Audience Injection: Stuttgarter Forscher entdecken neuartige IT-Angriffe

Die Grundidee hinter den Attacken ist immer dieselbe. Sie zielen auf einen allgegenwärtigen, von Protokollen gesteuerten Vorgang ab, den Nachweis der Identität von Services und auch von Personen. Beispiel: Partei A und Partei B tauschen sich aus. B möchte sicher sein können, dass A auch wirklich A ist - und nicht jemand, der sich als A ausgibt. Zu diesem Zweck signiert A digital ein Dokument, das den Namen von A enthält. So ist klar, wer sich hier gerade identifiziert. Zusätzlich enthält das Dokument einen zweiten Wert, den "Audience"-Wert, der angibt, gegenüber wem sich A identifiziert, im Beispiel ist das die Partei B. Das Problem: Es gibt bestimmte Schwachstellen in den Protokollen, die eine bösartige Partei C ausnutzen kann, um den "Audience"-Wert zu manipulieren und sich dann gegenüber B als A auszugeben. Weil C dabei einen falschen Wert in den Nachweisprozess "injiziert", hat diese Angriffsform den Namen "Audience Injection Attacks" bekommen.

Die Injektionsmethode wurde bei einer Sicherheitsanalyse für das Protokoll "OpenID Federation" der US-amerikanischen OpenID Foundation entdeckt, deren Protokoll-Standards weltweit eingesetzt werden. Das Stuttgarter Institut für Informationssicherheit (SEC) ist auf die Analyse von solchen Protokollen spezialisiert und wendet dabei sein eigenes, von Institutsleiter Ralf Küsters mitentwickeltes "Web Infrastructure Model" an. Ein mathematisches Modell, das die Sicherheit der Protokolle beweist und anzeigt, ob das untersuchte Protokoll angreifbar ist oder nicht. Da viele Protokolle weltweit mit dem Stuttgarter Modell analysiert werden, kam schnell heraus, dass OpenID Federation kein Einzelfall ist. Eine ganze Reihe von verbreiteten Protokollen sind gefährdet. Etwa das "OpenID Connect"-Protokoll, das unter anderem hinter dem Login bei Google-, Apple- oder Microsoft-Services steckt.

Die Forschenden stellen die neue Klasse von Cyberangriffen und die neuen Sicherheitsmechanismus auf dem "IEEE Symposium on Security and Privacy" in San Francisco vor, dem wichtigsten Treffen der internationalen IT-Sicherheitsforschung. Parallel arbeitet das Stuttgarter Institut daran, den Arbeitsaufwand bei den Analysen zu reduzieren und den ganzen Prozess zu beschleunigen. Besonders die Beweisführung - sicher/unsicher - innerhalb des mathematischen Modells soll künftig Computer-gestützt durchgeführt werden können. "Die im Moment noch zeit- und expertiseintensive Erstellung des Modells wäre dann einfach eine programmierte Implementierung des Protokolls in einer geeigneten Programmiersprache, wie sie jeder erfahrene Softwareentwickler schreiben kann", so Würtele.

Ein weiterer wichtiger Punkt ist, dass die Analysen in Zukunft schon während - und nicht erst nach - der Entwicklung der Protokolle stattfinden. Denn: Stecken die Protokolle erst einmal in tausenden Softwarepaketen, sind Updates zeit- und kostenintensiv für alle Beteiligten. Viel besser wäre es, wenn die Protokolle von Anfang an sicher sind. Genau so soll es bei der kommenden EU Digital Identity Wallet gemacht werden. Hier steht das Institut auch wieder im engen Austausch mit der OpenID Foundation. Unter dem Dach der US-Organisation entstehen die Protokolle, die der "digitalen Brieftasche" zugrunde liegen werden.