Am 21. August hat Red Hat eine Schwachstelle in Keycloak veröffentlicht, einem verbreiteten System zur Benutzerverwaltung. Die Bewertung: 9,1 von 10 Punkten. Angreifer konnten damit jedes Konto übernehmen — auch administrative —, ohne Anmeldedaten, ohne Zutun des Opfers und ohne je Zugriff auf dessen Postfach zu haben.
Der Weg führte nicht über die Anmeldung. Er führte über «Passwort vergessen».
Was schiefging
Der Ablauf zum Zurücksetzen von Zugangsdaten prüfte den Zustand der laufenden Sitzung nicht sauber. Vereinfacht: Das System vertraute einem Zwischenschritt und liess die Änderung des Passworts zu, ohne dass die Bestätigung per E-Mail tatsächlich eingelöst worden war. Der Bestätigungslink, der eigentlich beweisen soll, dass jemand Zugriff auf das Postfach hat, war damit wirkungslos.
Behoben ist das seit dem 19. August. Bemerkenswert ist aber, was Red Hat als Notbehelf empfahl, bis das Update eingespielt ist: die «Passwort vergessen»-Funktion vollständig abzuschalten.
Warum das kein Einzelfall ist
Die meisten Betriebe in der Schweiz betreiben kein Keycloak. Der Fall ist trotzdem lehrreich, weil er ein Muster zeigt, das sich wiederholt.
Die Wiederherstellungsfunktion ist eine besondere Stelle in jedem System. Sie ist die einzige Funktion, die einem Unbekannten erlauben muss, etwas an einem fremden Konto zu ändern. Genau das ist ihr Zweck: Jemand ohne Zugangsdaten soll wieder hineinkommen. Jede andere Funktion darf «nein» sagen, diese nicht.
Dass daran regelmässig etwas schiefgeht, zeigt schon die Tatsache, dass es dafür eine eigene Kategorie im Schwachstellen-Verzeichnis gibt: «Schwacher Wiederherstellungsmechanismus für vergessene Passwörter». Man legt keine Kategorie an für etwas, das einmal vorkommt.
Der Fall, der WordPress-Betreiber betrifft
2017 traf es WordPress, und zwar mit einem Trick, der zeigt, wie klein die Ursache sein kann.
WordPress bildete den Absender der Passwort-Mail aus einer Angabe, die der anfragende Rechner selbst mitschickt — dem sogenannten Host-Header. Diese Angabe lässt sich fälschen. Ein Angreifer konnte damit erreichen, dass die Rücklauf-Adresse der Mail auf einen Server zeigte, den er kontrollierte. Kam die Mail zurück oder wurde sie automatisch beantwortet, landete der Wiederherstellungsschlüssel bei ihm.
Der Fall ist behoben, aber er blieb bemerkenswert lange offen — er galt zunächst als nicht dringlich genug. Er zeigt zweierlei: Das Muster ist alt, und es betrifft Systeme, die auch bei Ihnen laufen.
Wo diese Funktion bei Ihnen steckt
Die Frage ist nicht, ob Sie eine Wiederherstellungsfunktion haben, sondern wie viele.
Der WordPress- oder Joomla-Login hat eine, ab Werk, unter `/wp-login.php?action=lostpassword` beziehungsweise im Joomla-Anmeldeformular.
Ein Kundenbereich oder Mitgliederbereich hat eine — oft aus einer Erweiterung, die seltener aktualisiert wird als der Kern.
Ein Shop hat eine, und dort hängt an einem Konto meist eine Zahlungsverbindung.
Jede dieser Funktionen ist von aussen erreichbar, ohne Anmeldung. Das ist ihr Sinn — und der Grund, warum sie besondere Aufmerksamkeit verdient.
Was zu tun ist
Zwei-Faktor-Anmeldung ist auch hier der wirksamste Hebel. Wenn ein zweiter Faktor verlangt wird, nützt ein zurückgesetztes Passwort allein nichts. Prüfen Sie, ob Ihr System den zweiten Faktor auch nach einem Zurücksetzen verlangt — manche Erweiterungen überspringen ihn dann, was den Schutz an genau der falschen Stelle aufhebt.
Erweiterungen, die Anmeldung und Konten regeln, gehören zuerst aktualisiert. Wenn Sie priorisieren müssen: Alles, was mit Login, Registrierung und Passwörtern zu tun hat, hat Vorrang vor Galerien und Formularen.
Prüfen Sie, ob die Funktion überhaupt gebraucht wird. Bei einem Redaktionszugang für drei Personen ist «Passwort vergessen» kein notwendiges Merkmal — ein Anruf tut es auch. Was nicht erreichbar ist, kann nicht missbraucht werden. Genau das war Red Hats Empfehlung im akuten Fall.
Achten Sie auf Rücksetz-Mails, die niemand angefordert hat. Eine einzelne kann ein Versehen sein. Mehrere sind ein Hinweis darauf, dass jemand die Funktion ausprobiert.
Nicht zu verwechseln
Gestern ging es hier um Phishing und übernommene Postfächer. Das ist ein verwandtes, aber anderes Problem: Dort erschleicht sich jemand das Passwort und meldet sich damit regulär an. Hier braucht der Angreifer das Passwort gar nicht — er geht an der Anmeldung vorbei.
Gegen beides hilft dieselbe Massnahme, und das ist die gute Nachricht: ein zweiter Faktor.
Wenn Sie nicht sicher sind, welche Anmelde- und Wiederherstellungswege auf Ihrer Website offen stehen: Bei den Websites, die wir betreuen, gehört das zur laufenden Pflege.