Wann immer man ein neues Passwort anlegen muss, steht man vor einer schwierigen Entscheidung: Etwas nehmen, das man sich auch merken kann oder ein sicheres Passwort generieren lassen, das man sich wahrscheinlich nicht merken kann. Abhilfe versprechen cloud-basierte Passwortmanager. Sie gelten gemeinhin als der Goldstandard für die digitale Sicherheit und versprechen, sensible Zugangsdaten verschlüsselt in der Cloud zu verwahren, auf die dank des Zero-Knowledge-Prinzips nicht einmal die Anbieter selbst Zugriff haben. Doch eine aktuelle Untersuchung von Sicherheitsforschern der ETH Zürich wirft ein kritisches Licht auf dieses Sicherheitsversprechen. Im Rahmen einer detaillierten Analyse wurden insgesamt 27 verschiedene Angriffsszenarien entwickelt und erfolgreich demonstriert. Das zeigt, dass die vermeintlich unüberwindbare Barriere zwischen Server und Nutzer-Account, auch Vault genannt, unter bestimmten Bedingungen durchbrochen werden kann. Betroffen von diesen Erkenntnissen sind marktführende Lösungen wie Bitwarden, LastPass und Dashlane.
Die Forscher deckten auf, dass ein kompromittierter Server des Anbieters oder ein versierter Angreifer, der die Kontrolle über die Server-Infrastruktur erlangt, die Integrität der verschlüsselten Daten gefährden kann. Ein zentrales Problem stellt dabei das Fehlen einer lückenlosen kryptografischen Bindung zwischen den verschiedenen Datenelementen innerhalb eines Vault-Eintrags dar. So ist es möglich, durch sogenannte Field-Swap-Angriffe die verschlüsselten Informationen zu manipulieren. Da Benutzernamen, Passwörter und die dazugehörigen URLs oft als separate Objekte gespeichert werden, kann ein Angreifer diese auf dem Server vertauschen. Dies führt im Extremfall dazu, dass die Anwendung des Nutzers das entschlüsselte Passwort an eine fremde Gegenstelle sendet, während sie eigentlich nur versucht, ein Website-Icon zu laden.
Neben diesen strukturellen Designfehlern identifizierte das Team Schwachstellen in Zusatzfunktionen wie der Passwort-Wiederherstellung und dem Teilen von Zugängen innerhalb von Organisationen. Besonders kritisch bewerteten die Experten die Rückwärtskompatibilität mit veraltetem Programmcode, die in einigen Fällen als Einfallstor für Downgrade-Angriffe diente. Während Bitwarden mit 12, LastPass mit 7 und Dashlane mit 6 identifizierten Schwachstellen im Fokus standen, schnitt ein anderer bekannter Anbieter deutlich besser ab. Die Architektur von 1Password erwies sich aufgrund der Verwendung eines zusätzlichen Secret Keys, der die mathematische Grundlage für die Verschlüsselung auf den Endgeräten der Nutzer stärkt, als resistent gegen die meisten der untersuchten serverbasierten Angriffe.
Diese Forschungsergebnisse unterstreichen, dass die Sicherheit von Cloud-Diensten nicht allein auf dem Vertrauen in die Verschlüsselung basieren darf. Die Anbieter sind nun gefordert, ihre kryptografischen Implementierungen zu verstärken und sicherzustellen, dass die Integrität der Daten auch dann gewahrt bleibt, wenn die Serverumgebung nicht mehr als vertrauenswürdig eingestuft werden kann. Für die Nutzer bedeutet dies eine Erinnerung daran, dass auch spezialisierte Sicherheitssoftware kontinuierlicher Überprüfung bedarf und dass die Wahl des Anbieters sowie die Nutzung zusätzlicher Sicherheitsfaktoren wie Hardware-Tokens eine entscheidende Rolle für den Schutz der eigenen digitalen Identität spielen.
Die Forscher deckten auf, dass ein kompromittierter Server des Anbieters oder ein versierter Angreifer, der die Kontrolle über die Server-Infrastruktur erlangt, die Integrität der verschlüsselten Daten gefährden kann. Ein zentrales Problem stellt dabei das Fehlen einer lückenlosen kryptografischen Bindung zwischen den verschiedenen Datenelementen innerhalb eines Vault-Eintrags dar. So ist es möglich, durch sogenannte Field-Swap-Angriffe die verschlüsselten Informationen zu manipulieren. Da Benutzernamen, Passwörter und die dazugehörigen URLs oft als separate Objekte gespeichert werden, kann ein Angreifer diese auf dem Server vertauschen. Dies führt im Extremfall dazu, dass die Anwendung des Nutzers das entschlüsselte Passwort an eine fremde Gegenstelle sendet, während sie eigentlich nur versucht, ein Website-Icon zu laden.
Neben diesen strukturellen Designfehlern identifizierte das Team Schwachstellen in Zusatzfunktionen wie der Passwort-Wiederherstellung und dem Teilen von Zugängen innerhalb von Organisationen. Besonders kritisch bewerteten die Experten die Rückwärtskompatibilität mit veraltetem Programmcode, die in einigen Fällen als Einfallstor für Downgrade-Angriffe diente. Während Bitwarden mit 12, LastPass mit 7 und Dashlane mit 6 identifizierten Schwachstellen im Fokus standen, schnitt ein anderer bekannter Anbieter deutlich besser ab. Die Architektur von 1Password erwies sich aufgrund der Verwendung eines zusätzlichen Secret Keys, der die mathematische Grundlage für die Verschlüsselung auf den Endgeräten der Nutzer stärkt, als resistent gegen die meisten der untersuchten serverbasierten Angriffe.
Diese Forschungsergebnisse unterstreichen, dass die Sicherheit von Cloud-Diensten nicht allein auf dem Vertrauen in die Verschlüsselung basieren darf. Die Anbieter sind nun gefordert, ihre kryptografischen Implementierungen zu verstärken und sicherzustellen, dass die Integrität der Daten auch dann gewahrt bleibt, wenn die Serverumgebung nicht mehr als vertrauenswürdig eingestuft werden kann. Für die Nutzer bedeutet dies eine Erinnerung daran, dass auch spezialisierte Sicherheitssoftware kontinuierlicher Überprüfung bedarf und dass die Wahl des Anbieters sowie die Nutzung zusätzlicher Sicherheitsfaktoren wie Hardware-Tokens eine entscheidende Rolle für den Schutz der eigenen digitalen Identität spielen.
