Neue Datenbank-Attacken drohen

Wie die Sicherheits-Softwarefirma Core Security Technologies mitteilte, ist das Szenario eng mit den inhärenten Charakteristiken der verarbeiteten Indizes verbunden.

Dabei gehe es im Besonderen um den Indexierungsalgorithmus B-TREE. Dieser häufig in Datenbanken verwendete Daten-Strukturbaum biete einen Angriffspfad. Wie die Sicherheitsexperten anlässlich der aktuellen Black-Hat-Konferenz zeigen wollen, können die Hacker nicht, wie bisher üblich, durch Autorisierungsfehler eindringen, sondern müssen auch die Baumstruktur nutzen.

Dabei sollen sie – wie die Experten anhand einer MySQL-Datenbank zeigen wollen – die Zeit berücksichtigen, die beim Ablegen oder Aufrufen eines Datensatzes oder einer Information benötigt wird. Mit so genannten Timing Attacks, die ansonsten gern für Einbrüche in Verschlüsselungen verwendet werden, und mit Inserts können die Angreifer augenscheinlich den Platz erschließen, an dem ein Datensatz abgelegt wurde, indem sie die Zeit messen, die ein Ablage- oder Aufrufvorgang benötigt. Aus der Baumstruktur können sie dann die gewissermaßen benachbarten Datensätze ablesen. Daten könnten so extrahiert werden, ohne dass die Szenarien ablaufen müssen, auf die die übliche Security-Technik reagiert.

Wie die Experten zeigen wollen, sei der Angriff reell – wenn auch nur theoretisch. Zum bisherigen technischen Stand und mit dem heutigen Wissen über ein solches Szenario sei es für einen Hacker zu aufwändig, da er die spezifische Datenbank und ihre Struktur und Geschichte vorher genau studieren müsste, hieß es von Core Security Technologies. Bedenklich sei allerdings, dass dieser Angriffspfad gegen nahezu jede am Markt verfügbare Datenbank ausgeführt werden könnte.

Silicon-Redaktion

Recent Posts

Studie: Rund ein Drittel der APIs sind ungeschützt

Angriffe auf APIs und Webanwendungen sind zwischen Januar 2023 und Juni 2024 von knapp 14…

1 Stunde ago

Universitätsmedizin Essen setzt für E-Mail-Sicherheit auf NoSpamProxy

Mit täglich über 45.000 eingehenden E-Mails ist die IT-Abteilung des Klinikums durch Anhänge und raffinierte…

1 Stunde ago

Bau-Spezialist Schöck: Migration von SAP ECC ERP auf S/4HANA

Bau- und Fertigungsspezialist investiert in die S/4HANA-Migration und geht mit RISE WITH SAP in die…

2 Tagen ago

Pure Storage: Cloud, KI und Energieeffizienz

Trends 2025: Rasante Entwicklungen bei Automatisierung, KI und in vielen anderen Bereichen lassen Unternehmen nicht…

3 Tagen ago

GenKI verbessert Datenmanagement und Angebotsgenauigkeit

DHL Supply Chain nutzt generative KI-Anwendungen für Datenbereinigung und präzisere Beantwortung von Angebotsanforderungen (RFQ).

4 Tagen ago

Rolls-Royce Power Systems nutzt industrielle KI aus der IFS Cloud​

Marke mtu will globale Serviceabläufe optimieren und strategische Ziele hinsichtlich Effizienz, Nachhaltigkeit und Wachstum unterstützen.

4 Tagen ago