Bundesamt für Sicherheit in der Informationstechnik

G 2.125 Fehlerhafte oder unzureichende Planung des Zugriffs auf den Verzeichnisdienst

Ist die Vergabe von Zugangs- und Zugriffsrechten zum bzw. auf dem Verzeichnisdienst unzulänglich oder mit unpassenden Tools geregelt, kann dieses schnell zu gravierenden Sicherheitslücken, beispielsweise durch Wildwuchs in der Rechtevergabe führen. Die Verwaltung von Zugangs- und Zugriffsrechten ist eine äußerst arbeitsintensive Aufgabe, bei der im Extremfall viele manuelle Arbeitsschritte erforderlich sind, die zu Fehlern und Mängeln im Überblick über durchgeführte Arbeiten führen können.

In Organisationen, in denen kein Überblick über alle auf den verschiedenen IT -Systemen eingerichteten Benutzer und deren Rechteprofil vorhanden ist, führt das typischerweise dazu, dass sich Accounts von Benutzern finden, die die Institution längst verlassen haben oder die durch wechselnde Tätigkeiten zu viele Rechte aufgehäuft haben.

Wenn die Tools zur Verwaltung von Zugangs- und Zugriffsrechten schlecht ausgewählt wurden, sind diese oft nicht flexibel genug, um auf Änderungen in der Organisationsstruktur oder auf Wechsel der IT-Systeme angepasst zu werden.

Die Rollentrennung von Benutzern kann falsch vorgenommen worden sein, so dass Sicherheitslücken entstehen, beispielsweise durch falsche Zuordnung von Benutzern in Gruppen oder zu großzügige Rechtevergabe. Benutzer könnten Rollen zugeordnet worden sein, die nicht ihren Aufgaben entsprechen (zu viel oder zu wenig Rechte) oder die sie aufgrund ihrer Aufgaben nicht haben dürfen (Rollenkonflikte).

Der Zugriff durch die Benutzer auf den Verzeichnisdienst erfolgt oft per LDAP -Schnittstelle, welche einen weit verbreiteten Internet-Standard darstellt. Dieser Zugriff bedarf einer eingehenden Planung, insbesondere auch in Bezug auf die für den sinnvollen Einsatz der Anwendungen benötigten Verzeichnisdienst-Rechte. Somit hängt die Planung des LDAP-Zugriffs wesentlich vom Einsatzszenario des Verzeichnisdienstes ab.

Eine unzureichende Planung, ob und welche Daten, beispielsweise Benutzerpasswörter, im Klartext übertragen werden dürfen, kann Inkonsistenzen oder Widersprüche zu organisationsinternen Sicherheitsrichtlinien hervorrufen. Auch kann eine fehlerhafte Planung der Sicherheitsmaßnahmen und -techniken des Verzeichnisdienstes zum Schutz vertraulicher Daten zu Inkompatibilitäten bis hin zum Ausfall einer Verschlüsselung führen.

Das Fehlen eines Wurzelzertifikats im Verzeichnisdienst oder eine nicht nachprüfbare Zertifikatskette wird eine gegenseitige Authentisierung zur Nutzung des Verzeichnisdienstes verhindern.

Aufgrund der Vielfalt an Konfigurationsoptionen für den LDAP-Zugriff auf den Verzeichnisdienst können sich schnell Fehlkonfigurationen mit den nachfolgend aufgezeigten Gefährdungen ergeben:

  • Unautorisierte Zugriffsmöglichkeiten auf den Verzeichnisdienst,
  • falsche Vergabe von Zugriffsrechten,
  • Ausspähen von Informationen im Klartext,
  • Übermittlung von unverschlüsselten Benutzerpasswörtern,
  • unzureichende Verfügbarkeit des Gesamtsystems sowie
  • Fehler beim LDAP-Zugriff, insbesondere für netzbasierte Anwendungen.

Stand: 10. EL Stand 2008

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK