Abo
  • Services:
Anzeige
Nicht geänderte Standardschlüssel gefährden die Sicherheit von SAPs Datenbank Hana.
Nicht geänderte Standardschlüssel gefährden die Sicherheit von SAPs Datenbank Hana. (Bild: SAP)

IT-Sicherheit: Standardschlüssel gefährdet SAPs Datenbank Hana

Nicht geänderte Standardschlüssel gefährden die Sicherheit von SAPs Datenbank Hana.
Nicht geänderte Standardschlüssel gefährden die Sicherheit von SAPs Datenbank Hana. (Bild: SAP)

Bei der Installation wird die Benutzerdatenbank in SAPs Hana mit dem stets gleichen Standardschlüssel abgesichert. Weil dieser nur selten geändert wird, könnten sich Unberechtigte leicht Zugriff auf die dort gespeicherten Administratorkonten verschaffen.

Anzeige

Ein Schlüssel, um sie alle zu identifizieren: Bei der Installation von SAPs In-Memory-Datenbank Hana wird zunächst ein Standardschlüssel verwendet, um die integrierte Benutzerdatenbank Hdbuserstore abzusichern. Dieser Schlüssel werde später nur selten geändert, daher könnten sich Unbefugte mit dem allgemein bekannten Standardschlüssel Zugriff auf sämtliche Verwaltungskonten verschaffen, warnt der IT-Sicherheitsexperte Alexander Polyakov.

In der Hana-Komponente Hdbuserstore, die auf Datenträgern gespeichert wird, werden nicht nur Benutzernamen und Passwörter der Datenbankadministratoren gespeichert, sondern auch die Schlüssel, mit denen die regelmäßig erstellten Sicherungen der Datenbank verschlüsselt werden. Wer also den Standardschlüssel besitzt, könne sich Zugriff auf die Sicherungen und damit auf sämtliche Daten verschaffen, sagt Polyakov. Untersuchungen seiner Beratungsfirma ERPScan zufolge wird dieser Standardschlüssel nach der Installation nur selten durch einen eigenen ausgetauscht.

SAPs Richtlinien zur Absicherung

SAP beschreibt die Vorgehensweise in seinen Richtlinien und Sicherheitshinweisen: Mit dem beigelegten Werkzeug Rsecssfx lässt sich der sogenannte SSFS Master Key ändern. Anschließend sollten mit Hdbnsutil die Hauptschlüssel für die Sicherungen geändert werden. Zuletzt sollten die Zugriffe auf Hdbuserstore und den Schlüssel selbst weitestmöglich eingeschränkt werden.

Das Problem statischer und einprogrammierter Schlüssel gebe es nicht nur bei der Hana-Datenbank, sagt Polyakov. In SAPs Mobile Platform würden Anwendungspasswörter anhand eines bekannten statischen Schlüssels gespeichert. Über eine inzwischen geschlossene Sicherheitslücke sei es möglich gewesen, sich auch von außen Zugriff auf die Konfigurationsdatei zu verschaffen, in der Passwörter abgelegt werden. Diese Konfigurationsdatei habe sich mit dem bekannten Schlüssel dechiffrieren lassen.

Generell warnt Polyakov davor, die Sicherheit in Geschäftsapplikationen nicht ernst zu nehmen. Vor wenigen Tagen hat SAP auch die Freak-Schwachstelle in seinen Komponenten geschlossen, Monate nachdem sie bekannt wurde.


eye home zur Startseite
spambox 22. Jun 2015

Danke, genau das wollte ich auch eben schreiben.

exxo 22. Jun 2015

Der Artikel ist klassisches Clickbait. Das default Passwörter nicht geändert werden ist...



Anzeige

Stellenmarkt
  1. NORD-MICRO GmbH & Co. OHG, Frankfurt am Main
  2. Sky Deutschland GmbH, Unterföhring bei München
  3. Siemens Postal, Parcel & Airport Logistics GmbH, Nürnberg
  4. BG-Phoenics GmbH, München


Anzeige
Top-Angebote
  1. (heute u. a. Medion 49"-UHD-TV für 384,99€)
  2. 15%-Gutschein für Ebay-Plus-Mitglieder
  3. (u. a. Wolfenstein The New Colossus 29,99€)

Folgen Sie uns
       


  1. Siri-Lautsprecher

    Apple versemmelt den Homepod-Start

  2. Open Routing

    Facebook gibt interne Plattform für Backbone-Routing frei

  3. Übernahme

    Vivendi lässt Ubisoft ein halbes Jahr in Ruhe

  4. Boston Dynamics

    Humanoider Roboter Atlas macht Salto rückwärts

  5. Projekthoster

    Github zeigt Sicherheitswarnungen für Projektabhängigkeiten

  6. Sicherheitslücke bei Amazon Key

    Amazons Heimlieferanten können Cloud Cam abschalten

  7. Luftfahrt

    China plant Super-Windkanal für Hyperschallflugzeuge

  8. Quad9

    IBM startet sicheren und datenschutzfreundlichen DNS-Dienst

  9. Intel

    Ice-Lake-Xeon ersetzt Xeon Phi Knights Hill

  10. Star Wars Jedi Challenges im Test

    Lichtschwertwirbeln im Wohnzimmer



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Smartphoneversicherungen im Überblick: Teuer und meistens überflüssig
Smartphoneversicherungen im Überblick
Teuer und meistens überflüssig
  1. Winphone 5.0 Trekstor will es nochmal mit Windows 10 Mobile versuchen
  2. Librem 5 Das freie Linux-Smartphone ist finanziert
  3. Aquaris-V- und U2-Reihe BQ stellt neue Smartphones ab 180 Euro vor

Erneuerbare Energien: Siemens leitet die neue Steinzeit ein
Erneuerbare Energien
Siemens leitet die neue Steinzeit ein
  1. Siemens und Schunk Akkufahrzeuge werden mit 600 bis 1.000 Kilowatt aufgeladen
  2. Parkplatz-Erkennung Bosch und Siemens scheitern mit Pilotprojekten

Cubesats: Startup steuert riesigen Satellitenschwarm von Berlin aus
Cubesats
Startup steuert riesigen Satellitenschwarm von Berlin aus
  1. Arkyd-6 Planetary Resources startet bald ein neues Weltraumteleskop
  2. SAEx Internet-Seekabel für Südatlantikinsel St. Helena
  3. Sputnik Piep, piep, kleiner Satellit

  1. Re: Wow und....Ehm...

    sofries | 07:34

  2. Re: "Versemmelt"

    Jesper | 07:18

  3. Re: Macht ruhig weiter, Vivendi

    Hotohori | 06:33

  4. Re: "nicht weit weg"

    Hotohori | 06:20

  5. Re: So viel zu der Behauptung, VW sei E- und...

    countzero | 06:00


  1. 19:05

  2. 17:08

  3. 16:30

  4. 16:17

  5. 15:49

  6. 15:20

  7. 15:00

  8. 14:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel