SSH-Schlüssel sind allgegenwärtig. Doch trotz ihrer weiten Verbreitung und ihrer hohen Zugriffsrechte werden sie von IT- und Sicherheitsteams oft übersehen. In der Zwischenzeit versuchen böswillige Akteure, nicht verwaltete und ungeschützte Schlüssel auszunutzen, um SSH-Angriffe durchzuführen und sich unentdeckt in Netzwerken zu verbreiten.
In diesem Blog werden wir das zugrundeliegende Problem der Ausbreitung von SSH-Schlüsseln erörtern und wie man neue SSH-Angriffe wie FritzFrog und Lemon_Duck verhindern kann, indem man eine angemessene Schlüsselverwaltung und Sicherheitspraktiken implementiert.
Die Wichtigkeit von SSH-Schlüsseln
Das SSH-Protokoll ist auf Millionen von Linux- und Unix-Servern in fast jedem Unternehmensnetz im Einsatz. SSH-Schlüssel werden in diesen Umgebungen häufig verwendet (anstelle von Passwörtern), um den Fernzugriff und automatisierte Prozesse zwischen Systemen und Maschinen zu sichern.
Kurz gesagt, SSH-Schlüssel spielen eine entscheidende Rolle bei der Unternehmenssicherheit, da sie vertrauenswürdige, verschlüsselte Verbindungen zu anderen Systemen ermöglichen, die sich entweder vor Ort oder in der Cloud befinden können.
Richtig verwaltete SSH-Schlüssel bieten Komfort und verbesserte Sicherheit, schützen das Unternehmen vor Lauschangriffen und dem Abfangen von Datenverkehr und hindern Gegner daran, sich unbefugt Zugang zu verschaffen und übertragene Daten zu entschlüsseln.
Im Gegensatz zur Passwortauthentifizierung sind geschützte und effektiv verwaltete Schlüssel resistent gegen SSH-Brute-Force-Angriffe und schützen vor Angriffsvektoren, die verwendet werden, um Zugang zu entfernten Systemen zu erhalten. Das Maß an Cyber-Resilienz, das SSH-Schlüssel bieten, ist von entscheidender Bedeutung, insbesondere wenn wir die Abhängigkeit von Unternehmen von Technologien wie IoT und Multi-Cloud-Plattformen sowie Trends wie Remote-Arbeiten berücksichtigen, die die Identität als Unternehmensgrenze nutzen.
Aufgrund der Bedeutung von SSH-Schlüsseln müssen Unternehmen, die das SSH-Protokoll verwenden, ihre Schlüssel schützen, um das Vertrauen in ihre Systeme zu wahren.
Was ist SSH Key Sprawl?
Die Verbreitung von Edge-Computing, Multi-Cloud-Umgebungen, DevOps-Praktiken und IoT hat zu einer explosionsartigen Zunahme von Schlüsseln in Unternehmensumgebungen geführt. Tatsächlich verfügen große Unternehmen, Behörden, Banken und Technologieanbieter oft über Hunderttausende oder sogar Millionen von automatisierten, geskripteten oder anderen nicht interaktiven SSH-Identitäten.
Die schiere Anzahl von SSH-Schlüsseln ist jedoch oft unbekannt und unauffindbar. Es gibt viele Gründe, die zu einer eher chaotischen Situation beitragen.
Zunächst einmal ist es für Systemadministratoren viel zu einfach, SSH-Schlüssel mit Hilfe von command zu generieren, ohne dass eine Genehmigung vorliegt oder die Zugangsverwaltungsrichtlinien des Unternehmens beachtet werden müssen. Dies führt zu einem Wildwuchs an nicht verwalteten SSH-Schlüsseln, die für bestimmte Anwendungsfälle und Prozesse verwendet werden.
Ohne Verfahren zum Löschen von Schlüsseln, wenn Mitarbeiter ihre Rolle wechseln oder das Unternehmen verlassen, bleiben die entsprechenden Schlüssel auf den Host-Systemen oft untätig und werden vergessen. Der fehlende Einblick in alle SSH-Schlüssel und Vertrauensbeziehungen erschwert die Rotation und Löschung von Schlüsseln so sehr, dass Sicherheitsteams diesen Prozess aus Angst vor einer Störung des Betriebs einfach vermeiden.
Das Endergebnis ist, dass schwache SSH-Schlüsselverwaltungsprozesse und -praktiken zu einer Situation führen, in der immer mehr Schlüssel generiert werden, von denen viele verwaist und in der Wildnis großer Unternehmensnetzwerke verloren gehen. Der erschreckendste Teil der Geschichte ist jedoch, dass diese "vergessenen" Schlüssel immer noch gültig sind und privilegierten oder sogar Root-Zugriff auf wichtige Systeme und Daten ermöglichen.
Unbekannte, nicht verfolgte und schlecht verwaltete SSH-Schlüssel stellen ein so ernstes (aber vermiedenes) Risikomanagementproblem dar, dass es oft als "der Elefant im Raum" bezeichnet wird.
Risiken der SSH-Schlüsselausbreitung
In Anbetracht des privilegierten Zugangs, den SSH-Schlüssel ermöglichen, ist es kein Wunder, dass schlecht verwaltete Schlüssel Unternehmen erheblichen SSH-Angriffen aussetzen. Trotzdem wurde die Sicherheit dieser Schlüssel bisher weitgehend ignoriert.
Die mit SSH-Schlüsseln verbundenen Konten halten sich oft nicht an die Grundsätze der geringsten Privilegien und gewähren mehr Zugriff als erforderlich, z. B. die Ausführung beliebiger command (root). Darüber hinaus bieten SSH-Schlüssel für den automatischen Zugriff auf Unternehmensressourcen und -systeme oft viel mehr Zugangspunkte zu Servern als die interaktiven Benutzerkonten. Ein beträchtlicher Prozentsatz dieser Schlüssel gewährt Zugang zu administrativen oder sensiblen Konten, z. B. solchen, die Datenbankdateien oder kritische software speichern.
SSH-Schlüssel werden auch zum Aufbau von Vertrauensbeziehungen bei der Kommunikation mit anderen Organisationen, externen Systemen oder unabhängigen Benutzern verwendet. Unverwaltete SSH-Schlüssel können dazu führen, dass diese Vertrauensbeziehungen zu Richtlinienverstößen führen, z. B. von Entwicklungs- und Testsystemen zu Produktionssystemen oder von einem System mit geringer Auswirkung zu einem System mit hoher Auswirkung, ohne dass eine zusätzliche Authentifizierung erforderlich ist.
Am wichtigsten ist jedoch, dass ein Angreifer, der ein System kompromittiert hat, aufgrund von gebrochenen SSH-Schlüssel-Vertrauensbeziehungen in der Lage ist, schnell von einem System auf ein anderes überzuwechseln und sich in einer Organisation auszubreiten - individuelle Vertrauensbeziehungen bilden oft ein Netz des Vertrauens über die Systeme einer Organisation hinweg.
SSH-Schlüssel sind ein kritisches Verwaltungsproblem
In Wirklichkeit stellen SSH-Schlüssel ein echtes Verwaltungsproblem mit einem hohen Risikoprofil dar.
SSH-Schlüssel sind attraktive Ziele für böswillige Akteure, da sie häufig verwendet werden, um den Zugang zu unternehmenskritischen Systemen wie Servern, Routern, Firewalls, Sicherheitsanwendungen und anderen Geräten über Konten mit erhöhten Berechtigungen zu sichern.
Diese erweiterten Rechte können durch einen einzigen SSH-Schlüssel erlangt werden, der möglicherweise außerhalb des Schlüsselverwaltungsprozesses generiert wurde, um einem böswilligen Akteur den Zugriff auf einen Server zu ermöglichen.
Von dort aus können die erhöhten Privilegien genutzt werden, um einen neuen Schlüssel zu finden oder zu erstellen, der den Zugang zu einem anderen Server ermöglicht, so dass die Kriminellen sich seitlich bewegen, eine Überwachung durchführen und mit wertvollen Daten entkommen können.
Die Verwaltung von SSH-Schlüsseln ist offensichtlich unerlässlich, um das Vertrauen in interaktive und automatisierte Zugriffsprozesse in Unternehmen zu gewährleisten. Die Verwaltung von SSH-Schlüsseln ist jedoch eine schwierige Aufgabe.
Obwohl SSH-Schlüssel eine Schlüsselkomponente eines robusten Identitäts- und Zugriffsmanagements (IAM) sind, werden diese Schlüssel in vielen Fällen völlig übersehen. Die Hauptursache für dieses kritische Problem ist die Verwendung manueller Methoden und Prozesse zur Verwaltung der ständig wachsenden Anzahl von SSH-Schlüsseln.
Dies führt zu einem Mangel an Transparenz der Schlüssel, die ein Unternehmen besitzt. Wenn man nicht weiß, welche Schlüssel man besitzt, ist es schwierig, diese Schlüssel allen zugehörigen Geräten und Benutzern zuzuordnen. Die Verbreitung von IoT Geräten und Nicht-Benutzer-Entitäten und -Diensten macht die Sache nur noch schlimmer.
Darüber hinaus führt die mangelnde Transparenz zu anfälligen SSH-Implementierungen, da Unternehmen keine soliden Verfahren für die Rotation und Entfernung von Schlüsseln einführen können, sei es als Reaktion auf Sicherheitsvorfälle oder für administrative Zwecke (Personalrotation).
Beginnen Sie mit Sichtbarkeit und Kontrolle
Effektives und effizientes IAM beginnt mit Transparenz und Kontrolle über Ihre Identitäten. Identitäten sind die wichtigsten Berechtigungsnachweise in modernen Unternehmensumgebungen. Sie können sich unkontrollierte, nicht verfolgte und schlecht verwaltete Identitäten einfach nicht leisten.
SSH-Schlüssel sind ein wichtiger und entscheidender Bestandteil der IAM-Prozesse Ihres Unternehmens und sollten vor Kompromissen geschützt werden. Dies lässt sich am besten erreichen, indem Sie die Kontrolle darüber zurückgewinnen, wer sie besitzt, wo sie sich befinden, welchen Zweck sie erfüllen und wann eine Rotation erforderlich ist.
Ohne Kontrollmechanismen sind Sie nicht in der Lage, die Vertraulichkeit und Integrität Ihrer Daten zu schützen.
Identitäts- und Zugriffsmanagement ist die Grundlage jedes modernen Unternehmens, da es die grundlegende organisatorische Anforderung erfüllt, Benutzer und Maschinen zuverlässig zu identifizieren und zu kontrollieren, welche Entitäten Zugriff auf welche Ressourcen erhalten.
Bewerten Sie die Risiken schlecht verwalteter SSH-Schlüssel in Ihrem Unternehmen und erfahren Sie in diesem Whitepaper, wie Sie SSH-Sicherheitspraktiken erreichen können.
