Bochumer Forscher melden Sicherheitsmängel in Amazon-Cloud

Forscher der Ruhr-Universität Bochum haben Sicherheitslücken in Amazons Clouddiensten gefunden und gemeldet. Das teilten sie jetzt per Pressemeldung mit. Die Schwachstellen hat Amazon in der Zwischenzeit geschlossen.

Das Projekt leitete Jörg Schwenk, Professor für Netz- und Datensicherheit. Ihm zufolge wurden unter anderem Signature Wrapping und Cross-Site Scripting erfolgreich genutzt. „Mit verschiedenen Varianten von ‚XML Signature Wrapping‘-Angriffen ist es uns gelungen, die administrativen Rechte eines beliebigen Cloud-Kunden komplett zu übernehmen“, erklärt sein Mitarbeiter Juraj Somorovsky. „Somit konnten wir etwa in der Cloud des Opfers neue Instanzen anlegen, Images erstellen oder auch löschen.“

Die Forscher vermuten, dass viele Cloud-Angebote anfällig gegen Signature-Wrapping-Attacken sind, da Webservice-Standards nach ihrer Einschätzung Performance und Sicherheit unvereinbar machen. Das Problem nehmen sie nun selbst in die Hand: „Wir arbeiten aber an einer hochperformanten Lösung, die keine der bekannten Sicherheitslücken mehr aufweist“, sagt Schwenk.

Darüber hinaus entdeckten die Forscher Lücken im AWS-Interface und im Amazon-Shop, über die sie ausführbaren Skriptcode einschleusen konnten – also klassisches Cross-Site Scripting. „Wir hatten ungehinderten Zugang zu allen Daten des Kunden, darunter Authentifizierungsdaten, Tokens und selbst Passwörter im Klartext“, berichtet ein weiterer Mitarbeiter des Projekts, Mario Heiderich. Im gemeinsamen Log-in-Screen sieht der Forscher an sich schon ein Gefahrenpotential: „Es ist eine Kettenreaktion: Eine Sicherheitslücke im komplexen Amazon-Shop verursacht immer direkt auch eine Lücke in der Amazon-Cloud.“