Pinning


Beim Aufbau einer SSL/TLS-Verbindung wird die Vertrauenswürdigkeit des Servers anhand von digitalen Zertifikaten geprüft, die von CAs ausgestellt worden sind, denen der Client vertraut. Die Zertifikate der CAs, denen der Browser vertraut, sind fest im Browser hinterlegt (hierarchy of trust). Kann der Server kein passendes Zertifikat vorweisen, wird keine SSL-Verbindung zugelassen. Die Sicherheit von SSL/TLS-Verschlüsselung hängt also maßgeblich von der Sicherheit und Vertrauenswürdigkeit der CAs ab. Wird eine CA kompromitiert, so kann das ganze Verschlüsselungssystem unterlaufen werden, indem Server mit gefäschten Zertifikaten aufgesetzt werden oder gar SSL-Gateways unbemerkt für Man-in-the-Middle-Attacken dem Client untergeschoben werden.

Mit Pinning, werden im Client zusätzliche Plausibilisierungs- und Sicherheitsregeln in Whitelists hinterlegt. Die Whitelist ordnen einem Hostname explizit einen oder mehrere öffentliche Schlüssel (Public Key Pinning), Zertifikate (Certificate Pinning) oder CAs (CA Pinning) zu und werden vom Client beim Aufbau überprüft. Außerdem können SSL/TLS-Parameter festgelegt werden, um schwache Verschlüsselungsverfahren zu vermeiden.

Siehe auch:
HPKP
HSTS

0-9|A|B|C|D|E|F|G|H|I|J|K|L|M|N|O|P|Q|R|S|T|U|V|W|X|Y|Z|alle

Suche im Lexikon nach im

 

Fachartikel

Unvorhergesehenen Ereignissen besser begegnen [5.08.2020]

Was haben ein kleines Familienunternehmen, ein mittelständischer Betrieb und ein großer Konzern gemeinsam? Sie alle müssen mit unvorhersehbaren Ereignissen rechnen, die in Betriebsunterbrechungen, -ausfällen und Produktivitätsstopps ihrer Mitarbeiter resultieren können – sei es durch Naturkatastrophen oder eine Downtime bei modernen Telekommunikationstechnologien. Für Unternehmen heißt das: Vorsicht vor Nachsicht walten lassen. Doch wie bereiten sie sich am besten auf das Unvorhersehbare vor? Der Fachartikel gibt darauf eine Antwort. [mehr]

Grundlagen

Pass-the-Hash-Angriffe [23.06.2020]

Mit einer erfolgreichen Pass-the-Hash-Attacke wird ein Angreifer leicht Administrator der Windows-Domäne. Doch weil es technisch sehr schwierig ist, Inhalte des Arbeitsspeichers zu verteidigen, gibt es für die seit mehr als zwei Jahrzehnten bekannte Sicherheitslücke keinen Patch, sondern nur Empfehlungen für eine bessere Organisation der IT. Der ursprünglich sehr aufwendige Pass-the-Hash-Attacke ist heute nur noch eine Sache weniger Klicks. Wir beleuchten die Grundlagen dieses Angriffsvektors. [mehr]