Abo
  • Services:
Anzeige
Bei Microsofts Dynamics 365 for Operations teilten sich alle Kunden einen privaten Schlüssel.
Bei Microsofts Dynamics 365 for Operations teilten sich alle Kunden einen privaten Schlüssel. (Bild: Pixabay / Hans/CC0 1.0)

Dynamics 365: Microsoft verteilt privaten Schlüssel an alle Kunden

Bei Microsofts Dynamics 365 for Operations teilten sich alle Kunden einen privaten Schlüssel.
Bei Microsofts Dynamics 365 for Operations teilten sich alle Kunden einen privaten Schlüssel. (Bild: Pixabay / Hans/CC0 1.0)

Microsoft hat aus Versehen einen privaten Schlüssel für seinen Clouddienst Dynamics 365 veröffentlicht - und schaffte es über Monate nicht, auf Hinweise zu reagieren. Zwischenzeitlich empfahl der Support sogar, eine Krisenreaktionsfirma aus der Ölindustrie anzurufen, um das Problem zu beseitigen.
Von Hanno Böck

This article is also available in English.

Anzeige

In einem Cloud-ERP-Produkt hat Microsoft für verschlüsselte HTTPS-Verbindungen auf allen Instanzen dasselbe Zertifikat genutzt. Dem Softwareentwickler Matthias Gliwka ist es gelungen, bei einer sogenannten Sandbox-Instanz den privaten Schlüssel zu extrahieren. Damit könnten Man-in-the-Middle-Angriffe auf Nutzer anderer Instanzen durchgeführt werden.

Bei der Cloud-Version von Dynamics 365 for Operations erhält jeder Kunde eine Instanz der Software auf einem eigenen Server. Davon gibt es eine Sandbox-Version, die als Testumgebung gedacht ist. Das Webinterface dieser Systeme wurde mit einem HTTPS-Zertifikat ausgeliefert, das für *.sandbox.operations.dynamics.com ausgestellt war - von Microsofts eigener Zertifizierungsstelle.

Remote-Zugriff ermöglicht das Extrahieren des privaten Schlüssels

Kunden können sich selbst über das Microsoft-eigene Remote Desktop Protocol (RDP) auf dem Sandbox-Server einloggen. Da sie damit direkten Zugriff auf den Server haben, ist es nicht schwer, den zum Zertifikat zugehörigen privaten Schlüssel zu extrahieren und herunterzuladen.

Zwar war der Schlüssel unter Windows als nicht exportierbar markiert, aber das ist kein richtiger Schutz. Es gibt diverse Tools, mit denen das umgangen werden kann. Matthias Gliwka gelang es mit einem selbstgeschriebenen Tool, an den Key zu gelangen.

Mit Hilfe des privaten Schlüssels ist es möglich, Man-in-the-Middle-Angriffe auf andere Nutzer durchzuführen, da das Zertifikat für alle Instanzen identisch ist. Wenn ein Angreifer beispielsweise im selben Netzwerk wie das Opfer ist, könnte er alle Anfragen auf eine entsprechende Dynamics-365-Instanz zu seinem eigenen Server umleiten und dort etwa eine vom Originalinterface nicht unterscheidbare Phishing-Seite installieren.

Unklar war für Gliwka zu diesem Zeitpunkt, ob dasselbe Problem auch auf der Produktivinstanz von Dynamics 365 auftritt, da er darauf keinen Zugriff hatte. Auch dort kommt ein Wildcard-Zertifikat - gültig für *.operations.dynamics.com - zum Einsatz.

Bereits im August wendete sich Matthais Gliwka an Microsofts Security Response Center. In einer ersten Antwort teilte Microsoft mit, dass das Unternehmen dies nicht für ein Sicherheitsproblem halte, da der Angreifer ja Administrationsrechte auf dem Server brauche. Offenbar hat Microsoft zunächst nicht verstanden, dass man mit dem Key von einer Instanz auch andere Kunden angreifen kann.

In einer zweiten Mail versuchte Gliwka kurz darauf, das Problem nochmals detailierter zu beschreiben. Diese Mail wurde nie beantwortet. Anschließend wandte sich Gliwka direkt an eine Person, die für Microsofts Zertifizierungsstelle arbeitete. Diese teilte ihm mit, dass Microsofts Sicherheitsteam seine Mails nicht finden könne. Nachdem er seine Mail erneut geschickt hatte, wurde sie zunächst wieder nicht gefunden. Ein paar Tage später wurde ihm jedoch mitgeteilt, dass jetzt aktiv an einer Lösung gearbeitet werde. Doch es passierte weiterhin nichts.

Microsoft-Support gibt Bugreporter Nummer der Marine Spill Response Corp 

eye home zur Startseite
quark2017 13. Dez 2017

Und was tut ihr bzw. dein Unternehmen, wenn der Nutzer keinen Speicherdump mitschickt...

Themenstart

nobs 11. Dez 2017

Nun warte ich nur noch auf den Beweis dass auch das kein Schutz ist. Aber wie schön dass...

Themenstart

SirJoan83 09. Dez 2017

...der Typ erst alle möglichen Stellen kontaktiert (sogar eine Ölfirma) und ganz am...

Themenstart

Avarion 08. Dez 2017

Nicht zwingend. Ich kenne Leute die sogar regelmässig Trail sagen obwohl sie Trial meinen.

Themenstart

delphi 08. Dez 2017

Falls mal jemand Bedarf haben sollte: Die E-Mail-Adresse des MSRC und den dazugehörigen...

Themenstart

Kommentieren



Anzeige

Stellenmarkt
  1. Digital Ratio GmbH, Eschborn
  2. Beko Technologies GmbH, Neuss
  3. Hessisches Landeskriminalamt, Wiesbaden
  4. Bertrandt Ingenieurbüro GmbH, München


Anzeige
Blu-ray-Angebote
  1. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)
  2. 61,99€
  3. 24,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. Omega Timing

    Kamera mit 2.000 x 1 Pixeln sucht Sieger

  2. Autonomes Fahren

    Waymo testet in Atlanta

  3. Newsletter-Dienst

    Mailchimp verrät E-Mail-Adressen von Newsletter-Abonnenten

  4. Gegen FCC

    US-Bundesstaat Montana verlangt Netzneutralität für Behörden

  5. Digital Rights Management

    Denuvo von Sicherheitsanbieter Irdeto gekauft

  6. Android 8.1

    Oreo erkennt Qualität von WLAN-Netzwerk vor Verbindung

  7. Protektionismus

    Trump-Regierung verhängt Einfuhrzölle auf Solarzellen

  8. Stylistic Q738

    Fujitsus 789-Gramm-Tablet strahlt mit 1.300 cd/m²

  9. Far Cry 5

    Vier Hardwareanforderungen für Hope County

  10. Quartalsbericht

    Netflix wächst trotz Preiserhöhung stark



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Indiegames-Rundschau: Krawall mit Knetmännchen und ein Mann im Fass
Indiegames-Rundschau
Krawall mit Knetmännchen und ein Mann im Fass
  1. Games 2017 Die besten Indiespiele des Jahres
  2. Indiegames-Rundschau Von Weltraumpiraten und dem Wunderdoktor

BeA: Soldan will Anwälten das Internet ausdrucken
BeA
Soldan will Anwälten das Internet ausdrucken
  1. BeA Bundesrechtsanwaltskammer stellt Zahlungen an Atos ein
  2. Chipkarten-Hersteller Thales übernimmt Gemalto
  3. Atos Gemalto bekommt 4,3-Milliarden-Euro-Angebot

Nachbarschaftsnetzwerke: Nebenan statt mittendrin
Nachbarschaftsnetzwerke
Nebenan statt mittendrin
  1. NetzDG Streit mit EU über 100-Prozent-Löschquote in Deutschland
  2. Nextdoor Das soziale Netzwerk für den Blockwart
  3. Hasskommentare Neuer Eco-Chef Süme will nicht mit AfD reden

  1. Re: "die Fläche eines halben Fußballfeldes"

    M.P. | 13:03

  2. Re: "Error during the vulnerability check!"

    the_wayne | 13:03

  3. Re: Experiment

    JackIsBlack | 13:01

  4. Re: Der Basispreis war doch bloss PR

    Trollversteher | 13:01

  5. Re: Das Wettrüsten ist in vollem Gang

    0xDEADC0DE | 13:00


  1. 12:07

  2. 12:06

  3. 11:46

  4. 11:31

  5. 11:17

  6. 10:54

  7. 10:39

  8. 10:21


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel