Bochumer Forscher melden Sicherheitsmängel in Amazon-Cloud

Sie waren sowohl per Signature Wrapping als auch mit Cross-Site Scripting erfolgreich. Amazon hat die Lücken umgehend geschlossen. Die Wissenschaftler entwerfen nun selbst eine sichere Webservice-Lösung.

Logo AWS

Forscher der Ruhr-Universität Bochum haben Sicherheitslücken in Amazons Clouddiensten gefunden und gemeldet. Das teilten sie jetzt per Pressemeldung mit. Die Schwachstellen hat Amazon in der Zwischenzeit geschlossen.

Das Projekt leitete Jörg Schwenk, Professor für Netz- und Datensicherheit. Ihm zufolge wurden unter anderem Signature Wrapping und Cross-Site Scripting erfolgreich genutzt. „Mit verschiedenen Varianten von ‚XML Signature Wrapping‘-Angriffen ist es uns gelungen, die administrativen Rechte eines beliebigen Cloud-Kunden komplett zu übernehmen“, erklärt sein Mitarbeiter Juraj Somorovsky. „Somit konnten wir etwa in der Cloud des Opfers neue Instanzen anlegen, Images erstellen oder auch löschen.“

Die Forscher vermuten, dass viele Cloud-Angebote anfällig gegen Signature-Wrapping-Attacken sind, da Webservice-Standards nach ihrer Einschätzung Performance und Sicherheit unvereinbar machen. Das Problem nehmen sie nun selbst in die Hand: „Wir arbeiten aber an einer hochperformanten Lösung, die keine der bekannten Sicherheitslücken mehr aufweist“, sagt Schwenk.

Darüber hinaus entdeckten die Forscher Lücken im AWS-Interface und im Amazon-Shop, über die sie ausführbaren Skriptcode einschleusen konnten – also klassisches Cross-Site Scripting. „Wir hatten ungehinderten Zugang zu allen Daten des Kunden, darunter Authentifizierungsdaten, Tokens und selbst Passwörter im Klartext“, berichtet ein weiterer Mitarbeiter des Projekts, Mario Heiderich. Im gemeinsamen Log-in-Screen sieht der Forscher an sich schon ein Gefahrenpotential: „Es ist eine Kettenreaktion: Eine Sicherheitslücke im komplexen Amazon-Shop verursacht immer direkt auch eine Lücke in der Amazon-Cloud.“

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Bochumer Forscher melden Sicherheitsmängel in Amazon-Cloud

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *