Beheben von SSL-Konfigurationsrisiken

Transport Layer Security (TLS) bietet Sicherheit für die Internetkommunikation. TLS ist der Nachfolger des inzwischen veralteten Secure Sockets Layer (SSL), aber es ist üblich, dass TLS und SSL als Synonyme für die aktuellen kryptografischen Protokolle verwendet werden, die die digitale Kommunikation über die Public-Key-Infrastruktur (PKI) verschlüsseln.

Um sicherzustellen, dass Websites dieses Maß an Kommunikationssicherheit bieten, generieren Webadministratoren SSL-Zertifikate, die das Hypertext Transfer Protocol Secure (HTTPS) verwenden, um die Kommunikation zwischen dem Client und dem Server zu authentifizieren.

Um Schwachstellen zu vermeiden, die aus einer Fehlkonfiguration der Sicherheit resultieren, halten Sie Ihre SSL-Zertifikate auf dem neuesten Stand und sorgen Sie für einen sicheren Schutz mit dem SSL-Protokoll auf Ihrem Webserver.

Häufige Ergebnisse bei SSL-Fehlkonfigurationen

Ohne die richtige Konfiguration für SSL/TLS-Zertifikate besteht die Gefahr, dass der Datenverkehr zur Website von böswilligen Akteuren abgefangen wird. Ein nicht vertrauenswürdiges oder falsch konfiguriertes SSL-Zertifikat gefährdet die Kommunikation, während ein widerrufenes Zertifikat dazu führen kann, dass die Website für die meisten Browser nicht mehr zugänglich ist. Eine sichere Verbindung zu Webanwendungen in Produktionsumgebungen erfordert Anwendungssicherheitsfunktionen wie SSL/TLS-Authentifizierung.

UpGuard sucht nach häufigen Problemen im Zusammenhang mit der Zertifikatskonfiguration, sodass UpGuard-Benutzer über alle Risiken informiert bleiben, die sich auf ihr Geschäft auswirken können, wie z. B. die folgenden Risiken für die SSL-Sicherheitskonfiguration:

Hostname stimmt nicht mit SSL-Zertifikat überein
SSL-Zertifikatskette fehlt in der Serverantwort
Gesperrtes Zertifikat wird verwendet

Wenn Sie ein Zertifikat für Ihre Site generieren, enthält es den bevorzugten Hostnamen oder die bevorzugte Domäne für das System, das durch Verschlüsselung geschützt wird. Diese Aufnahme stellt die notwendigen Informationen bereit, um die Verbindung zwischen dem Client und dem Server zu überprüfen. Wenn der Hostname nicht mit dem SSL-Zertifikat übereinstimmt, erhalten Benutzer einen Browserfehler. Abgesehen davon, dass Websites durch diese Feststellung unzugänglich gemacht werden, ermöglichen nicht übereinstimmende Zertifikate die Möglichkeit von Man-in-the-Middle-Angriffen (MITM).

Jedes Zertifikat gehört zu einer Zertifikatskette, die sich auf mehreren Ebenen authentifiziert. Jedes Zertifikat in der Kette muss genau gepflegt werden und auf dem neuesten Stand bleiben, damit die SSL-Validierung bei Bedarf funktioniert. Das Stammzertifikat validiert die Zertifizierungsstelle, die das Zertifikat ausstellt, wobei zusätzliche Zwischenzertifikate von der Struktur Ihrer Standortstruktur abhängen. Wenn Sie eine Benachrichtigung erhalten, dass die SSL-Zertifikatskette in der Serverantwort fehlt, wird durch eine Lücke in Ihrer Zertifikatskette die gesamte Kette ungültig.

Zertifikate können von der Zertifizierungsstelle vor ihrem Ablaufdatum widerrufen werden. In diesem Fall erhalten Sie eine Benachrichtigung über ein widerrufenes Zertifikat, das verwendet wird. Gesperrte Zertifikate bieten keinen ordnungsgemäßen SSL/TLS-Schutz, und Domänen mit einem gesperrten Zertifikat bieten keinen HTTPS-Schutz. Die Sperrung erfolgt in der Regel aufgrund eines kompromittierten privaten Schlüssels, einer außer Betrieb genommenen Domain oder böswilliger Verhaltensweisen wie Phishing oder Malware, die von der betreffenden Domain stammen.

UpGuard scannt Ihre Assets auch auf Risiken im Zusammenhang mit schwachem SSL, Ablauf von SSL-Zertifikaten, SSL/TLS-Verfügbarkeit, HTTPS-Umleitung und HTTPS Strict Transport Policy (HSTS).

Durch die kontinuierliche Überwachung Ihrer externen Angriffsfläche sucht UpGuard BreachSight nach Bedrohungssignalen und häufigen Problemen im Zusammenhang mit SSL/TLS-Zertifikaten. Aktuelle UpGuard-Benutzer mit der BreachSight-Funktion können sich anmelden und auf ihr Risikoprofil zugreifen, um nach SSL-Risiken in ihren Assets zu suchen. Wenn Sie noch kein UpGuard-Benutzer sind und einen automatisierten Scan Ihrer Assets mit BreachSight durchführen möchten, melden Sie sich für eine Testversion an. BreachSight bietet Automatisierung für die Prüfung Ihrer Sicherheitseinstellungen.

Wenn Sie ein SSL-Konfigurationsproblem für Ihre Assets festgestellt haben, können Sie Sicherheitsmaßnahmen einrichten, um das Problem zu beheben, damit Benutzer beim Zugriff auf Ihre Website geschützt bleiben.

So beheben Sie SSL-Konfigurationsprobleme

Jedes dieser Konfigurationsprobleme kann behoben werden, indem Sie ein neues SSL-Zertifikat von Ihrer Zertifizierungsstelle anfordern. Obwohl die Zertifizierungsstellen möglicherweise unterschiedliche Informationen benötigen, folgt der Prozess in der Regel diesen vier Schritten:

Generieren Sie eine Zertifikatsignieranforderung mit der Zertifizierungsstelle Ihrer Wahl.
Schließen Sie den Validierungsprozess für die Domänensteuerung ab.
Aktivieren Sie das Zertifikat und installieren Sie es auf Ihren Servern.
Wiederholen Sie den Vorgang für alle Zertifikate in Ihrer Zertifikatskette.

Wenn Sie eine neue Zertifikatsignieranforderung für Ihr aktualisiertes SSL-Zertifikat senden, stellen Sie sicher, dass es über die entsprechenden Parameter verfügt, um die Konfigurationsfindung zu entschärfen und Fehlkonfigurationsangriffe zu verhindern.

Aktualisieren des Hostnamens

Wenn sich Ihr SSL-Fund auf den Hostnamen bezieht, fordern Sie ein neues Zertifikat an, auf dem die korrekten Hostnamen aufgeführt sind. Ein ordnungsgemäß bereichsspezifisches Zertifikat verhindert Browserfehler und reduziert die Komplexität des Zertifikats. Überprüfen Sie alle vorhandenen Zertifikate, um sicherzustellen, dass jedes Zertifikat über den richtigen Hostnamen verfügt. Wenn Sie Ihre SSL-Zertifikatserneuerungsprozesse aktualisieren, schließen Sie Schritte ein, die alle Änderungen an Hostnamen oder Aliasen berücksichtigen.

Schützen der Zertifikatskette

Da die Kette als Ganzes funktioniert, muss jedes Zertifikat in der Kette gültig sein, damit das Endzertifikat, das dem Clientserver zugewandt ist, gültig ist. Wenn ein Teil der Kette fehlt oder ungültig ist, treten bei Benutzern Browserfehler auf. Um dieses Problem zu beheben, konfigurieren Sie Ihren Server so, dass die gesamte Zertifikatskette auf dem System verfügbar ist, während vertrauliche Informationen im Stammzertifikat geschützt werden, wodurch sichergestellt wird, dass keine Lücken zwischen dem Endzertifikat und der Stammzertifizierungsstelle vorhanden sind.

Beheben Sie den Widerruf des SSL-Zertifikats

Wenn ein SSL-Zertifikat widerrufen wird, wird die TLS-Verschlüsselung aufgehoben und HTTPS ist für die Website nicht verfügbar. Ein Widerruf erfolgt in der Regel nur, wenn das Zertifikat fälschlicherweise ausgestellt wurde, der Zertifikatsinhaber gegen die Bedingungen des Zertifikats verstoßen hat oder die Zertifizierungsstelle böswillige Verhaltensweisen wie Phishing identifiziert, die von der Domäne ausgehen.

Wenn Ihr SSL-Zertifikat jedoch gesperrt wird, muss es so schnell wie möglich durch ein neues Zertifikat einer gültigen Zertifizierungsstelle ersetzt werden, um die Kontinuität der geschützten Datenübertragung zwischen den betroffenen Servern und ihren Clients zu gewährleisten. Die kontinuierliche Überwachung mit UpGuard BreachSight kann Ihnen dabei helfen, sicherzustellen, dass keine widerrufenen Zertifikate in Ihren Assets verwendet werden.

Verstärken der Sicherheitskonfiguration

Zusätzlich zu den in diesem Beitrag beschriebenen Fehlkonfigurationsergebnissen können Sie sich vor Angriffsvektoren schützen, die sich aus Standardkonfigurationen und unnötigen Funktionen ergeben. Aktualisieren Sie Schwachstellen in Ihren Algorithmen und Cipher Suites in Übereinstimmung mit den Richtlinien des Open Worldwide Application Security Project (OWASP). Starke Sicherheitskontrollen, wie z. B. Forward Secrecy in Ihrer Cipher Suite, stellen sicher, dass sensible Daten gegen Brute-Force-Angriffe oder unbefugten Zugriff verschlüsselt bleiben. Ändern Sie die Standardeinstellungen und vermeiden Sie Standardkennwörter, damit Hacker keinen Zugriff auf Ihren Anwendungsstack erhalten oder Berechtigungen innerhalb Ihres Anwendungsservers eskalieren können.