- Der ehemalige Microsoft-Mitarbeiter Andrew Harris behauptet, er habe nach der Entdeckung der Golden-SAML-Schwachstelle in AD FS im Jahr 2016 über Jahre hinweg Gegenmaßnahmen gefordert, das Unternehmen habe jedoch statt einer sofortigen Behebung nur langfristige Alternativen erwähnt
- Die Schwachstelle ermöglicht nach dem Diebstahl des privaten Schlüssels eines AD-FS-Servers den Zugriff auf Cloud-Dienste mit gefälschten Tokens unter der Identität legitimer Nutzer, hinterlässt nur wenige Spuren in Audit-Logs und kann auch Multi-Faktor-Authentifizierung umgehen
- Die von Harris vorgeschlagene Deaktivierung von seamless SSO kollidierte mit Bedenken wegen Unannehmlichkeiten für Kunden der Bundesregierung, dem Pentagon-Cloud-Vertrag, dem Wettbewerb mit Okta und einer Verschlechterung der Nutzererfahrung
- Nach dem SolarWinds-Angriff 2020 nutzten russische Hacker diese Schwachstelle, um sensible Daten bei der National Nuclear Security Administration, den NIH, dem Treasury Department und anderen Stellen zu sammeln; Microsoft empfahl daraufhin Microsoft-365-Kunden, seamless SSO in AD FS zu deaktivieren
- Microsoft erklärte, der Schutz der Kunden habe oberste Priorität und Sicherheitsprobleme seien mehrfach geprüft worden, doch die Aussagen ehemaliger Mitarbeiter zeigen einen Konflikt zwischen Sicherheitskultur und geschäftlichen Prioritäten
In AD FS entdeckte Golden-SAML-Schwachstelle
- Andrew Harris arbeitete bei Microsoft in der geheimen Organisation Ghostbusters, die auf Hackerangriffe bei sensiblen Kunden reagierte, und konzentrierte sich 2016 bei der Untersuchung eines Einbruchs bei einem großen US-Technologieunternehmen auf ein Problem in AD FS
- AD FS ist ein Produkt, das es Nutzern ermöglicht, sich einmal anzumelden und dann auf mehrere geschäftliche Programme zuzugreifen; es wird von Millionen Menschen genutzt
- Das zentrale Risiko, das Harris identifizierte, war, dass Angreifer bei SAML-basierter Authentifizierung als legitime Mitarbeiter auftreten und auf Cloud-basierte Programme zugreifen können
- Angreifer dringen zunächst in einen On-Premises-Server ein und extrahieren dann den privaten Schlüssel vom AD-FS-Server
- Danach fälschen sie Tokens und können dadurch wie Nutzer mit hohen Berechtigungen erscheinen
- Da die Anmeldeinformationen legitim wirken, ist die Erkennung mit gewöhnlichen Audit-Logs schwierig
- Harris ging davon aus, dass dieses Problem nicht nur Microsoft Azure betrifft, sondern auch Organisationen, die andere Cloud-Anbieter wie Amazon nutzen
„Security Boundary“ und die Einschätzung des MSRC
- Harris meldete das Problem dem Microsoft Security Response Center, also dem MSRC, doch das MSRC entschied, dass es nicht behoben werden müsse
- Das MSRC argumentierte, Angreifer müssten zunächst Zugriff auf einen On-Premises-Server erlangen; dieser Punkt sei die Sicherheitsgrenze, und der anschließende Übergang in die Cloud sei keine separate Sicherheitsgrenze
- Ehemalige MSRC-Mitarbeiter sagen, das Center habe damals unter Personalmangel viele Schwachstellenmeldungen bearbeiten müssen, und es habe eine Kultur gegeben, häufig auf „won’t fix“ zu entscheiden
- Sie erinnern sich außerdem daran, dass der Begriff „security boundary“ damals nicht klar definiert gewesen sei und von Microsoft oft als Begründung verwendet worden sei, etwas nicht zu korrigieren
- Bill Gates schrieb 2002 in einem Memo, dass zwischen dem Hinzufügen von Funktionen und der Behebung von Sicherheitsproblemen Sicherheit gewählt werden müsse, doch ehemalige Mitarbeiter sagen, der Einfluss des MSRC habe im Laufe der Zeit nachgelassen
Übergangslösung kollidierte mit Geschäftslogik
- Harris ging davon aus, dass eine langfristige Behebung Zeit brauchen könnte, und schlug als Zwischenlösung die Deaktivierung von seamless single sign-on (SSO) vor
- Diese Funktion ist ein Komfortmerkmal von Microsoft, das es Nutzern erlaubt, sich einmal anzumelden und dann auf On-Premises-Server sowie mehrere Cloud-Dienste zuzugreifen
- Laut Harris widersprach der für das Produkt zuständige Mark Morowczynski, weil eine Offenlegung der Schwachstelle Angreifern Hinweise geben und Kunden der Bundesregierung erhebliche Unannehmlichkeiten bereiten könnte
- Beschäftigte der Bundesregierung mussten sich laut Vorschrift mit Smartcards anmelden
- Wenn seamless SSO deaktiviert würde, wäre für den Cloud-Zugriff eine zweite Anmeldung nötig, und dabei könnten die erforderlichen Smartcards nicht verwendet werden, erklärte Harris
- Auch der große Cloud-Vertrag mit dem Pentagon und der Wettbewerb mit Okta wurden als Gründe für den Widerstand genannt
- Microsoft konkurrierte damals mit Okta, und seamless SSO war einer der Wettbewerbsvorteile von Microsoft
- Harris’ Vorschlag hätte Reibung erzeugt, weil sich Nutzer zweimal authentifizieren müssten, und stand damit im Widerspruch zur Produktstrategie
- Harris erinnert sich, Morowczynski habe gesagt, dies sei keine technische Entscheidung, sondern eine geschäftliche Entscheidung
Warnungen externer Sicherheitsfirmen
- CyberArk veröffentlichte 2017 einen Blogbeitrag und einen Proof of Concept, in dem diese Technik Golden SAML genannt wurde
- Brad Smith schrieb später in einer schriftlichen Antwort an den Senate Intelligence Committee, Microsoft habe erst durch die Veröffentlichung von CyberArk im Jahr 2017 von dem Problem erfahren
- Lavi Lazarovitz von CyberArk sagte, das Problem sei vor der Veröffentlichung in einem privaten WhatsApp-Chat mit Sicherheitsforschern mehrerer Unternehmen geteilt worden, darunter auch Microsoft-Forscher
- Harris sagt, nach der Veröffentlichung durch CyberArk habe er das Problem wegen der gestiegenen Dringlichkeit erneut bei der Produktgruppe und dem MSRC angesprochen, doch das MSRC habe seine bisherige Haltung beibehalten
- 2019 demonstrierten Forscher von Mandiant auf einer Konferenz in Deutschland, wie sich durch eine Kompromittierung von AD FS auf Cloud-Konten und Anwendungen zugreifen lässt, und veröffentlichten auch Tools
- Mandiant erklärte, Microsoft vor dem Vortrag informiert zu haben
- Es war innerhalb von rund 16 Monaten das zweite Mal, dass ein externes Unternehmen Microsoft auf das SAML-Problem hingewiesen hatte
Harris’ Warnung an Kunden und der Fall NYPD
- Harris veröffentlichte 2019 auf LinkedIn eine indirekte Warnung, sinngemäß an Personen, die jemanden kennen, der die AD-FS-Authentifizierungsbeziehungen nicht verstehe, sich bei ihm zu melden
- Er versuchte, Kunden, zu denen bereits Beziehungen bestanden, direkt auf das Risiko hinzuweisen; einer davon war das New York Police Department
- Harris erklärte dem IT-Verantwortlichen des NYPD, Matthew Fraser, die Schwäche von AD FS und empfahl, seamless SSO zu deaktivieren
- Fraser bestätigte das Treffen und sagte, die SAML-Schwachstelle sei als Bereich identifiziert worden, der Schutz und Isolierung benötige
- Harris verließ Microsoft im August 2020 und wechselte zu CrowdStrike; auch in seinem Exit-Interview habe er die SAML-Schwachstelle erneut angesprochen, sagt er
Umgehung von Multi-Faktor-Authentifizierung und SolarWinds-Angriff
- Harris sagt, er habe 2018 in einem Gespräch mit einem Kollegen erkannt, dass Angreifer mit gefälschten Tokens auch Multi-Faktor-Authentifizierung umgehen könnten
- Das Problem sei, dass Angreifer mit einem gefälschten Token alle zusätzlichen Sicherheitsstufen überspringen könnten
- Ende 2020 wurde der SolarWinds-Angriff öffentlich, und die US-Regierung erklärte, staatlich unterstützte russische Hacker seien beteiligt gewesen
- Die Angreifer platzierten Schadcode in ein Software-Update von SolarWinds und erhielten so Backdoor-Zugriff auf Netzwerke; anschließend nutzten sie Post-Compromise-Schwachstellen wie Golden SAML, um Cloud-Daten und E-Mails zu stehlen
- Die Angreifer nutzten die von Harris beschriebene Schwachstelle, um sensible Daten aus mehreren Behörden zu sammeln
- National Nuclear Security Administration
- National Institutes of Health
- mehrere E-Mail-Konten des Treasury Department
- Brandon Wales von der CISA sagte damals, fast ein Drittel der Opfer habe die SolarWinds-Software gar nicht verwendet
- Auch Microsoft wurde kompromittiert, und kurz nach dem Angriff empfahl Microsoft seinen Microsoft-365-Kunden, bei AD FS und ähnlichen Produkten seamless SSO zu deaktivieren
Öffentliche Position von Microsoft und Folgemaßnahmen
- Microsoft-Präsident Brad Smith sagte 2021 vor dem Kongress, beim SolarWinds-Angriff seien keine Schwachstellen in Microsoft-Produkten oder -Diensten ausgenutzt worden
- Smith erklärte, Golden SAML sei in 15 % der 60 von Microsoft identifizierten Fälle eingesetzt worden, räumte jedoch ein, dass dies nicht die einzigen Opfer gewesen seien, bei denen Daten beobachtet oder gestohlen wurden
- Smith sagte, Organisationen hätten kaum Schaden erlitten, wenn sie verschiedene Maßnahmen ergriffen hätten, etwa den Kauf von Antivirus-Produkten wie Microsoft Defender und den Schutz von Geräten mit Intune
- Nach SolarWinds ergriff Microsoft Maßnahmen zur Minderung des SAML-Risikos; Funktionen zur effizienten Erkennung der Folgen eines Hacks sind jedoch im kostenpflichtigen Zusatzprodukt Sentinel enthalten
- Microsoft bezeichnete dieses Fehlen von Erkennungsmöglichkeiten in einem Blog als „blind spot“
Microsofts Gegenrede und Debatte über die Sicherheitskultur
- Microsoft ließ zwar keine hochrangigen Führungskräfte wie Brad Smith für Interviews zu, bestritt aber die Ergebnisse der ProPublica-Recherche an sich nicht
- In einer schriftlichen Stellungnahme erklärte das Unternehmen, der Schutz der Kunden habe stets höchste Priorität, und Sicherheitsteams nähmen jedes Problem ernst und unterzögen es manuellen Bewertungen sowie Prüfungen durch Engineering- und Sicherheitspartner
- Microsoft erklärte, bei der Bewertung potenzieller Bedrohungen würden mögliche Kundenunterbrechungen, Ausnutzbarkeit und verfügbare Gegenmaßnahmen berücksichtigt
- Auch ein Vorfall im Jahr 2023, bei dem mit der chinesischen Regierung verbundene Hacker eine Sicherheitslücke bei Microsoft ausnutzten, um auf E-Mails hochrangiger US-Beamter zuzugreifen, wurde Gegenstand einer Untersuchung des House Homeland Security Committee
- Das Cyber Safety Review Board kam bei der Untersuchung dieses Vorfalls zu dem Schluss, Microsofts Sicherheitskultur sei unzureichend und müsse grundlegend überarbeitet werden
- Satya Nadella sagte nach dem Bericht an den Vorstand den Mitarbeitern, sie sollten Sicherheit wählen, wenn sie mit anderen Prioritäten in Konflikt gerate
Wettbewerb im Cloud-Geschäft und die Folgen
- Satya Nadella, der 2014 CEO wurde, setzte die Zukunft von Microsoft auf das Cloud-Geschäft Azure; damals lag Azure deutlich hinter Amazon zurück
- Microsoft schlug Unternehmens- und Regierungskunden eine Hybrid-Cloud-Strategie vor, bei der ein Teil der On-Premises-Server erhalten bleibt, während der Großteil der Rechenlast in die Cloud verlagert wird
- Sicherheit war ein zentrales Verkaufsargument für die Cloud, und als Vorteil wurde dargestellt, dass spezialisierte Sicherheitsteams Patches und Updates übernehmen
- Harris und ehemalige Mitarbeiter sagen, der große Cloud-Vertrag mit dem Pentagon und der Druck zum Wachstum von Azure hätten die Entscheidungsfindung der Produktteams beeinflusst
- Microsoft erhielt schließlich gemeinsam mit Amazon, Google und Oracle Teile eines mehrjährigen Cloud-Geschäfts des Defense Department im Wert von mehreren Milliarden Dollar
- Seit der Bekanntgabe von SolarWinds ist die Microsoft-Aktie um 106 % gestiegen; als wesentliche Gründe werden der Erfolg von Azure und von KI-Produkten wie ChatGPT genannt
- Das langfristige Ersatzprodukt für AD FS, das Morowczynski laut Harris 2017 erwähnte, wurde ab 2022 bereitgestellt
1 Kommentare
Hacker-News-Kommentare
Die Lösung sei, innerhalb der Organisation vollständiges Zero Trust umzusetzen und dem Netzwerk nicht zu vertrauen. Auch das interne Netzwerk müsse wie ein externes, also wie eine feindliche Umgebung behandelt werden
Google sei mit BeyondCorp das erste bekannte Beispiel für eine breite Einführung von Zero Trust gewesen, und seit Aurora habe es bei Google wohl keine Kompromittierung interner Organisationen mehr gegeben
Dafür brauche es vollständig verwaltete Endpunkte, starkes Endpoint Hardening, ein vollständiges Inventar aller Ressourcen der Organisation, gerätebezogene Zertifikate und eine Access-Control-List-Engine, die den Zugriff auf Ressourcen pro Nutzer bewertet
Mit Heuristiken wie Arbeitszeiten ließen sich auch Anomalien erkennen, und alle internen Apps bei Google seien ins Internet exponiert und leiteten auf ein SSO-Portal um, tatsächlich komme man aber nicht hinein. Viele dieser Sicherheitsprobleme seien bereits gelöst, man müsse sie nur noch implementieren
Die meisten großen Organisationen hätten dagegen über Jahrzehnte interne und externe Technologien angesammelt, alte Systeme würden faktisch sich selbst überlassen, und durch M&A sowie die Freiheit einzelner Abteilungen bei der Tool-Auswahl entstehe große Heterogenität
Der Umstieg auf Zero Trust erfordere groß angelegte Migrationen, „Schulungen“, um sture IT-Verantwortliche zu überzeugen, und den Wechsel zu einem zentralisierten Modell nach Google-Vorbild
Selbst wenn man für die ersten beiden Punkte Budget bekomme, könne der dritte sehr teuer werden. Einer der Gründe, warum Google so vieles einstellt, sei auch, dass man in einem zentralisierten Modell ständig migrieren und breaking Upgrades durchführen müsse
In einem Startup wolle man Kunden solche Einheitlichkeit auf Basis von Best Practices gern bieten, doch irgendwann könne ein Kunde verlangen: „Schaltet Zero Trust ab und lasst uns mit einer IP-Allowlist arbeiten.“ Für einen großen Vertrag könne man versucht sein, dem nachzugeben, und man könne eine Übernahme auch nicht einfach absagen, nur weil das Zielunternehmen kein Zero Trust hat
Eher seien sie extrem schwierige Aufgaben, und die Antwort klinge wie „zeichne einfach die ganze Eule“. Man könne sich zum Beispiel vorstellen, wie Shaw Industries, der größte Teppich- und Bodenbelagshersteller der USA mit 22.000 Mitarbeitenden, das umsetzen soll
Wer eine Haltung absoluter „Sicherheit“ einnimmt, sucht irgendwann nicht mehr aktiv nach Kompromittierungen und übersieht am Ende einen Vorfall, der früher oder später ohnehin eintreten wird
Zero Trust ist eine Philosophie und eine ziemlich gute, aber keine Lösung an sich. Es ist sinnvoller, es als Philosophie und als gute Praxis zu verstehen statt als absolute Lösung
Ich glaube nicht, dass diese Architektur für jedes Unternehmen passt. Die meisten Tech-Unternehmen außerhalb der Softwarebranche leiden eher unter einfacher Social Engineering, Betrugsmails und der Weitergabe von Zugangsdaten an Dritte, außerdem ist Wirtschaftsspionage eine große Bedrohung
Google hat womöglich andere Sicherheitsbedenken, etwa Whistleblower oder Aktivistengruppen, die mit der Vision des Managements kollidieren, und dafür mag diese Struktur geeignet sein. Das heißt aber nicht, dass alle Unternehmen dieselben Angriffsvektoren haben
Sicherheitsprobleme sind lösbar, aber die nötige Infrastruktur ist alles andere als trivial, und viele Engineering-Software-Stacks unterstützen Authentifizierung durch Dritte gar nicht
Entwickler sträuben sich oft gegen „verwaltete Endpunkte“, auch wenn sie keine Softwareentwickler sind. Für Google funktioniert es, ist aber eher ein Sonderfall; in der Praxis kann vernünftige Netzwerksegmentierung deutlich wirksamer sein
Die Fehlanreize zwischen Sicherheit und Profit lassen sich besonders in börsennotierten Unternehmen ohne einen gewaltigen Kulturwandel nur schwer beheben. Ich wüsste nicht einmal, was so einen Wandel auslösen könnte
Ich habe in mehreren Rollen Cybersicherheit mitbetreut, bin aber nie Vollzeit in den Bereich gewechselt, gerade wegen dessen, was ich direkt in der Branche gesehen habe. Der Fokus liegt überwältigend stark auf Compliance statt auf wirklich guten Sicherheitspraktiken, und selbst diese Standards sind unzureichend oder werden schwach durchgesetzt
Es braucht einen Kulturwandel, aber ich glaube, er muss von der Kundenseite kommen. Auch wenn es für Verbraucher schwierig ist, könnten Unternehmenskunden Sicherheit ernsthaft bewerten, verbindliche Zusicherungen verlangen und ihre Kaufentscheidungen daran ausrichten; dann würde die Branche reagieren
Natürlich ist Microsoft im Desktop-Markt so tief verankert, dass dieser Ansatz kaum vollständig wirksam sein dürfte
Andererseits ist das auch eine direkte Reaktion auf das Fehlen eines Kulturwandels, der Sicherheit ernst nimmt. Sicherheitsteams haben oft nur zwei Optionen
Entweder sie sagen: „Sicherheit ist wichtig, also lasst uns sichere Produkte bauen“, und werden ausgelacht, oder sie berufen sich auf die vom Auditor geforderte Compliance, um wenigstens ein kleines Stück in Richtung Sicherheit zu kommen
Auch Privatpersonen entscheiden sich manchmal für Geld statt für Sicherheit. Ebenso scheint der Staat produktivere Arbeitskräfte einer höheren Sicherheit mit höheren Kosten und geringerer Produktivität vorgezogen zu haben
Wenn Unternehmen an Regierungen verkaufen, sind das Geld und der PR-Effekt so groß, dass ein Anreiz entsteht, unangenehme Tatsachen zu verbergen. Das erinnert an einen bestimmten Flugzeughersteller
Das kann sich im Lauf der Zeit über das ganze Spektrum ausbreiten, vom Verbergen leicht peinlicher Inhalte bis hin zu massivem, systematischem und vorsätzlichem Betrug
Wenn Führungskräfte sagen „Sicherheit/Qualität hat Vorrang“, dies aber in der Praxis nicht belohnen, ist die Bühne bereits bereitet
Wenn täglich Geldziele belohnt oder ihr Verfehlen bestraft wird und bei gelegentlichen Vorfällen nur ein oder zwei Untergebene bestraft werden, dann ist das, was das Unternehmen wirklich ernst nimmt, Geld und nicht Sicherheit/Qualität
Um Ziele zu erreichen, muss man Anreize setzen. Vertrieb ist stressig und man kann leicht entlassen werden, aber bei Erfolg verdient man viel Geld. In der Sicherheit wird man bei Erfolg lediglich nicht entlassen, bei Misserfolg aber sehr wohl
Das Ergebnis guter Sicherheitsarbeit ist schwer messbar, weil es aus „nichts ist passiert“ besteht: keine Verletzung, kein Desaster, kein Aufruhr. Das ist das Problem, Abwesenheit zu quantifizieren
Am Ende hat der Vertrieb viele Karotten, und die Peitsche ist dieselbe wie für alle anderen; die Sicherheit hat keine Karotten, nur die Peitsche, und diese Peitsche könnte sogar ein Nagelknüppel sein. Die Antwort liegt in der Kultur, und Kulturwandel ist wohl am schwersten
Man sollte nicht erwarten, dass sich der Vertrieb um Sicherheit kümmert; sein Fokus sollte auf Wachstum liegen. Das Problem ist, dass die Gegenseite nicht die Autorität und Zuständigkeit bekommt, „nein“ zu sagen, wenn Sicherheitskorrekturen vor neuen Funktionen Priorität haben müssen
Wenn ein Projektmanager, der an Wachstumsanreizen gemessen wird, die Prioritäten festlegt, wird er sich natürlich eher für Wachstum als für Sicherheit entscheiden
Es liegt nicht daran, dass das Sicherheitsteam die Probleme nicht kennt, sondern daran, dass die Behebungen nicht priorisiert werden und Kultur und Prozesse zwischen beiden Seiten kein Gleichgewicht herstellen
Auch auf Regierungsseite gibt es, zumindest für die Karriere einzelner Entscheidungsträger, erhebliche Anreize, dass der Vertrag zustande kommt
Beide Seiten wollen, dass der Deal durchgeht, und haben einen Anreiz, Mängel zu verbergen, solange der Endnutzer sie nicht vor der Pensionierung bemerkt
Ich denke, das von Satya Nadella vertretene Microsoft-Modell „Security first“ nach dem Motto „Wenn wir zwischen Sicherheit und anderen Prioritäten wählen müssen, ist die Antwort klar: Sicherheit“ sieht so aus
Werbung in jede Ecke von Windows stopfen, einen Rekorder installieren, der alles aufzeichnet, was Nutzer tun, und den Mitarbeitern eine Mail schicken, dass sie „Sicherheit machen“ sollen — Auftrag erfüllt
Dadurch wurde mir sehr deutlich, dass solche Schulungen, E-Mails und Prozesse größtenteils der plausiblen Abstreitbarkeit dienen
Bei Microsoft gibt es auch Menschen, denen Sicherheit wirklich am Herzen liegt. Ich habe solche Leute selbst getroffen. Aber im Großen und Ganzen sorgen diese Mechanismen dafür, dass Satya vor Gericht oder im Kongress sagen kann: „Wir haben gesagt, man solle Sicherheit besser machen. Das ist die Schuld des Produktteams oder einzelner Mitarbeiter, nicht die von Microsofts Politik und Anreizen“
Formulierungen in E-Mails haben keinerlei Gewicht. In dem Moment, in dem eine Führungskraft sich entscheidet, Sicherheit gegen etwas anderes einzutauschen, ist das nötige Signal an die Mitarbeiter bereits gesendet
Mir fallen die Kontroverse dazu ein, dass Canonical die Suche über die Super-Taste protokollierte, und dass Ubuntu standardmäßig Amazon-Werbung enthielt
Wer Computer liebt, kann Arch, Gentoo oder NixOS Minimal installieren und Pakete auditieren, aber zu erwarten, dass die meisten Menschen außerhalb der Softwareentwicklung das tun, ist unrealistisch
Nicht nur Microsoft, sondern jedes Unternehmen hat immer den Anreiz, so viel Werbung wie möglich einzubauen und so viele Daten wie möglich zu sammeln. Ich bin nicht sicher, ob ich Regulierung befürworte, aber ich kenne auch keinen besseren Weg
Wie immer ist das Manager-Sprech von „Security first“ nicht wichtig
Wenn Menschen für Funktionen belohnt und befördert werden, eine Sicherheitskultur aber nicht belohnt wird, dann sind weder die Leute noch die Managementebenen dumm und optimieren entsprechend
Ich weiß nicht, wie man diese Anreize so gestalten müsste, dass das Problem gelöst wird, aber sonst wird es weiter genau so laufen
Wahrscheinlich passiert nichts, bis Verantwortliche bestraft werden und jemand den Preis zahlt
Normalerweise kommen Features ins Produkt, wenn das Marketing zeigen kann, dass sie mehr Geschäftswachstum erzeugen als sie kosten. Dieselbe Idee könnte man hier anwenden
So nach dem Muster: „Diese Schwachstelle betrifft X % der Kunden, Y % werden abspringen, zusätzlich entsteht Reputationsschaden, und dadurch verlieren wir einen großen Geldbetrag. Dagegen lässt sie sich innerhalb von Z Tagen für einen kleinen Betrag beheben. Entscheidung?“
Ich denke, in dieser Geschichte wird ein ziemlich großer Hinweis übersehen. Wenn man nahtloses SSO deaktiviert, hat das weitreichende und spezielle Auswirkungen auf die physischen Smartcards, die Regierungsangestellte zum Anmelden an Geräten verwenden.
Diese nach Bundesvorschriften erforderlichen Karten erzeugen bei jeder Anmeldung ein zufälliges Passwort, aber aufgrund der zugrunde liegenden technischen Architektur führt das Entfernen von nahtlosem SSO dazu, dass Nutzer mit einer Smartcard nicht mehr auf die Cloud zugreifen können.
Die US-Regierung ist einer der größten Kunden von Microsoft, und auch die Nutzerbasis sowie die Größe von Active Directory sind enorm. Aus meiner Erfahrung in diesem Bereich sind Benutzer- und Rollenverwaltung wegen kompromittierter Zugangsdaten, gesperrter Konten usw. nahezu ein Albtraum und stehen ständig im Visier.
Die US-Regierung hat versucht, alle auf Smartcard-Authentifizierung umzustellen, um diese Probleme zu verringern, und wenn man Passwörter abschafft und alle auf Zwei-Faktor-Authentifizierung umstellt, reduziert das die Angriffsfläche erheblich.
Und nun hat diese Person im Grunde gefordert, man solle Kunden im Rahmen der Abhilfe einfach sagen, sie sollen das abschalten.
Ich bestreite nicht das Risiko der ursprünglichen SAML-Schwachstelle, aber ich denke, Harris hat die übrige Reaktion von Microsoft unfair beurteilt. Das kommt dem gleich, von der gesamten Behörde zu verlangen, die Zwei-Faktor-Authentifizierung abzuschalten.
Eine kurzfristige Abhilfemaßnahme kann die Sicherheit erheblich beeinträchtigen und Kunden stärker den Arten von Angriffen aussetzen, die man ursprünglich verhindern wollte. Diese Geschichte wurde als weiteres Beispiel dafür dargestellt, dass dem Unternehmen Sicherheit egal war, aber es wirkt eher wie eine Gegenreaktion eines „Whistleblowers“, der die gesamte Sicherheitslage der Kunden zu eng betrachtet hat.
Die meisten Administratoren von Informationssicherheitssystemen in Regierungsbehörden hätten wohl aus demselben Grund gesagt, dass das keine praktikable Option ist.
Darum geht es in dem Artikel am Ende auch. Sie haben es weiter verkauft, obwohl sie wussten, dass es keine Möglichkeit gibt, es sicher zu betreiben.
Ich will Microsoft nicht verteidigen, aber ich weiß nicht, ob man ein Unternehmen konkret benennen kann, das Sicherheit vor Gewinn stellt.
Bill Gates sagte 2002: „Wenn wir zwischen dem Hinzufügen von Funktionen und dem Beheben von Sicherheitsproblemen wählen müssen, sollten wir Sicherheit wählen“, und Satya Nadella sagte 2024 sinngemäß dasselbe mit „do security“.
https://www.wired.com/2002/01/bill-gates-trustworthy-computi...
https://www.theverge.com/24148033/satya-nadella-microsoft-se...
Tatsächlich gibt es Funktionen, die ich nutzen und für die ich mehr bezahlen würde, die sie aber nicht bauen, weil sie entweder kein vollständig sicheres Protokoll haben oder sich in gewöhnliche Kalender-Clients integrieren müssten.
Wenn die zahlenden Kunden Sicherheit nicht schätzen, dann schätzt sie auch der Anbieter nicht, außer es gibt regulatorische oder rechtliche Vorgaben.
Aber wenn man bedenkt, dass große Organisationen und Regierungen zu den Microsoft-Kunden gehören, ist dieser Fall seltsam. Vielleicht steckte die Arroganz dahinter, dass „uns das nicht passiert“ oder „niemand wird es merken“.
Jetzt sehen sie wohl, dass der Reputationsschaden wahrscheinlich auch künftige Gewinne beeinträchtigen wird.
Man kann es sich so vorstellen, als hätte ein Bauunternehmen eine große Brücke gebaut. Ein interner Sicherheitsprüfer hat seine Vorgesetzten wiederholt vor einem strukturellen Mangel gewarnt, der zum Einsturz führen könnte, und im Laufe der Zeit gab es auch zwei öffentliche Warnungen von außen, doch das Unternehmen spielte die Bedeutung herunter.
Schließlich stürzt die Brücke ein, und es kommt heraus, dass das Unternehmen nichts unternommen hat, weil es keine Verträge zum Verkauf weiterer mangelhafter Brücken verlieren wollte.
Die Öffentlichkeit wäre zu Recht empört, und für die Beteiligten hätte das rechtliche Folgen. Ich verstehe nicht, was in unserer Branche anders ist, dass Unternehmen und Manager mit so etwas, das über bloße Bosheit hinausgeht, davonkommen können.
Wenn nicht genug Menschenleben verloren gehen, scheint es die Leute im Allgemeinen nicht allzu sehr zu kümmern.
https://www.nrk.no/innlandet/statens-vegvesen-legg-fram-rapp...
Software bedroht nicht sofort Leben. Deshalb läuft es außerhalb von Medizin und Luft- und Raumfahrt fast wie im Wilden Westen.
Es ist schrecklich, wenn persönliche Daten ins Internet gelangen, aber verglichen damit, dass sich eine Flugzeugtür löst, bleibt immerhin noch Zeit zu handeln.
Die Regierung könnte Veränderungen anstoßen, indem sie bei Verträgen für an die Regierung verkaufte Softwareprodukte die Unterschrift und Genehmigung einer lizenzierten Person verpflichtend macht.
Die Mottarone-Seilbahn war ganz sicher vergleichbar. Sie wurde jahrelang mit deaktivierten Sicherheitseinrichtungen betrieben, und als das Zugseil riss, raste die Gondel nach unten und alle Insassen starben.
Golden SAML ist weniger eine Schwachstelle als vielmehr eine Angriffsart, die – wie der im Artikel zitierte Beitrag von CyberArk nochmals sagt – erst möglich ist, wenn man die Box bereits vollständig übernommen hat
Wenn ich nichts missverstehe, ist kein konkreter Defekt erkennbar. Um es so auszudrücken, wie Microsoft im Artikel dafür verspottet wird: Das überschreitet keine Sicherheitsgrenze
Bei SSO gibt es immer solche Trade-offs. Wenn die SSO-Infrastruktur kompromittiert wird, besteht für alles, was sie nutzt, das Risiko einer Kompromittierung
Darüber wird eher hinweggegangen, aber ich habe den Eindruck, dass das eigentliche „Hacking“ eher dort liegt
Solange man SSO verwendet, ist auch die Abmilderung nicht einfach. Ein möglicher Weg wäre, dass der Zieldienst zusätzlich zu einem gültigen SAML-Token einen zweiten Faktor verlangt, aber dann müsste jeder Nutzer für jeden einzelnen Zieldienst den zweiten Faktor aktuell halten
Das wird sehr schnell unverwaltbar, und SaaS- oder selbstgehostete Apps, die gleichzeitig SSO und einen zweiten Faktor unterstützen, gibt es in der Praxis kaum
Das ist ähnlich, als würde man einen Angriff namens „GOLDEN ADMIN“ erfinden und sagen: Wenn man Admin-Zugangsdaten hat, kann man sich als Administrator anmelden und alles tun, was man will
Mir ist schon klar, dass es schlecht ist, wenn ein Angreifer sich überall authentifizieren kann, ohne Spuren in den Logs zu hinterlassen, aber ich stimme dem ursprünglichen Kommentar trotzdem zu
Ich denke, es gibt mögliche Wege
Das ist kein Problem nur von Microsoft. Als Security Engineer gilt aus meiner Sicht: Wenn man in dieser Karriere sowohl bei Verstand bleiben als auch Ergebnisse erzielen will, sollte man dort arbeiten, wo technisches Können vorhanden ist und entweder starke regulatorische Anreize und Budgets bestehen oder wo Sicherheit kulturell ernst genommen wird, weil das Bedrohungsmodell eng mit dem Geschäft verknüpft ist
Die wichtigsten Beispiele nach meinem Maßstab sind Pre-IPO-Startups, die für einen Börsengang SOC2 und Ähnliches bestehen müssen, die Kryptoindustrie, in der Bedrohungsmodelle wie Key Theft und Gewinnanreize sehr klar sind, sowie öffentliche Technologieunternehmen, die viel kritische Infrastruktur bereitstellen
Es gibt allerdings auch Unternehmen, die wie Microsoft so groß sind, dass sie in Richtung „too big to fail“ driften, und es gibt Firmen wie Google/Project Zero, Verizon/Paranoids und Cloudflare, bei denen die internen Security-Teams stark wirken
Banken sind wegen ihres Geldes, ihrer risikoscheuen Kultur und der starken Regulierung ebenfalls denkbar, aber im Gesundheitswesen würde ich trotz strenger Regulierung wegen der Angriffsmenge und der Gleichgültigkeit nie arbeiten wollen
Deshalb würde ich, sofern man nicht wirklich im DART-Team viele reale Bedrohungsakteure und unterschiedliche Incident-Response-Fälle sehen oder sehr Low-Level-OS-Sicherheit machen möchte, Microsoft als Arbeitgeber für Security Engineers nicht empfehlen
Über die Arbeit von Security Engineers bei Apple weiß ich nicht viel. Auch deshalb liegt die durchschnittliche Verweildauer in Security-Karrieren ungefähr bei 10 Jahren. Der eigene Verstand nutzt sich ab, und die Bezahlung ist gut genug, dass man in den 30ern oder 40ern mit dem Ersparten etwas anderes machen kann