsfeature für TLS - aber es hat unerwartete Konsequenzen für andere Bereiche. (Bild: Certificate Transparency / Google)

Webanwendungen mit ungesicherten Installationsroutinen

Für selbstgehostete Webanwendungen wie Wordpress, Joomla, Nextcloud und ähnliche kann Certificate Transparency zum Problem werden. Die Installation von Webanwendungen funktioniert üblicherweise so, dass ein Nutzer den PHP-Code der Software auf einen Webserver hochlädt und anschließend den Installer über die Webseite aufruft. Dort werden Dinge wie die Datenbankeinstellungen eingetragen und meist ein initialer Admin-Nutzeraccount erstellt.

Anzeige

Das Risiko hier: Diese Installation findet bei den meisten Webanwendungen ohne jegliche Authentifizierung statt. Findet ein Angreifer eine uninstallierte Webanwendung, dann kann er üblicherweise trivial Code auf dem Server ausführen.

Bislang waren die ungeschützten Installer kein großes Problem, denn ein Angreifer müsste schon den genauen Zeitpunkt kennen, an dem ein Webmaster seine Anwendung installiert. Problematisch waren daher in erster Linie Installer, die liegengelassen wurden und die man beispielsweise irgendwann über eine Google-Suche finden konnte.

Doch mit Certificate Transparency ändert sich das. Denn dem Angreifer steht dadurch indirekt ein Feed mit vielen gerade neu erstellten Hostnamen zur Verfügung. Viele Webhoster unterstützen inzwischen standardmäßig HTTPS und erstellen automatisch Zertifikate, wenn man einen neuen Hostnamen anlegt.

Backdoor mittels Plugin hochladen

Ein Angreifer kann nun die Certificate-Transparency-Logs beobachten und die Webseiten zu allen dort neu eingetragenen Zertifikate abrufen. Die abgerufenen Seiten werden mit den Installationsroutinen von gängigen Webapplikationen verglichen. Mit etwas Glück trifft der Angreifer genau den richtigen Zeitpunkt, zu dem gerade die Installation durchgeführt wird.

Wenn ein Angreifer dabei einen Installer beispielsweise von einem Wordpress findet, kann er diesen direkt übernehmen. Zunächst installiert er die Anwendung. Für den Datenbankzugang kann er eine externe Datenbank nutzen, beispielsweise von einem kostenlosen MySQL-Hosting-Service.

Wenn man die Installation selbst durchgeführt hat ist es bei den meisten Webanwendungen kein Problem, auch Code direkt auszuführen. Üblicherweise geht das, indem man ein dafür ein Plugin installiert. So kann der Angreifer beispielsweise eine PHP-Shell hochladen.

Anschließend kann er die Installation wieder rückgängig machen. Dafür reicht es in der Regel, die Konfigurationsdatei zu löschen, die bei der Installation angelegt wurde. Wenn man das alles schnell durchführt - beispielsweise indem man es automatisiert - merkt der Besitzer der Webapplikation überhaupt nichts, da die Installation danach wieder wie gewohnt zur Verfügung steht.

Der Angreifer hat jetzt eine Hintertür, über die er nach Belieben Code ausführen kann. Die kann er später für alles mögliche nutzen, beispielsweise für ein Defacement der Webseite, um Spam zu verschicken oder um Phishing-Seiten auf dem Webserver abzulegen.

5.000 übernommene Wordpress-Installationen in drei Monaten

Der Autor hat über drei Monate ein Testskript laufen lassen, das die Transparency-Logs beobachtet und die entsprechenden Webseiten nach Installern absucht. Der letzte Schritt, das eigentliche Übernehmen der Webanwendung, wurde dabei natürlich ausgelassen.

Mit Abstand am häufigsten fanden sich dabei wenig überraschend Installer für Wordpress. Etwa 5.000 Wordpress-Installationen hätte man übernehmen können. Bei Joomla waren es immerhin noch knapp 500, bei Nextcloud 120. Andere Webanwendungen traten vergleichsweise selten auf.

Ein solcher Angriff könnte weiter optimiert werde. Das Skript prüfte jeden Host nur einmal pro Zertifikat. Ein Angreifer könnte aber alle neuen Zertifikats-Hostnamen, auf denen noch kein Inhalt hinterlegt ist, für mehrere Tage regelmäßig prüfen. Das verwendete Testskript hatte zudem recht knappe Timeouts, die dazu führten, dass Drupal-Installationen häufig nicht erkannt wurden, da der Installer relativ langsam antwortet.

Installer ohne Authentifizierung als Risiko

Um sich vor solchen Angriffen zu schützen, sollten Webanwendungen eine Authentifizierung des Nutzers als Teil der Installationsroutine einführen. Dafür gibt es verschiedene Möglichkeiten, so könnte der Installer etwa eine Datei mit einem geheimen Token anlegen, das der Nutzer anschließend herunterladen und in ein Formular eingeben muss. Doch viele Webanwendungen wollen ungern einen solchen zusätzlichen Authentifizierungschritt einführen, da sie den Installer möglichst einfach gestalten wollen.

Erwähnenswert ist, dass einige Anwendungen nicht für einen solchen Angriff verwundbar sind, da ihr Installationsmechanismus anders funktioniert. Eine solche Software ist das von Wikipedia verwendete System Mediawiki. Der Installer von Mediawiki erzeugt eine Konfigurationsdatei. Die wird allerdings nicht direkt installiert, sondern muss vom Nutzer heruntergeladen und anschließend wieder ins Webverzeichnis hochgeladen werden.

Der Mediawiki-Installer erlaubt es allerdings, eine SQLite-Datenbank zu nutzen. Die wird vom Installer erstellt. Damit kann ein Angreifer, der einen Mediawiki-Installer findet, eine SQLite-Datei auf dem System anlegen. Bösartig ausnutzen lässt sich das aber vermutlich nicht.

 Certificate Transparency: Webanwendungen hacken, bevor sie installiert sindNur Joomla hat bisher reagiert 

eye home zur Startseite
RipClaw 31. Jul 2017

Das mit dem "erst im Heimnetz installieren" machen leider die wenigsten. Die meisten...

JustSnipy 30. Jul 2017

Ist das Unternehmen groß genug, dass sich ein CEO-Fraud lohnen würde, wird in der Regel...

Vogel22 30. Jul 2017

Man kann den Prozess ja recht einfach mit einem Zwischenschritt absichern. Man benötigt...

thomas.pi 30. Jul 2017

Ich möchte ja erreichen, dass nicht jeder einen Mangento Shop aufsetzten kann und damit...

User_x 29. Jul 2017

und solange nix passiert, kräht auch kein hahn danach. mein vermieter ist kein...



Anzeige

Stellenmarkt
  1. ESG Elektroniksystem- und Logistik-GmbH, Wolfsburg
  2. PSI AG, Aschaffenburg
  3. diva-e Digital Value Enterprise GmbH, München
  4. Rohde & Schwarz Cybersecurity GmbH, Hamburg


Anzeige
Hardware-Angebote
  1. 129,99€ (219,98€ für zwei)

Folgen Sie uns
       


  1. Smartphone-Tastatur

    Nuance stellt Swype ein

  2. Homebrew

    Bastler veröffentlichen alternativen Launcher für Switch

  3. Telekom

    15 Millionen Haushalte sollen 2018 Super Vectoring erhalten

  4. Windows Phone 7.5 und 8.0

    Microsoft schaltet Smartphone-Funktionen ab

  5. Raja Koduri

    Intel zeigt Prototyp von dediziertem Grafikchip

  6. Vizzion

    VW zeigt selbstfahrendes Auto ohne Lenkrad

  7. iOS, MacOS und WatchOS

    Apple verteilt Updates wegen Telugu-Bug

  8. Sicherheitslücken

    Mehr als 30 Klagen gegen Intel wegen Meltdown und Spectre

  9. Nightdive Studios

    Arbeit an System Shock Remake bis auf Weiteres eingestellt

  10. FTTH

    Landkreistag fordert mit Vodafone Glasfaser bis in Gebäude



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Fujitsu Lifebook U727 im Test: Kleines, blinkendes Anschlusswunder
Fujitsu Lifebook U727 im Test
Kleines, blinkendes Anschlusswunder
  1. Palmsecure Windows Hello wird bald Fujitsus Venenscanner unterstützen
  2. HP und Fujitsu Mechanischer Docking-Port bleibt bis 2019
  3. Stylistic Q738 Fujitsus 789-Gramm-Tablet kommt mit vielen Anschlüssen

Kingdom Come Deliverance im Test: Mittelalter, Speicherschnaps und klirrende Klingen
Kingdom Come Deliverance im Test
Mittelalter, Speicherschnaps und klirrende Klingen
  1. Kingdom Come Deliverance Von unendlich viel Rettungsschnaps und dem Ninja-Ritter
  2. Kingdom Come Deliverance Auf der Xbox One X wird das Mittelalter am schönsten
  3. Kingdom Come Deliverance angespielt Und täglich grüßt das Mittelalter

Chargery: 150 Kilo Watt auf drei Rädern
Chargery
150 Kilo Watt auf drei Rädern
  1. Europa-SPD Milliardenfonds zum Ausbau von Elektrotankstellen gefordert
  2. Elektromobilität China subventioniert Elektroautos mit großer Reichweite
  3. Elektromobilität Dyson entwickelt drei Elektroautos

  1. Alles schön un gut, wo bleiben die Grundlagen?

    flasherle | 10:47

  2. Re: Totgeburt ...

    \pub\bash0r | 10:45

  3. Erfahrungen nach der ersten Nacht...

    Lemo | 10:44

  4. Re: Finde ich gut

    RipClaw | 10:44

  5. Re: Ach die haben einen Double Fine gemacht.

    mnementh | 10:44


  1. 10:40

  2. 10:23

  3. 10:04

  4. 08:51

  5. 06:37

  6. 06:27

  7. 00:27

  8. 18:27


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel