Forum für Wissenschaft, Industrie und Wirtschaft

Hauptsponsoren:     3M 
Datenbankrecherche:

 

Single Sign-On: RUB-Forscher knacken Industriestandard für Identifizierung

10.08.2012
Webshops, Cloud Computing, Online-Banking: Tagtäglich fordern viele unterschiedliche IT-Systeme den Nutzer auf, sich immer wieder über Benutzername und Passwort zu identifizieren.
Als praktisches Mittel gegen die Flut von Mehrfachanmeldungen gilt das so genannte „Single Sign-On“. Hier weist sich der Nutzer genau einmal aus, alle weiteren Authentifizierungen erfolgen automatisch. Dass die Einmal-Anmeldung jedoch längst nicht so sicher ist wie bislang angenommen, zeigen jetzt Forscher vom Horst Görtz Institut für IT-Sicherheit der Ruhr-Universität Bochum: Ungefähr 80 Prozent der untersuchten Systeme wiesen massive Sicherheitslücken auf.

Digitale Signatur soll schützen

Das „Single Sign-On“-Verfahren, kurz SSO, kann mit einem gut bewachten Tor verglichen werden, das die sensiblen Firmendaten schützt: Wer den Eingang einmal passiert hat, kann auf alle Informationen und Dienste zugreifen, denn er gilt als angemeldet und zugriffsberechtigt. Viele SSO-Systeme setzen auf die weit verbreitete Security Assertion Markup Language (SAML). Die Identitätsinformationen werden in einer SAML-Nachricht gespeichert und durch eine digitale Signatur geschützt. Doch die Bochumer Forscher fanden einen Weg, diesen Schutz zu umgehen.

Sicherheitsfunktion ausgehebelt

„Mit einem neuartigen XML Signature Wrapping-Angriff haben wir sämtliche Sicherheitsfunktionen der digitalen Signatur komplett ausgehebelt“, berichtet Prof. Dr. Jörg Schwenk vom Lehrstuhl für Netz- und Datensicherheit. „Dadurch konnten wir uns jede beliebige Identität aneignen und uns sogar als Systemadministratoren ausgeben“. Die Wissenschaftler testeten 14 weit verbreitete SAML-Anbieter und -Systeme. Davon wiesen 12 kritische Lücken auf. Anfällig waren unter anderem der Cloud-Anbieter Salesforce, das IBM DataPower Security Gateway, Onelogin (benutzt in Joomla, Wordpress, SugarCRM und Drupal) und das Framework OpenSAML (Shibboleth, SuisseID und OpenSAML).
Gegenmaßnahmen vorgeschlagen

„Nachdem wir die Sicherheitslücken entdeckt hatten, kontaktierten wir umgehend die betroffenen Firmen und schlugen Gegenmaßnahmen vor“, berichtet der Sicherheitsexperte und externe Doktorand Andreas Mayer (Adolf Würth GmbH & Co. KG). „Durch die professionelle Zusammenarbeit mit den Herstellern konnten die kritischen Schwachstellen in den betroffenen Produkten geschlossen werden“, ergänzt Juraj Somorovsky vom Lehrstuhl für Netz- und Datensicherheit.

Ergebnisvorschau

Am 10. August 2012 stellt Juraj Somorovsky die Ergebnisse auf dem 21. USENIX Security Symposium in Bellevue, Washington (USA) vor. Das Paper ist im Internet veröffentlicht unter: http://www.nds.rub.de/research/publications/BreakingSAML

Weitere Informationen

Prof. Dr. Jörg Schwenk, Fakultät für Elektrotechnik und Informationstechnik der RUB, Lehrstuhl für Netz- und Datensicherheit, Tel. 0234/32-26692
joerg.schwenk@rub.de

Redaktion: Jens Wylkop

Dr. Josef König | idw
Weitere Informationen:
http://www.ruhr-uni-bochum.de/
http://www.nds.rub.de/research/publications/BreakingSAML

Weitere Nachrichten aus der Kategorie Informationstechnologie:

nachricht Smart Living: VDE-Institut entwickelt Cloud-basierte interoperable Testplattform
15.02.2017 | VDE Verband der Elektrotechnik Elektronik Informationstechnik e.V.

nachricht Saarbrücker Informatiker machen „Augmented Reality“ fotorealistisch
15.02.2017 | Universität des Saarlandes

Alle Nachrichten aus der Kategorie: Informationstechnologie >>>

Die aktuellsten Pressemeldungen zum Suchbegriff Innovation >>>

Die letzten 5 Focus-News des innovations-reports im Überblick:

Im Focus: Durchbruch mit einer Kette aus Goldatomen

Einem internationalen Physikerteam mit Konstanzer Beteiligung gelang im Bereich der Nanophysik ein entscheidender Durchbruch zum besseren Verständnis des Wärmetransportes

Einem internationalen Physikerteam mit Konstanzer Beteiligung gelang im Bereich der Nanophysik ein entscheidender Durchbruch zum besseren Verständnis des...

Im Focus: Breakthrough with a chain of gold atoms

In the field of nanoscience, an international team of physicists with participants from Konstanz has achieved a breakthrough in understanding heat transport

In the field of nanoscience, an international team of physicists with participants from Konstanz has achieved a breakthrough in understanding heat transport

Im Focus: Hoch wirksamer Malaria-Impfstoff erfolgreich getestet

Tübinger Wissenschaftler erreichen Impfschutz von bis zu 100 Prozent – Lebendimpfstoff unter kontrollierten Bedingungen eingesetzt

Tübinger Wissenschaftler erreichen Impfschutz von bis zu 100 Prozent – Lebendimpfstoff unter kontrollierten Bedingungen eingesetzt

Im Focus: Sensoren mit Adlerblick

Stuttgarter Forscher stellen extrem leistungsfähiges Linsensystem her

Adleraugen sind extrem scharf und sehen sowohl nach vorne, als auch zur Seite gut – Eigenschaften, die man auch beim autonomen Fahren gerne hätte. Physiker der...

Im Focus: Weltweit genaueste und stabilste transportable optische Uhr

Optische Strontiumuhr der PTB in einem PKW-Anhänger – für geodätische Untersuchungen, weltweite Uhrenvergleiche und schließlich auch eine neue SI-Sekunde

Optische Uhren sind noch genauer als die Cäsium-Atomuhren, die gegenwärtig die Zeit „machen“. Außerdem benötigen sie nur ein Hundertstel der Messdauer, um eine...

Alle Focus-News des Innovations-reports >>>

Anzeige

Anzeige

IHR
JOB & KARRIERE
SERVICE
im innovations-report
in Kooperation mit academics
Veranstaltungen

ANIM in Wien mit 1.330 Teilnehmern gestartet

17.02.2017 | Veranstaltungen

Ökologischer Landbau: Experten diskutieren Beitrag zum Grundwasserschutz

17.02.2017 | Veranstaltungen

Von DigiCash bis Bitcoin

16.02.2017 | Veranstaltungen

 
VideoLinks
B2B-VideoLinks
Weitere VideoLinks >>>
Aktuelle Beiträge

Stammzellen verlassen Blutgefäße in strömungsarmen Zonen des Knochenmarks

17.02.2017 | Biowissenschaften Chemie

LODENFREY setzt auf das Workforce Mangement von GFOS

17.02.2017 | Unternehmensmeldung

50 Jahre JULABO : Erfahrung – Können & Weiterentwicklung!

17.02.2017 | Unternehmensmeldung