Privilegierter Zugang ist ein Sorgenkind im Bereich Informationssicherheit. Unternehmen sind mit einer explosionsartigen Zunahme von privilegierten Konten und einer sich schnell verändernden IT-Landschaft konfrontiert; interne wie externe Teams wünschen privilegierten Zugang von jedem Ort aus und mit jedem Gerät.
Das bereitet manch einem Sicherheitsverantwortlichen, der die Balance zwischen Zugänglichkeit, Verfügbarkeit, Korrektheit und Sicherheit von privilegiertem Zugang und zusätzlichen Geheimnissen (wie Passwörtern, Schlüsseln und Token) finden muss, einiges Kopfzerbrechen.
Lösungen für Privileged Access Management (PAM) – wie zentralisierte Passwortverwaltung, Multi-Faktor-Authentifizierung und Sitzungsmanager – erfreuen sich großer Beliebtheit und sorgen für eine effektive und sichere Verwaltung von privilegiertem Zugang. Trotz dieser kostspieligen Bemühungen sind gestohlene Geheimnisse nach wie vor eine häufige Ursache für gehackte Organisationen. Ein möglicher Grund ist, dass die genannten PAM-Lösungen die Angriffsfläche nicht verkleinern. Denn ein privilegiertes Konto bleibt ja, solange es existiert, ein Ziel für Angriffe.
Wird ein Geheimnis eines privilegierten Kontos irgendwo gespeichert, spricht man von „standing privileged access“. Dieser Begriff gibt an, dass ein privilegiertes Konto existiert und folglich ein potenzielles Ziel ist. Auch wenn privilegierte Konten oft nicht länger als wenige Sekunden bis zu einer Stunde genutzt werden, werden dennoch Geheimnisse gespeichert, im PAM oder andernorts. Durch die Speicherung von Geheimnissen wird privilegiertem Zugang implizit Vertrauen entgegengebracht.
Dieses implizite Vertrauen in privilegierten Zugang steht im Widerspruch zu Zero Trust: eine beliebte Strategie, die das in Systemen und Prozessen verwurzelte Vertrauen eliminieren will. Um Zero Trust auf privilegierten Zugang anzuwenden, muss der Authentifizierung somit ausdrücklich vertraut werden. Das bedeutet, dass keine Geheimnisse mehr gespeichert werden und jeder Anmeldeversuch erneut authentifiziert wird. Dieses Konzept wird als „Zero Standing Access“ bezeichnet.
Zero Standing Access bezieht sich auf das „Least Privilege“-Prinzip: genau ausreichend privilegierter Zugang wird für eine Aufgabe und für eine bestimmte Zeit gewährt. Das Ziel von Zero Standing Access ist, jeden privilegierten Zugang zu eliminieren. In der Praxis bedeutet es, dass keine Passwörter, Token oder Schlüssel gespeichert werden. Auch nicht im PAM. Authentifizierung wird durch ephemere Zertifikate – auch als Kurzzeitzertifikate bezeichnet – ersetzt.
Ein ephemeres Zertifikat wird just-in-time von einer Zertifizierungsstelle (CA) ausgestellt und kann dann zur Authentifizierung an einem System oder in einer Anwendung verwendet werden. Anhand von Rollen und Sicherheitsrichtlinien, die in einem Identitäts- und Zugangsmanagement- (IAM) und PAM-System definiert sind, bestimmt die CA, wann und unter welchen Bedingungen ein Konto eine Verbindung (SSH/RDP/HTTPS) herstellen kann. Sobald die Verbindung hergestellt ist, wird das Zertifikat wieder gelöscht, und es gibt keine Geheimnisse mehr – und folglich auch kein privilegierter Zugang. Das verkleinert die Angriffsfläche. Ein Hacker, der sich Zugang verschaffen will, müsste eine bestehende Sitzung übernehmen.
Wie zuvor angesprochen ist es wichtig, eine Balance zwischen Zugänglichkeit, Verfügbarkeit, Korrektheit und Sicherheit von privilegiertem Zugang zu finden:
Zugänglichkeit: In beiden Fällen kann das normale Benutzerkonto mit Multifaktor-Authentifizierung authentifiziert werden, bevor privilegierter Zugriff gewährt werden kann. Das Endsystem, mit dem eine Verbindung hergestellt wird, muss jedoch ephemere Zertifikate akzeptieren. Dafür sind eine Bestandsaufnahme und eine Eignungsprüfung der Infrastruktur notwendig.
Verfügbarkeit: In beiden Fällen gibt es einen Single Point of Failure. Wenn die CA oder das PAM nicht wie erwartet funktioniert oder nicht erreichbar ist, kann privilegierter Zugang nur in vermindertem Maß stattfinden.
Korrektheit: Die Informationsqualität eines Geheimnisses im PAM oder eines ephemeren Zertifikats der CA muss zu 100 Prozent korrekt sein. Ein Geheimnis im PAM, das nicht mit einem Geheimnis auf dem Endsystem übereinstimmt, funktioniert nicht. Gleiches gilt für ein Zertifikat, dem nicht vertraut wird, beispielsweise infolge einer Fehlkonfiguration. Wegen der Häufigkeit und Anzahl der für ephemeren Zugang verwendeten Zertifikate muss die Infrastruktur für öffentliche Schlüssel in hohem Maße vertrauenswürdig und automatisiert sein.
Sicherheit: Im Fall von ephemerem Zugang gibt es keine permanenten Geheimnisse. Das verkleinert die Angriffsfläche drastisch, und das Risiko, gehackt zu werden, nimmt erheblich an.
Bei privilegiertem Zugang dreht sich alles um Geheimnisse (wie Passwörter, Schlüssel und Token), die immer verfügbar sein müssen. Diesem so genannten Standing Access wird durch die Verfügbarkeit von Geheimnissen implizit vertraut. Das steht jedoch nicht im Einklang mit einer Zero-Trust-Strategie und vergrößert zudem die Angriffsfläche. Eine Lösung dafür besteht darin, keine Geheimnisse mehr zu verwenden und die Authentifizierung über ephemere Zertifikate stattfinden zu lassen. Das setzt jedoch einen modernen PKI-Service und einen hohen Reifegrad der IT-Organisation voraus.
Menu
