26.10.2011
Sicherheit
Sicherheitslücke in Amazons Cloud
Autor: Thorsten Eggeling
Forscher aus Bochum haben mehrere gravierende Sicherheitslücken im Cloud-Service von Amazon entdeckt. Vermutet wird, dass noch deutlich mehr Cloud-Systeme anfällig sind. Die bisher veröffentlichten Lücken wurden inzwischen geschlossen.
Forscher der Universität Bochum haben mehrere massive Sicherheitslücken im Amazons Cloud-Dienst (EC2) entdeckt. Es gelang ihnen bei dem bislang als sicher geltendem System, unberechtigt administrative Tätigkeiten auszuüben.
Das System wurde von den Forschern mit unterschiedlichen Angriffstechniken wie Signature Wrapping und Cross Site Scripting auf Herz und Nieren geprüft und sie mussten feststellen, dass es möglich ist, die administrativen Rechte der Amazons Cloud-Kunden vollständig zu übernehmen.
Nach Berichten der Forscher der Ruhr-Uni Bochum lassen sich mit einer XML-Signatur-Attacke (PDF-Datei) SOAP-Nachrichten derart verändern, dass das Cloud-System sie für authentisch hält. Das funktioniert deshalb, weil die Signatur eines XML-Teildokuments auch bei Umsortierung weiter gültig bleibt. Über diese Sicherheitslücke konnten die Forscher in einer EC2-Instanz beispielsweise virtuelle Maschinen starten und wieder zu stoppen. Außerdem konnten sie neue Images und Gateways erzeugen.
Weitere Lücken fanden die Forscher in der AWS-Oberfläche und im Amazon-Shop. Sie eignen sich hervorragend für das Einschleusen von ausführbarem Script-Code, dem sogenannten Cross Site Scripting. Das hat zur Folge, dass Angreifer sich freien Zugang zu sämtlichen Kundendaten erschleichen können. Damit aber ist das ganze Amazon Cloud-System gefährdet.
Selbst Private Clouds sind nach den Ergebnissen der Wissenschaftler angreifbar. Sie fanden dieselbe Sicherheitslücke auch beim freien Eucalyptus, das zum Betrieb privater Cloud-Installationen eingesetzt wird.
Nach dieser Entdeckung reagierten die Anbieter sofort. Laut Prof. Dr. Jörg Schwenk vom Lehrstuhl für Netz-und Datensicherheit an der Ruhr-Universität Bochum wurden die Sicherheitslücken sowohl bei Amazon als auch bei Eucalyptus umgehend geschlossen.
Swisscom
Neue Cyberbedrohungen auf dem Radar
Der neue Cyber Security Threat Radar von Swisscom zeigt die Angriffsmethoden und das Vorgehen von Cyberkriminellen. Er beleuchtet neu auch die Entwicklungen in den Bereichen "Disinformation & Destabilisation", "Manipulated Generative AI" und "Unsecure IoT/OT-Devices".
>>
Zum Welt-Passwort-Tag
"95 % der Cyber-Sicherheitsprobleme sind auf menschliche Fehler zurückzuführen"
Am 2. Mai ist Welt-Passwort-Tag. Ein guter Anlass für den Frühlingsputz bei alten Logins und ein grundsätzliches Überdenken der eigenen Cybersecurity. Miro Mitrovic von Proofpoint gibt dazu einige konkrete Tipps.
>>
Schellerer Ausbau
Hessen, OXG und Vodafone schließen Partnerschaft für Glasfaser
Vodafone und OXG starten gemeinsam mit dem Land Hessen eine umfangreiche Ausbau-Offensive für schnelles Internet. Bis 2030 wollen die Unternehmen Glasfaser-Anschlüsse für bis zu 520.000 Haushalte bauen.
>>
Cyberbedrohungen überall
IT-Sicherheit unter der Lupe
Cybersecurity ist essentiell in der IT-Planung, doch Prioritätenkonflikte und die Vielfalt der Aufgaben limitieren oft die Umsetzung. Das größte Sicherheitsrisiko bleibt der Mensch.
>>