Programmierer erobern die Sicherheit: Share & Learn-Reihe — Ungenügender Automatisierungsschutz

Stellen Sie sich vor, Sie gehen zur Tür eines alten Speakeasy- oder Underground-Clubs. Das kleine Loch in der Tür öffnet sich und ein stämmiger Türsteher fragt nach dem Passwort. Der potenzielle Besucher kennt das Passwort nicht und rätselt es. Es ist falsch, also lässt der Türsteher sie nicht rein.

Das würde normalerweise passieren. Stellen Sie sich nun vor, der Besucher, der das falsche Passwort erraten hat, versucht es sofort erneut, versteht es falsch und ihm wird erneut der Zugriff verweigert. Stellen Sie sich dann vor, der potenzielle Besucher öffnet das Wörterbuch und beginnt, Wörter vorzulesen. Er beginnt mit etwas wie Erdferkel und probiert jedes einzelne mögliche Wort aus.

Höchstwahrscheinlich würde der Bouncer solche Aktivitäten nicht zulassen, aber Websites und Anwendungen mit unzureichender Anti-Automatisierung tun genau das. Sie ermöglichen es Benutzern, Passwörter immer wieder auszuprobieren, sogar mithilfe von Automatisierungstechniken, bis sie schließlich auf das richtige Schlagwort stoßen.

In dieser Episode werden wir lernen:

• Wie Angreifer unzureichende Anti-Automatisierung ausnutzen
• Warum Anwendungen mit unzureichender Antiautomatisierung gefährlich sind
• Techniken, mit denen diese Sicherheitsanfälligkeit behoben werden kann.

Wie nutzen Angreifer unzureichende Anti-Automatisierung aus?

Der Einsatz von Automatisierung oder Angriffen im Wörterbuchstil, wie es unser imaginärer Speakeasy-Besucher getan hat, ist in der Cybersicherheit nichts Neues. Tatsächlich gehörten diese Angriffe im Brute-Force-Stil zu den ersten Hackertechniken, die jemals eingesetzt wurden. Und als Computer schneller wuchsen, wurden sie immer effizienter. Ein schneller Computer kann in nur wenigen Minuten ein ganzes Wörterbuch von Wörtern durchgehen, abhängig von der Geschwindigkeit der Verbindung zwischen dem Angriffscomputer und dem Zielsystem.

Diese Art von automatisierten Angriffen war der Grund, warum Anti-Automatisierungssoftware und -techniken entwickelt wurden. Es gibt Anwendungen die Möglichkeit, festzustellen, ob die von einem Benutzer ausgeführten Aktionen nicht den Normen des typischen menschlichen Verhaltens entsprechen.

Wenn eine Anwendung über unzureichende Antiautomatisierungsprüfungen verfügt, können Angreifer Passwörter einfach weiter erraten, bis sie eine Übereinstimmung finden. Oder sie verwenden Automatisierungssoftware, um andere Dinge wie Spam-Kommentare in Website-Foren zu erledigen.

Warum ist ein unzureichender Automatisierungsschutz gefährlich?

Es kann gefährlich sein, böswilligen Benutzern zu erlauben, mithilfe von Automatisierung zu versuchen, Sicherheitsvorkehrungen zu umgehen. Der Grund dafür, dass Angriffe vom Typ Automatisierung seit den Anfängen der Computertechnik bis heute andauern, ist, dass sie sehr effektiv sein können. Wenn Sie einem Automatisierungsprogramm eine unbegrenzte Zeit geben, um Passwörter einzureichen, ohne dass eine falsche Vermutung Konsequenzen hat, wird es irgendwann das richtige finden.

Wenn es in einem Forum verwendet wird, können Wellen von offensichtlich geskripteten Kommentaren legitime Benutzer frustrieren oder sogar wie eine Art Denial-of-Service-Angriff wirken, bei dem Systemressourcen verschwendet werden. Automatisiertes Posten kann auch als Tool für Phishing- oder andere Angriffe verwendet werden, um die Köder so vielen Menschen wie möglich zugänglich zu machen.

Behebung unzureichender Anti-Automatisierungsprobleme

Um das Problem der unzureichenden Antiautomatisierung zu lösen, müssen alle Anwendungen in der Lage sein, festzustellen, ob die ergriffenen Maßnahmen von einem Menschen oder einer Automatisierungssoftware implementiert werden. Eine der beliebtesten und am weitesten verbreiteten Techniken ist die Vollständig automatisierter öffentlicher Turing-Test, um Computer und Menschen voneinander zu unterscheiden, oder CAPTCHA.

Das CAPTCHA ist im Grunde ein Turing-Test, erstmals 1950 vom Informatiker Alan Turing vorgeschlagen, wodurch das Verhalten von Mensch und Computer getrennt und identifiziert werden kann. Moderne CAPTCHAs stellen Probleme dar, die Menschen leicht lösen können, mit denen Computer jedoch zu kämpfen haben oder die sie einfach nicht lösen können. Ein beliebtes Beispiel zeigt ein Foto, das durch ein Raster getrennt ist, und fordert die Benutzer auf, alle Sektoren zu identifizieren, in denen sich ein bestimmtes Objekt befindet, z. B. eine Blume oder ein Gesicht. Der Computer kann nicht verstehen, wonach gefragt wird, und kann daher nicht einmal versuchen, das Bild zu scannen. Selbst wenn das möglich wäre, übersteigt die Bilderkennung die meisten Programme, die nicht speziell dafür entwickelt wurden.

Andere Beispiele für CAPTCHAs sind das Anzeigen von verschwommenem Text, das Stellen einer einfachen logischen Frage oder das laute Ausspielen der Frage. Die Implementierung einer CAPTCHA-Herausforderung an kritischen Stellen in einer Anwendung, z. B. bei der Aufforderung zur Eingabe eines Passworts, kann Automatisierungsprogramme zum Erliegen bringen.

Es ist auch möglich, Automatisierungsprogramme zu stoppen, indem einfach die Anzahl falscher Schätzungen aus derselben Quelle begrenzt wird. Wenn zu viele falsche Schätzungen gesendet werden, kann das Konto vorübergehend gesperrt werden, wodurch das Automatisierungsprogramm über den Punkt hinausgeht, an dem es nützlich ist, oder es könnte sogar erforderlich sein, dass ein menschlicher Administrator die Sperre aufhebt. Wenn Sie all das tun, sollten Sie Sicherheitslücken gegen die Automatisierung innerhalb einer Anwendung verhindern.

Weitere Informationen zu unzureichender Antiautomatisierung

Zum weiteren Lesen können Sie sich ansehen, was OWASP dazu sagt unzureichende Antiautomatisierung. Sie können Ihr neu gewonnenes Defensivwissen auch auf die Probe stellen mit dem kostenlose Demo der Secure Code Warrior-Plattform, die Cybersicherheitsteams zu ultimativen Cyberkriegern ausbildet. Um mehr über die Beseitigung dieser Sicherheitslücke und eine Galerie mit anderen Bedrohungen zu erfahren, besuchen Sie die Blog von Secure Code Warrior.

Sind Sie bereit, eine unzureichende Anti-Automatisierung sofort zu finden und zu beheben? Teste deine Fähigkeiten in unserer Spielarena: [Fangen Sie hier an]