Bitdefender weist Schwachstelle in Public-Cloud-Infrastrukturen nach

Die Schwachstelle, die der rumänische Sicherheitsanbieter Bitdefender nachgewiesen hat, macht es Dritten theoretisch möglich, mit dem Protokoll Transport Layer Security (TLS) verschlüsselte Kommunikation abzufangen. Die Technik namens TeLeScope, die Bitdefender zu Forschungszwecken entwickelt hat, ermöglicht das Mitlesen des Datenverkehrs zwischen dem Endanwender und einer virtualisierten Serverinstanz.

Auf der HITB-Konferenz in Amsterdam hatte Bitdefender-Sicherheitsforscher Radu Caragea im Rahmen eines Proof-of-Concepts Ende Mai schon gezeigt, wie sich verschlüsselte Kommunikation in Echtzeit entschlüsseln lässt. Bitdender zufolge hinterlässt die dazu eingesetzte Technik keinerlei Spuren und ist daher selbst von Experten nur schwer zu entdecken.

TeLeScope funktioniert nur in virtualisierten Umgebungen, die auf einem Hypervisor laufen. Derartige virtualisierte Infrastrukturen bieten unter anderem Amazon, Google, Microsoft und DigitalOcean an. Laut Bitdefender können Regierungsorganisationen, Banken und Unternehmen, die mit geistigem Eigentum oder persönlichen Daten befasst sind, von der Schwachstelle in hohem Maß betroffen sein.

Die Angriffstechnik setzt darauf, die TLS-Schlüssel auf Hypervisor-Ebene durch intelligentes Memory-Probing aufzuspüren, statt eine Sicherheitslücke im TLS-Protokoll auszunutzen. Während Zugriffsverfahren auf die virtuellen Ressourcen einer Virtuellen Maschine (VM) bereits bekannt sind – etwa durch den Zugriff auf die Festplatte der VM -, war es zuvor nicht gelungen, TLS-Traffic in Echtzeit zu entschlüsseln, ohne dabei den Betrieb der VM für eine wahrnehmbare Zeitspanne zu unterbrechen.

“Anstatt die Maschine pausieren zu lassen – was eine bemerkbare Latenz nach sich ziehen würde – und einen vollständigen Memory-Dump durchzuführen, entwickelten wir eine Memory-Diffing-Technologie und verwendeten dabei Stammfunktionen, die bereits in Hypervisor-Technologien vorhanden sind”, erklärt Caragea. “Obwohl damit der Dump bereits von Gigabytes auf Megabytes reduziert werden kann, ist die erforderliche Zeit, um diese Menge auf ein Speichermedium zu schreiben, immer noch nicht vernachlässigbar (im Bereich von wenigen Millisekunden). Wir können aufzeigen, wie es uns gelingt, den Prozess bei der Netzwerklatenz zusätzlich zu verschleiern, ohne den Betrieb der Maschine zu unterbrechen.”

Dieser Angriffsvektor wurden entdeckt als Bitdefender einen Weg suchte, bösartige Outbound-Aktivitäten auf seinem Honeypot-Netzwerk zu untersuchen, ohne die Maschine dabei zu beeinflussen und ohne dass Angreifer bemerken, dass sie beobachtet werden. Da die sozialen, wirtschaftlichen und politischen Einsatzmöglichkeiten des passiven Traffic Monitorings in virtualisierten Umgebungen extrem groß seien, habe man habe sich dazu entschlossen, diesen Weg der Öffentlichkeit detailliert vorzustellen, so das Sicherheitsunternehmen in einer Pressemitteilung. “Beispielsweise kann ein unzufriedener Server-Administrator mit Zugriff auf den Hypervisor des Host-Servers sämtliche Informationen, die vom Kunden kommen oder zu ihm fließen, beobachten, herausfiltern und zu Geld machen. Zu diesen Informationen gehören E-Mail-Adressen, Onlinebanking, Chats, persönliche Bilder und weitere private Daten.”

Mit Angriffen dieser Art könnten unseriöse Cloud Provider oder Anbieter, die von Nachrichtendiensten dazu aufgefordert werden, in den Besitz der TLS-Keys gelangen, die für die Verschlüsselung von Kommunikationssitzungen zwischen virtualisierten Servern und Kunden verwendet werden. Das gilt laut Bitdefender selbst dann, wenn Perfect Forward Secrecy (PFS) verwendet wurde.

Verantwortliche CIOs, die eine virtualisierte Infrastruktur an einen Drittanbieter ausgelagert haben, müssen daher damit rechnen, dass alle Informationen, die mit den Anwendern ausgetauscht werden, entschlüsselt und für unbestimmte Zeit lesbar sind. Da dieser Ansatz keinerlei forensische Spuren hinterlässt, erhalten sie auch keine Benachrichtigung darüber, ob und wann ein Kommunikationsfluss kompromittiert wurde. Die Machbarkeitsstudie von Bitdefender deckt einen grundlegenden Fehler auf, der weder behoben noch entschärft werden kann, ohne dass die verwendeten Verschlüsselungsbibliotheken neu geschrieben werden müssen.

Nach Aussage des Sicherheitsunternehmens besteht die aktuell einzige Schutzmöglichkeit darin, Zugriffen auf den Hypervisor vorzubeugen und eigene Hardware innerhalb der eigenen Infrastruktur zu betreiben. Sein Fazit lautet: “Wer nicht die Kontrolle über die Hardware besitzt, besitzt nicht die Kontrolle über die Daten.”

[Mit Material von Björn Greif, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.