{"id":250106,"date":"2021-02-26T11:41:57","date_gmt":"2021-02-26T10:41:57","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=250106"},"modified":"2024-04-08T20:14:02","modified_gmt":"2024-04-08T18:14:02","slug":"vorwurf-microsoft-hat-beim-solarwinds-hack-bei-der-sicherheit-gepatzt","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2021\/02\/26\/vorwurf-microsoft-hat-beim-solarwinds-hack-bei-der-sicherheit-gepatzt\/","title":{"rendered":"Vorwurf: Microsoft hat beim SolarWinds-Hack bei der Sicherheit gepatzt"},"content":{"rendered":"

[English<\/a>]Sicherheitsexperten und der US-Senators Ron Wyden erheben schwere Vorw\u00fcrfe und werfen Branchen-Platzhirsch Microsoft Vers\u00e4umnisse vor. Microsoft habe es vers\u00e4umt, bekannte Probleme mit seiner Cloud-Software zu beheben und Anwender zu warnen. Das habe erst den massiven SolarWinds-Hack erm\u00f6glicht, der mindestens neun Bundesbeh\u00f6rden kompromittiert hat. Dabei spielt ein als \"golden SAML\" bezeichneter Angriffsvektor eine Rolle. Zeit, das Ganze mal etwas zu beleuchten.<\/p>\n

\"\"Seit Monaten sind zahlreiche US-Beh\u00f6rden und Ministerien sowie Firmen weltweit durch eine Hintert\u00fcr gehackt und Angreifern ist es gelungen, zahlreiche Dokumente abzuziehen. In den Beitr\u00e4gen US-Finanzministerium und weitere US-Beh\u00f6rde gehackt<\/a> und FireEye: Wenn Hacker eine Sicherheitsfirma pl\u00fcndern<\/a> hatte ich erstmals \u00fcber diese Hacks des US-Sicherheitsunternehmens FireEye sowie des US-Finanzministeriums und weiterer US-Beh\u00f6rden berichtet. Hacker konnten sich seit Monaten in deren IT-Systemen umsehen, Mails mitlesen und Dokumente abziehen. Weitere Artikel finden sich am Ende des Beitrags verlinkt.<\/p>\n

In den Berichten von Firmen und Beh\u00f6rden, die gehackt wurden, wird der Hack als ausgekl\u00fcgelte Operation einer staatsnahmen Gruppe mit um die Tausend Entwickler dargestellt (siehe auch Microsoft-Untersuchung zu Solarigate: 1.000 Cyber-Krieger und Zugriff auf Quellcode von Azure, Exchange, Intune<\/a>). Das ist nicht ganz von der Hand zu weisen, wenn man die Gr\u00f6\u00dfe der Operation anschaut. Und die Vorgehensweise der Angreifer war auch ganz clever, wobei aber die Frage zu stellen ist: Waren sich die Protagonisten unter den Opfern zu sicher? Ich hatte mal im Blog-Beitrag Schlamperei bei SolarWinds f\u00fcr kompromittierte Software verantwortlich?<\/a> einen Aspekt herausgegriffen, wie Sicherheit beim Entwickler der kompromittierten Orion-Software, der Firma SolarWinds, gelebt wurde.<\/p>\n

Es wurde auch mal thematisiert, dass die Vergabe der Entwicklung an ausgelagerte Entwickler f\u00fcr den Lieferkettenangriff verantwortlich sein k\u00f6nnte (siehe SolarWinds-Hack: Motive der Angreifer; Outsourcing als Schwachstelle?<\/a>). Aber auch Microsoft ger\u00e4t jetzt unter Druck bzw. eigentlich stellen sich Beobachter die Frage: Tut Redmond gen\u00fcgend f\u00fcr die Sicherheit der Microsoft-Systeme. Einmal wurde Microsoft selbst Opfer des Hacks (siehe SolarWinds-Hacker hatten Zugriff auf Microsoft-Quellcode<\/a>). Zudem kenne ich es, dass gemeldete Schwachstellen relativiert und monatelang nicht behoben werden (\"Uns sind keine F\u00e4lle einer Ausnutzung bekannt\", \"Die Ausnutzung ist unwahrscheinlich\").<\/p>\n

\"KRITIS-Netzwerk\"
\n(Quelle: Pexels Markus Spiske CC0 Lizenz)<\/p>\n

Microsoft und der golden SAML-Angriffsvektor<\/h2>\n

Jetzt greift US-Senator Ron Wyden Microsoft an, denn deren Nachl\u00e4ssigkeit bei der Beseitigung von bekannten Schwachstellen habe erst zum Erfolg der Hacking-Kampagne beigetragen. Reuters berichtete vor wenigen Stunden im Beitrag Microsoft failed to shore up defenses that could have limited SolarWinds hack: U.S. senator<\/a> \u00fcber den Sachverhalt. Von Sicherheitsforschern wurde 2017 erstmals \u00f6ffentlich eine als \"golden SAML\" bezeichnete Schwachstelle aufgedeckt.<\/p>\n

Kurzer Hintergrund zu SAML<\/h3>\n

SAML<\/a> steht f\u00fcr Security Assertion Markup Language, ein XML-Framework zum Austausch von Authentifizierungs- und Autorisierungsinformationen. Sie stellt Funktionen bereit, um sicherheitsbezogene Informationen zu beschreiben und zu \u00fcbertragen. SAML wurde ab 2001 von dem OASIS<\/a>-Konsortium entwickelt. Zu diesem Konsortium geh\u00f6ren Unternehmen wie Sun Microsystems (\u00fcbernommen von Oracle), IBM, Nokia und SAP. Bei der Entwicklung hatte man die folgenden Anwendungsf\u00e4lle im Blick:<\/p>\n