Wie funktioniert ein Penetrationstest mit Enginsight?
Ein Penetrationstest ist ein geplanter und kontrolliert durchgeführter automatisierter Angriff auf die eigenen Systeme, um Schwachstellen gezielt aufzudecken. Penetrationstests werden mit der Enginsight Komponente Hacktor durchgeführt.
Im Folgenden erklären wir dir, wie ein Penetrationstest mit Enginsight funktioniert.
4 Elemente des Penetrationstests
Der automatisierte Penetrationstest von Enginsight besteht aus vier Elementen:
Information Gathering: Durch Basis- und Deep-Scans erstellt der Hacktor ein Footprinting der Anwendungsumgebung, ermittelt also Informationen, die für einen Angriff ausgenutzt werden können.
CVE-Scan: Der Hacktor untersucht die ermittelten Softwareanwendungen auf bekannte Sicherheitslücken, die ebenfalls ausgenutzt werden können.
Service-Bruteforce: Durch das automatisierte Ausprobieren von Benutzer-Passwort-Kombinationen versucht der Hacktor, unsichere Login-Daten aufzudecken.
Service-Discovery: Mit speziellen Checks, z.B. von Verschlüsselung, Authentifizierung und Rechte-Vergabe für bestimmte Dienste, deckt der Hacktor sicherheitsrelevante Konfigurationsmängel auf.
Enginsight ermittelt automatisiert, welche Checks für das jeweilige Zielsystem herangezogen werden müssen, und zeigt dir im Detail, ob ein Check bestanden wurde oder nicht und aus welchen Gründen er nicht bestanden wurde.
1. Information Gathering
Ziel des Information Gatherings (Sammlung von Informationen) ist es, ein möglichst umfassendes Footprinting der untersuchten Systeme zu erstellen. Unter Footprinting wird das Sammeln von Informationen verstanden, die für die anschließenden Hacking-Angriffe genutzt werden.
Dieses Vorgehen nutzen auch echte Hacker, um abzuschätzen, welche Angriffsvektoren erfolgversprechend sind. Deshalb ist es aus Sicherheitsperspektive am Besten, möglichst wenig über verwendete Technologien nach außen preiszugeben.
Der Hacktor setzt beim Footprinting auf verschiedene Ansätze:
Basis-Scan
Ports
Offene Ports werden auf die dahinterliegende Anwendung untersucht und ob die verwendete Version preisgegeben wird.
HTTP-Header
HTTP-Header wie X-Mod-Pagespeed und Server werden darauf untersucht, ob sie Informationen zum System preisgegeben.
Deep-Scan
Webanwendungen
Mittels statistischer Verfahren werden Webanwendungen auf die verwendeten Technologien untersucht (z.B. das genutzte CMS, Programmiersprachen und Libraries).
Betriebssystem (SNMP)
Über das Simple Network Management Protocol (SNMP) wird versucht, das verwendete Betriebssystem zu ermitteln.
Installierte Pakete (SNMP)
Über SNMP wird versucht, Zugriff auf installierte Pakete zu erhalten.
Remote Control Service
Es wird versucht, Informationen über verwendete Dienste zu erlangen, über die eine Fernwartung durchgeführt werden kann (z.B. SSH, VNC, RDP, Telnet).
mDNS
Es wird untersucht, ob Multicast-DNS (mDNS) Funktionalitäten aktiviert sind, über die ein Zugriff erfolgen kann.
2. CVE-Scan
Zusätzlich überprüft der Hacktor die verwendeten Versionen von gefundenen Softwareanwendungen in einem netzwerkseitigen Flächen-Scan auf bekannte Sicherheitslücken (Common Vulnerabilities and Exposures; CVE).
Findet der Hacktor eine CVE, versucht er, sie über das Untersuchen von Meta-Informationen zu validieren. Das heißt, er prüft, ob die Sicherheitslücke bei dem entsprechend verwendeten Betriebssystem wirksam wird, sie also ausgenutzt werden kann. Ist dies der Fall, erhält die CVE die Kennzeichnung validated.
Es kann vorkommen, dass es dem Hacktor nicht möglich ist, das Betriebssystem zweifelsfrei festzustellen. Die CVE kann dann nicht validiert werden. Sie taucht trotzdem im Audit-Bericht auf, erhält jedoch den Hinweis invalidated. In diesem Fall muss der Nutzer selbst nachprüfen, ob die Sicherheitslücke bei diesem System wirksam ist.
Auf unserem Blog erklären wir, warum wir CVEs über Meta-Informationen anstatt über Exploits, also das aktive Ausnutzen von Sicherheitslücken, validieren: Sicherheitslücken (CVE) über Meta-Informationen oder Exploits validieren?
3. Service-Bruteforce
Im Rahmen des Service-Bruteforce-Angriffes versucht der Hacktor durch das massenhafte Ausprobieren von Passwörtern Zugriff auf das Zielsystem zu erlangen.
Attackierte Dienste
Für folgende Dienste wird Bruteforce herangezogen:
FTP (File Transfer Protocol)
HTTP Basic Auth
HTTP Web Forms (keine Single-Page-Webanwendungen oder JavaScript-Logins)
HTTP xmlrpc.php (Wordpress)
MariaDB
Microsoft SQL Server
MongoDB
MySQL
OracleDB
PostgreSQL
RabbitMQ
RDP (Remote Desktop Protocol)
Redis
RTSP (Real-Time Streaming Protocol)
SMB (Server Message Block)
SNMP (Simple Network Management Protocol)
SSH (Secure Shell)
Telnet
VNC (Virtual Network Computing)
Passwortlisten
Enginsight stellt für Penetrationstests Passwortlisten zur Verfügung, die standardmäßig überprüft werden. Zudem kannst du in der Enginsight Plattform eigene Passwortlisten in die Überprüfung miteinbeziehen. Darüber hinaus testet der Hacktor Service-spezifische Standard-Authentifizierungen.
4. Service-Discovery
In der Entdeckungs-Phase untersucht der Hacktor die erkannten Dienste auf gängige Konfigurationsmängel. Er testet dabei unter anderem Authentifizierungs-Verfahren, Rechte-Vergaben und Verschlüsselungs-Verfahren.
Service-übergreifende Checks
Anfällig für Log4Shell (CVE-2021-44228)
Es wird eine verwundbare Version des Java-Frameworks Log4j, die sich für Log4Shell-Attacken ausnutzen lässt, verwendet (CVE-2021-44228).
Bitte beachte: Damit dieser Check korrekte Ergebnisse liefert, muss eine Konnektivität vom Zielsystem zum Hacktor (Portbereich: 1 - 1000) sichergestellt sein (HTTP, SSH, FTP, SMTP, IMAP).
Erreichbarer Remote Control Service
Dienste, über die eine Fernwartung durchgeführt werden können, sind aus Sicherheitsperspektive kritisch zu betrachten. Es sollte überprüft werden, ob der Service tatsächlich benötigt wird.
Authentifizierungsanbieter
Auth-Provider: Informationen zu installierter Software
Einer oder mehrere der angegebenen Auth-Provider wurden verwendet um die Liste installierter Software zu enumerieren. Diese Informationen erlauben eine genauere Auswertung von Schwachstellen wie CVE.
Auth-Provider: Information zum Betriebssystem
Einer oder mehrere der angegebenen Authprovider wurden verwendet, um das verwendete Betriebssystem genauer zu erkennen. Diese Information wird verwendet, um Schwachstellen oder eine End-Of-Life-Bewertung vorzunehmen.
DNS (Domain Name System)
Anfällig für DNS Zone Transfer (AXFR)
Die DNS Name-Server des Zielsystems erlauben einen Transfer der DNS-Zone. Dies ermöglicht Angreifern, die Netzwerktopologie zu enumerieren und weitere Ziele ausfindig zu machen.
Anfällig für Subdomain Takeover
Es existiert ein CNAME-Eintrag, welcher auf eine nicht-registrierte Seite eines externen Hosters verweist. Ein Angreifer kann diese Seite registrieren und somit die Domain für Phishing oder Social Engineering Angriffe nutzen.
Anfällig für Webserver DDoS
Der Hostname löst nur zu einer einzigen oder sehr wenigen IPs (DNS A Record) auf. Dies erhöht die Chance für Angreifer den Webserver mittels DDoS Angriff unerreichbar zu machen.
Fehlender DNS CAA Eintrag
Der Certification Authority Authorization (CAA)-Eintrag fehlt, obwohl er vorhanden sein sollte. Er dient dazu, bestimmte Zertifizierungsstellen (CAs) zu berechtigen, ein Zertifikat für die Domain auszustellen. So kann verhindert werden, dass Zertifikate für eine Domain missbräuchlich ausgestellt werden.
Fehlender DMARC Record
Der Domain-based Message Authentication, Reporting and Conformance (DMARC)-Eintrag fehlt, obwohl er vorhanden sein sollte. Er erlaubt der Absender-Domain festzulegen, wie E-Mail-Server mit Nachrichten umgehen sollen, die die Authentifizierung nicht bestehen.
Fehlende Kontaktadresse für DNS CAA
Für die Certification Authority Authorization (CAA), die das Zertifikat für die Domain ausgestellt hat, ist keine Kontaktadresse angegeben.
Fehlender SPF Record
Der Sender-Policy-Framework (SPF)-Eintrag fehlt, obwohl er vorhanden sein sollte. Er ermöglicht, IP-Adressen zum Versenden von E-Mails mit der Domain zu berechtigen. So kann Dritten untersagt werden, den Domain-Namen missbräuchlich zu verwenden.
Fehlende Vielfalt der Authoritative DNS Nameserver
Die authoritativen Name-Server der Domain verwenden dieselben oder ähnliche Routing-Pfade an ähnlichen geographischen Standorten. Dies beeinflusst die weltweite Performance und erhöht die Anfälligkeit für Ausfälle.
Offener DNS Resolver (DNS Recursion)
Der DNS-Dienst des Zielsystems erlaubt rekursive Anfragen für beliebige Domainnamen. Diese offenen DNS-Resolver können für DDoS-Reflection-Angriffe gegen IT-Systeme Dritter verwendet werden, wenn sie aus dem Internet erreichbar sind.
Ungültiger Inhalt des DMARC Records
Der Inhalt des DMARC-Eintrags ist nicht gültig, da ein oder mehrere Tags nicht gesetzt sind.
Ungültiger Inhalt des SPF Records
Der SPF-Eintrag enthält unbekannte Einträge (bekannt sind: spf1, mx, ip4, ip6, exists, include, all, a, redirect, exp, ptr) und/oder unerlaubte Zeichen.
Ungültige Kontaktadresse für DNS CAA
Die angegebene E-Mail-Adresse der Zertifizierungsstelle entspricht nicht dem gültigen E-Mail-Format (abc@xyz.com).
Unkonventionelle Zertifizierungsstelle
Die verwendete Zertifizierungsstelle (issue, wildissue) befindet sich nicht auf unserer Whitelist.
FTP (File Transfer Protocol)
Anonyme FTP-Session
Anonymous FTP erlaubt allen Benutzern einen freien Zugriff auf FTP-Verzeichnisse. Es sollte immer überprüft werden, ob dies wirklich notwendig ist und ob Lese- und Schreibrechte richtig konfiguriert sind.
Anonymer Zugang zum root (/) Verzeichnis
Das root-Verzeichnis ist Teil des Backends und ein Zugriff via FTP sollte nur autorisierten Benutzern mit entsprechenden Zugangsdaten gewährt werden.
Change Working Directory (cwd) Zugang für anonyme Nutzer
Der Befehl cwd erlaubt das Wechseln des aktiven Verzeichnisses auf dem FTP-Server. Diese Möglichkeit sollte anonymen Nutzern nicht gestatt sein.
Erlaubt unverschlüsselte FTP Logins
Der FTP Server ermöglicht den Login mittels einer unverschlüsselten Verbindung. Angreifer können die Logindaten daher auslesen.
Löschrechte für anonyme Nutzer
Anonyme Nutzer sollten niemals in der Lage sein, Dateien zu löschen. Daher sollte darauf geachtet werden, Lese- und Schreibrechte richtig zu konfigurieren.
Schreibrechte für anonyme Nutzer
Anonyme Nutzer sollten niemals über Schreibrechte verfügen. Daher sollte darauf geachtet werden, Lese- und Schreibrechte richtig zu konfigurieren.
HTTP (Hypertext Transfer Protocol)
Anfällig für Broken Link Hijacking
Der Quellcode der Website enthält Elemente, die Inhalte von einer nicht mehr registrierten Domain (NXDOMAIN) laden. Ein Angreifer kann diese Domain registrieren und somit schadhafte Inhalte in die Website laden. Dies kann für Cross-Site-Scripting-Angriffe (XSS), Clickjacking oder Social Engineering Angriffe verwendet werden.
Anfällig für HTTP.sys Remote Code Execution (CVE-2015-1635)
Der Webserver ist anfällig für eine Remote Code Execution Sicherheitslücke im Microsoft HTTP Protokollstack (HTTP.sys) aufgrund fehlerhafter Umwandlung von speziell präparierten HTTP-Anfragen.
Anfällig für HTTP TRACE/TRACK Methoden
Die HTTP TRACE- und TRACK-Methoden können sensible Informationen offenlegen, indem sie Client-Anfragen reflektieren. Dadurch können Sicherheitsmaßnahmen wie HttpOnly-Cookies umgangen werden. Sie werden häufig in Cross-Site-Tracing (XST)-Angriffen genutzt.
Anfällig für React Server Components RCE (CVE-2025-66478 / CVE-2025-55182)
Eine verwundbare Version bzw. ausnutzbare Implementierung von Next.js/React Server Components liegt vor (CVE-2025-66478 / CVE-2025-55182) und ermöglicht Remote Code Execution über das Flight-Protokoll.
Anfällig für ShellShock
Die Schwachstelle in der Unix-Shell Bash ermöglicht es Angreifern, auf dem Zielsystem beliebige Befehle auszuführen und nicht autorisierten Zugriff zu erhalten.
Anfällig für Shellshock (5xx Statuscode)
Die Schwachstelle in der Unix-Shell Bash ermöglicht auf dem Zielsystem beliebige Befehle auszuführen und nichtautorisierten Zugriff zu erhalten. Ein 5xx Statuscode deutet darauf hin, dass Eingaben vom Server nicht korrekt validiert werden. Ob das Zielsystem tatsächlich anfällig ist, muss in diesem Fall manuell geprüft werden.
Anfällig für Spring4Shell (CVE-2022-22965)
Die Schwachstelle im Spring Framework ermöglicht Angreifern das Einrichten einer Webshell.
Anfällig für WordPress DoS (CVE-2018-6389)
Durch das Versenden eines bösartigen HTTP GET Query Parameters kann ein Angreifer einen Denial-of-Service-Zustand verursachen.
Common Source Leak
Dateien, die versteckt sein sollten, sind öffentlich zugänglich. Sie geben möglicherweise wichtige Informationen preis, die das Ziel potenziell angreifbar machen.
Common Credential Store
Dateien, die sensible Dateien beinhalten (bspw. Passwörter) sind öffentlich über HTTP zugänglich.
Cross Site Scripting (XSS)
Es ist Angreifern möglich, bspw. HTML-, JavaScript- oder CSS-Code unvalidiert in eine Webseite einzubetten.
Default-Seite wird angezeigt
Die Standardseite einer Anwendung, also die erste Seite einer Webseite, die automatisch geladen wird, wenn ein Benutzer eine Domain aufruft, ist über unsicheres HTTP erreichbar. Dies deutet darauf hin, dass eine Fehlkonfiguration vorliegt und möglicherweise sensible Bereiche für Unbefugte zugänglich sind.
Der Quellcode enthält frei zugängliche Anmeldedaten
Im Quellcode der Webseite finden sich Zugangsdaten für eine API, Clouddienste oder Passwörter.
Der Quellcode enthält Schadsoftware
Im Quellcode der Webseite finden sich Hinweise auf eine erfolgreiche Cyberattacke.
Directory Listing ist aktiviert
Directory Listing ist eine Webserver-Funktion, die den Inhalt eines Verzeichnisses offenbart, das keine Indexdatei hat. Ein Angreifer kann sich so leicht Zugang zu privaten Inhalten auf dem Webserver verschaffen.
E-Mail-Harvesting
Der Host ist anfällig für das Sammeln (Harvesting) von E-Mail-Adressen. Böswillige Bots können diese Kontakte ermitteln und für eine spätere Verwendung speichern, z.B. um Phishing-Betrug zu begehen.
Enumeration von WordPress Plugins (Deep Scan)
Mittels statistischer Verfahren konnten verwendete WordPress Plugins aufgedeckt werden. Schränke die Möglichkeiten ein, Software (insbesondere Versionsnummern) von außen zu erkennen, um die Angriffsfläche zu verringern.
Erkennung von veralteten Webressourcen
Die Website enthält JavaScript und CSS-Ressourcen, deren "Last-Modified" HTTP-Header angezeigt, dass sie seit mindestens 365 Tagen unverändert sind. Dies kann ein Indikator für fehlende Updates sein.
Erlaubt offene Umleitung
Der Host ermöglicht die Integration von benutzerdefinierten Daten in Umleitungsziele. Ein Angreifer kann so Benutzer auf eine beliebige externe Domain umleiten, was Phishing-Angriffe gegen Benutzer ermöglicht.
Erlaubt Zugriff auf Datenbank-Dump
Teilweise oder ganze Auszüge von Datenbanken, die für die Datensicherung oder Portierung erstellt wurden (Datenbank-Dump), sollten nicht öffentlich erreichbar sein.
Erlaubt unauthentifizierte Änderungen von kritischen Einstellungen
Das Gerät oder der Webserver erlaubt unauthentifizierte Änderungen an kritischen Einstellungen, wie das Setzen von Zugangspasswörtern.
Erlaubt unauthentifizierten Zugriff zur WordPress REST API
Die WordPress-Instanz erlaubt unauthentifizierten Zugriff zur REST API. Dies ermöglicht Angreifern potenziell die Enumeration von sensiblen Seiten, Bildern und weiteren Daten.
Ermöglicht ungültige Umleitung
Die Webanwendung akzeptiert nicht vertrauenswürdige Eingaben. Dies kann ein Angreifer nutzen, um Benutzer auf eine nicht vertrauenswürdige URL weiterzuleiten.
Ermöglicht WordPress Benutzerenumeration
Die Konfiguration von WordPress ermöglicht einem nicht authentifizierten Angreifer Benutzer zu enumerieren. Diese ausgespähten Benutzernamen können dann für weitere Angriffe verwendet werden.
Ermöglicht Zugriff auf Login-Seite kritischer Systeme
Die Login-Seite eines kritischen Systems ist über unsicheres HTTP erreichbar.
Ermöglicht Zugriff auf detaillierte Fehlerinformationen
Zu Diagnosezwecken erstellte Fehlermeldungen (Stack Traces) werden über die HTML-Seite ausgegeben oder können bspw. durch nicht validierte Eingaben ausgelesen werden. Stack Traces können sensible Informationen beinhalten, aus denen sich Angriffsvektoren ergeben.
Erreichbare WordPress XML-RPC Schnittstelle
Die WordPress-Instanz hat eine öffentlich erreichbare XML-RPC Schnittstelle. Diese Schnittstelle kann für Angriffe verwendet werden wie für das Bruteforcen von Login-Daten.
Externer IFrame
Die Website enthält einen IFrame, dessen Quellattribut auf eine Domain Dritter verweist. Ein Angreifer, der diese Domain kontrolliert, kann beliebigen Code im Browser jedes Webseitenbesuchers ausführen. Dies kann für Cross-Site-Scripting-Angriffe (XSS), Clickjacking oder Social Engineering Angriffe verwendet werden.
Fehlende Authentifizierung für Backendportal
Der Zugriff auf potenziell sensible Daten in einem Backend-Portal ist ohne Authentifizierung möglich.
Fehlende HTTPS-Umleitung
Über unsicheres HTTP aufgerufene Webseiten werden nicht auf sicheres HTTPS umgeleitet.
Gemischter HTTP-Inhalt gefunden
Auf die Webseite wird sicher über HTTPS zugegriffen, aber der Inhalt besteht aus Links, die über unsicheres HTTP aufgerufen werden.
Jenkins Groovy-Konsole ungeschützt zugänglich
Ist die Jenkins Groovy CI-Konsole nicht zugriffsbeschränkt, können Angreifer beliebigen Code auf dem CI-Server ausführen. Dies kann zu einer vollständigen Kompromittierung des Systems führen.
Laden von Drittanbieter Ressourcen ohne Zustimmung
Beim Aufrufen der Website werden ohne die Zustimmung des Nutzers Ressourcen wie Skripte, Bilder, Schriftarten oder Stylesheets von Webservern Dritter geladen. Hierbei werden personenbezogene Daten wie die IP-Adresse übertragen. Dies kann den lokal geltenden Datenschutzrichtlinien widersprechen.
Öffentlich erreichbares Backend
Das Backend ist öffentlich erreichbar. Der Zugriff darauf sollte immer eingeschränkt sein, z.B. über die Verwendung eines VPNs (Virtual Private Network).
Preisgabe von Software (Deep Scan: Webanwendung)
Mittels statistischer Verfahren konnten verwendete Technologien aufgedeckt werden. Schränke die Möglichkeiten ein, Software (insbesondere Versionsnummern) von außen zu erkennen, um die Angriffsfläche zu verringen.
Setzt Cookies ohne Zustimmung
Obwohl der Nutzer kein Einverständnis gegeben hat, werden Cookies gespeichert. Dies ist nur für technisch notwendige Cookies erlaubt.
Setzt Tracking-Cookies ohne Zustimmung
Obwohl der Nutzer kein Einverständnis gegeben hat, werden Cookies gesetzt, die für Tracking-Aktivitäten genutzt werden. Dies widerspricht den geltenden Datenschutzrichtlinien.
SQL Injection
Es ist einem Angreifer möglich, eigene Datenbankbefehle in eine SQL-Datenbank einzuschleusen, um Daten auszuspähen oder die Kontrolle über das System zu erlangen.
SQL Injection (5xx Statuscode)
Bei einer SQL Injection versucht ein Angreifer eigene Datenbankbefehle in eine SQL-Datenbank einzuschleusen, um Daten auszuspähen oder die Kontrolle über das System zu erlangen. Ein 5xx Statuscode deutet darauf hin, dass Eingaben vom Server nicht korrekt validiert werden. Ob das Zielsystem tatsächlich anfällig ist, muss in diesem Fall manuell geprüft werden.
Unbeschränkter Zugriff auf Elasticsearch ermöglicht Informationsoffenlegung
Elasticsearch ist ohne Authentifizierung zugänglich, wodurch Angreifer sensible Daten oder Systemmetadaten auslesen können. Dies kann vertrauliche Informationen offenlegen und weitere Angriffe erleichtern.
Ungeschützte Pprof Debug Dateien
Unbeschränkter Zugriff auf Pprof Debug Dateien ist möglich. Die frei zugänglichen Informationen können von Angreifern für das Auskundschaften der Infrastruktur verwendet werden.
Ungeschützter Prometheus Endpunkt
Unbeschränkter Zugriff auf Prometheus Monitoring Daten ist möglich. Die frei zugänglichen Informationen können von Angreifern für das Auskundschaften der Infrastruktur verwendet werden.
Ungeschützte Setup-/Installationsseiten
Unbeschränkter Zugriff auf Setup- oder Installationsseiten ist möglich. Diese Seiten ermöglichen typischerweise die Erstellung von Administratorkonten oder Systemkonfigurationen ohne Authentifizierung. Angreifer können dies ausnutzen, um Admin-Konten zu erstellen, Systemeinstellungen zu ändern oder die vollständige Kontrolle über die Anwendung zu erlangen (z.B. phpMyAdmin Setup, CloudPanel Admin-Erstellung).
Unterstützt Command Injection
Es ist einem Angreifer durch die Eingabe nicht validierter Parameter möglich, auf dem Host-Server einer Webseite beliebige Befehle auszuführen.
Unterstützt File Inclusion
Es ist einem Angreifer möglich, schädliche Dateien und Code in eine Webanwendung einzuschleusen.
HTTP-Header
Fehlender Cache-Control Header
Der HTTP-Cache-Control-Header gibt Richtlinien für Caching-Mechanismen an und steuert, wie und wie lange Antworten von Browsern und Proxys zwischengespeichert werden. Wenn der Header nicht korrekt gesetzt ist, könnten Angreifer möglicherweise auf im Cache gespeicherte sensible Informationen wie Passwörter oder Kreditkartendaten zugreifen.
Fehlender Content-Security-Policy Header
Der Header Content-Security-Policy fehlt, obwohl er vorhanden sein sollte. Er regelt, welche Ressourcen in einer bestimmten Art und Weise im Browser geladen bzw. ausgeführt werden können und welche Quellen vertrauenswürdig sind, wodurch das Ausführen von schädlichem, eingeschleustem Code verhindert wird.
Fehlender Feature-Policy Header
Der Header Feature-Policy fehlt, obwohl er vorhanden sein sollte. Er bestimmt, welche Funktionen oder APIs eines Browsers verwendet werden dürfen und welche nicht zulässig sind. Er erhöht die Sicherheit und den Datenschutz, indem die Angriffsfläche minimiert und ungenutzte Funktionen deaktiviert werden.
Fehlender Permissions-Policy Header
Die Permissions-Policy legt fest, welche Funktionen oder APIs eines Browsers für eine bestimmte Webseite explizit erlaubt oder verweigert werden.
Fehlender Referrer-Policy Header
Der Header Referrer-Policy fehlt, obwohl er vorhanden sein sollte. Er stellt sicher, dass Informationen über die Herkunft eines Website-Besuchers nur unter bestimmten Bedingungen gesendet werden dürfen. Er verhindert so, dass bspw. Passwörter in URLs oder Sitzungs-IDs an Drittanbieter weitergegeben werden.
Fehlender Strict-Transport-Security Header
Der Header Strict-Transport-Security fehlt, obwohl er vorhanden sein sollte. Die HTTP Strict Transport Security (HSTS) ist ein Sicherheitsmechanismus für HTTPS-Verbindungen, der sowohl vor Aushebelung der Verbindungsverschlüsselung als auch vor Session-Hijacking schützt.
Fehlender X-Content-Type-Options Header
Der Header X-Content-Type-Options: nosniff fehlt, obwohl er vorhanden sein sollte. Er verhindert, dass ein Browser das MIME (Multipurpose Internet Mail Extensions)-Datenformat einer Datei errät und einen anderen Inhaltstyp verwendet als den, der vom Server vorgegeben ist.
Fehlender X-Frame-Options Header
Der Header X-Frame-Options fehlt, obwohl er vorhanden sein sollte. Er teilt dem Browser mit, ob dieser eine Webseite in einem <frame>, <iframe> oder <object> rendern, also einbetten, darf. Dadurch wird verhindert, dass Angreifer eine Seite in einem unsichtbaren Frame über einer gefälschten Website platzieren, um Besucher zu unbewussten Klicks zu verleiten.
Fehlender X-XSS-Protection Header
Der Header X-XSS-Protection fehlt, obwohl er vorhanden sein sollte. Er kann Browsern untersagen eine Webseite zu laden, wenn schädlicher Inline-Code erkannt wird, der auf eine Cross-Site-Scripting (XSS)-Attacke hindeutet.
Preisgabe von Software (Basic Scan: Headers)
Der Server-Header beinhaltet Informationen über die Software, die von dem Ursprungsserver verwendet wurde.
Ungewöhnlicher HTTP Header
Es wurde ein unbekannter HTTP-Header erkannt, der potenziell Informationen preisgeben kann. Es sollte überprüft werden, ob der unbekannte HTTP-Header wirklich notwendig ist und ob er entfernt werden kann.
Unsicherer Set-Cookie
Der Header Set-Cookie lässt zu, dass Cookies vom Server zum Browser ohne Verschlüsselung übertragen werden. Dies ermöglicht XSS-Angriffe und die Übernahme von Benutzer-Sessions.
Vermeidbarer X-Mod-Pagespeed Header
Der Header X-Mod-Pagespeed ist aktiviert, obwohl er dies nicht sein sollte, um keine unnötigen Informationen wie die Version des Apache-Moduls oder angewandte Webseiten-Optimierungen preiszugeben.
Vermeidbarer X-Powered-By Header
Der Header X-Powered-By ist aktiviert, obwohl er dies nicht sein sollte, um keine unnötigen Informationen über die Standardkonfigurationen des Webservers preiszugeben.
LDAP (Lightweight Directory Access Protocol)
Anfällig für Kerberoasting
Kerberoasting ist eine offline Passwort-Cracking-Technik, die auf Dienstkonten abzielt. Diese Prüfung hat Benutzerkonten mit einem Service Principal Name (SPN) identifiziert, für die keine feingranulare Kennwortrichtlinie angewendet wird. Diese Konten sind wahrscheinlich nur durch die standardmäßige Domänenkennwortrichtlinie geschützt, die möglicherweise schwach ist. Ein Angreifer mit einem beliebigen gültigen Domänenbenutzerkonto kann Diensttickets für diese Konten anfordern und versuchen, deren Passwörter offline zu knacken.
Eingeschränkte Delegierung aktiviert
Ein Konto ist für die eingeschränkte Kerberos-Delegierung konfiguriert, wodurch es Benutzer bei einer bestimmten Liste von Diensten (SPNs) auf anderen Computern imitieren kann. Obwohl dies sicherer ist als die uneingeschränkte Delegierung, stellt es immer noch ein erhebliches Risiko dar. Wenn ein Angreifer dieses Konto oder dessen Host kompromittiert, kann er sich lateral zu den erlaubten Diensten als jeder Benutzer bewegen, der sich am kompromittierten System authentifiziert. Das Risiko ist hoch, wenn die Delegierung an sensible Dienste wie CIFS, HOST oder RPC auf hochwertigen Zielen wie Servern oder Domänencontrollern erlaubt ist.
Erlaubt Unauthenticated Bind
Schlägt die Authentifizierung als Nutzer bei der Verbindung zu einem LDAP-Verzeichnisdienst fehl, weil das Passwort-Feld leer gelassen wurde, wird keine Warnung ausgegeben und es wird ein anonymer Zugang gewährt. Dies ermöglicht den Zugriff auf Verzeichnisdaten ohne Authentifizierung.
Erlaubt ungesichertes Simple Bind
Benutzername und Passwort werden im Klartext über eine unverschlüsselte Verbindung übertragen. Es wird dringend empfohlen, stattdessen verschlüsselte Verbindungen (LDAPS) oder starke Authentifizierung (SASL) zu verwenden.
Ermöglicht Enumeration von Domain Usern
Sensible Systeminformationen können mittels Anonymous Bind ausgespäht werden. Diese Informationen können für weitere Angriffe verwendet werden. Zugriff auf Userdaten sollte auf Benutzer mit erhöhten Privilegien beschränkt werden.
Ermöglicht Enumeration von E-Mailadressen
Sensible Benutzerdaten können mittels Anonymous Bind ausgespäht werden. Zugriff auf geschützte Informationen sollte auf autorisierte Benutzer beschränkt werden.
Ermöglicht Enumeration von persönlichen Namen
Sensible Benutzerdaten können mittels Anonymous Bind ausgespäht werden. Zugriff auf geschützte Informationen sollte auf autorisierte Benutzer beschränkt werden.
Ermöglicht Enumeration von Postadressen
Sensible Benutzerdaten können mittels Anonymous Bind ausgespäht werden. Zugriff auf geschützte Informationen sollte auf autorisierte Benutzer beschränkt werden.
Ermöglicht Enumeration von Telefonnummern
Sensible Benutzerdaten können mittels Anonymous Bind ausgespäht werden. Zugriff auf geschützte Informationen sollte auf autorisierte Benutzer beschränkt werden.
Uneingeschränkte Delegierung aktiviert
Ein Benutzer- oder Computerkonto ist für die uneingeschränkte Kerberos-Delegierung konfiguriert. Dies ist eine hoch privilegierte und gefährliche Einstellung. Wenn ein Angreifer einen Host mit dieser Konfiguration kompromittiert, kann er Kerberos-Tickets von jedem Benutzer abfangen, der sich bei ihm authentifiziert, einschließlich Domänen-Administratoren. Dies ermöglicht es dem Angreifer, diese Benutzer zu imitieren und kann zu einer vollständigen Kompromittierung der Domäne führen.
LDAP mit Angabe eines Auth-Providers
Bitte beachte: Diese Checks werden nur durchgeführt, wenn du in der Enginsight Plattform unter Penetrationstests → Management → Auth-Provider einen entsprechenden Auth-Provider für LDAP erstellt hast.
AD Benutzer mit Gastzugang
Im Active Directory existieren Benutzer, die kein Passwort benötigen.
AD Benutzer mit ungesetzten Passwörtern
Im Active Directory existieren Benutzer, deren Passwörter bisher nicht gesetzt wurden.
AD Benutzer mit veralteten Passwörtern
Im Active Directory existieren Benutzer, deren Passwörter lange nicht geändert wurden.
AD Benutzer ohne Passwortverfall
Im Active Directory existieren Benutzer, deren Passwörter niemals ablaufen.
mDNS (Multicast DNS)
Preisgabe von Hostnames über mDNS
Aktivierte Multicast DNS (mDNS) Funktionalitäten können missbraucht werden, um Informationen auszuspähen und Angriffe vorzubereiten. Prüfe, ob mDNS benötigt wird, deaktiviere ihn gegebenenfalls oder stelle sicher, dass er nur für vertrauenswürdige Clients erreichbar ist.
Remote mDNS Erkennung
Das Zielsystem antwortet auf Multicast DNS (mDNS) Anfragen auf UDP Port 5353. Wenn das Ziel aus dem Internet erreichbar ist, kann dies für DDoS-Reflection-Angriffe gegen IT-Systeme Dritter verwendet werden. Zusätzlich lassen sich Information über das Zielsystem ausspähen.
MongoDB
Anfällig für MongoBleed (CVE-2025-14847)
Eine verwundbare Version der MongoDB wird verwendet, die unauthentifizierten Angreifern ermöglicht, sensible Daten im Arbeitsspeicher des Servers zu offenbaren. Ein Fehler in der zlib-Kompression erlaubt Angreifern potenziell Informationen wie Credentials, Tokens, Zugangsschlüssel auszuspähen.
Erlaubt das Löschen von Sammlungen
Nicht authentifizierte Benutzer können Dokument-Sammlungen löschen. Das Löschen von Sammlungen sollte nur entsprechend authentifizierten Nutzern erlaubt sein, um Datenverlust zu verhindern.
Erlaubt Hinzufügen von Sammlungen
Nicht authentifizierte Benutzer können Dokument-Sammlungen hinzufügen. Das Hinzufügen von Sammlungen sollte nur entsprechend authentifizierten Nutzern erlaubt sein, um das Einschleusen schädlicher Dokumente zu verhindern.
Erlaubt Zugriff auf Admin-DB
Benutzer, die keine Administratoren sind, haben Zugang zur Admin-Sammlung, deren Hauptzweck das Aufbewahren von System-Dokumenten sowie Authentifizierungs- und Autorisierungsdaten (wie Benutzernamen und Passwörter) ist. Auf diese sensiblen Informationen sollte nur der Administrator Zugriff haben.
Erlaubt Zugriff auf die Config-DB
Benutzer, die keine Administratoren sind, haben Zugang zur Config-Sammlung, wo Daten zur Verwaltung und zum Zugriffsmanagement der Datenbank liegen. Auf diese Daten sollte kein Zugriff möglich sein.
Erlaubt Zugriff auf Lokale DB
Benutzer, die keine Administratoren sind, haben Zugang zur Local-Sammlung, wo Daten zur Verwaltung und zum Zugriffsmanagement der Datenbank liegen. Auf diese Daten sollte kein Zugriff möglich sein.
Ermöglicht anonyme Anmeldung
Wenn eine MongoDB erstellt wird, sind keine Authentifizierungs-Mechanismen aktiv und der Nutzer hat alle Rechte. Um die Sicherheit der Datenbank zu erhöhen, sollte ein anonymer Zugang deaktiviert sein.
Ermöglicht den Zugriff auf verschiedene DBs
In Datenbank-Sammlungen, die nicht nicht zu den Standard-Sammlungen (Admin/Local/Config) gehören, liegen Daten zur Verwaltung und zum Zugriffsmanagement der Datenbank. Auf sie sollte kein Zugriff möglich sein.
MySQL
Anonyme Verbindung vom Root-Benutzer
Eine nicht passwortgeschützte Verbindung als Administrator (mit Root-Rechten) ist möglich.
Anonymer Benutzer gefunden
Beim Einrichten der MySQL-Instanz wird ein anonymer Benutzer erstellt, der es jedem ermöglicht, sich bei der Datenbank anzumelden, ohne ein Benutzerkonto eingerichtet zu haben. Er ist nur für Testzwecke gedacht und sollte vor der Produktivsetzung entfernt werden.
Benutzer mit Fernzugriff von einem beliebigen Host gefunden
Standardmäßig ist ein öffentlicher Fernzugriff auf MySQL aus Sicherheitsgründen deaktiviert. Ist ein Fernzugriff aktiviert, sollte dieser auf nur bestimmte IP-Adressen eingeschränkt werden.
Benutzer ohne Passwort gefunden
Für jeden Benutzer der MySQL-Datenbank sollte ein sicheres Passwort festgelegt werden.
Möglichkeit Benutzer-Privilegien zu ändern
Die Rolle von Nutzern kann geändert werden, zum Beispiel zu einem Nutzer mit Administrator-Rechten. So kann eigentlich nicht berechtigten Benutzern ein Zugriff auf die MySQL-Datenbank ermöglicht werden.
Möglichkeit neuen Benutzer zu erstellen
Die MySQL-Datenbank sollte so konfiguriert sein, dass es Unbefugten nicht möglich ist, einen neuen Benutzer anzulegen.
Test-DB gefunden
Einige MySQL-Server erstellen bei der Installation eine Datenbank mit dem Namen test, die für alle Benutzer zugänglich ist. Diese Einstellung wird auf alle Datenbanken, deren Bezeichnung mit test_ beginnt, übertragen. Die Test-Datenbank sollte daher prinzipiell entfernt werden.
Zugriff performance_schema DB
Das MySQL-Performance-Schema ist eine Funktion zur Überwachung von MySQL-Ausführungen. Diese Informationen sollten nicht öffentlich zugänglich sein.
Port-Scan
Bind Shell Erkennung
Eine Bindshell Backdoor wurde auf dem System erkannt. Dies kann von Angreifern genutzt werden, um beliebige Befehle auszuführen. Das System sollte als vollständig kompromittiert betrachtet werden.
Preisgabe von Software (Basic Scan)
Die Möglichkeit des Zugriffs auf Versionsnummern sollte eingeschränkt werden, um potentiellen Angreifern keine unnötigen Informationen zu liefern.
RDP (Remote Desktop Protocol)
Fehlende RDP Network Level Authentication
Der Anmeldebildschirm ist erreichbar, ohne dass auf Netzwerkebene eine Authentifizierung notwendig ist. Dies ermöglicht unautorisierten Zugriff und Denial-of-Service-Angriffe.
SMB (Server Message Block)
Diese Checks betrifft die Nutzung des SMB-Protokolls über Microsoft-DS (Microsoft Directory Service) und NetBIOS-SSN (NetBIOS Session Service), wobei NetBIOS-SSN momentan nur für Linux- und nicht für Windows-Systeme unterstützt wird.
Anfällig für Cisco SMB-Sicherheitslücke 'WEBEXEC'
Die WebExec-Schwachstelle ist eine Sicherheitslücke, die eine Remote-Codeausführung auf Windows-Systemen über den Windows-Verwaltungsinstrumentation (WMI)-Dienst ermöglicht.
Anfällig für EternalBlue (CVE-2017-0144)
Das Microsoft Security Bulletin MS17-010 behebt eine kritische Schwachstelle im Server Message Block (SMB)-Protokoll unter Windows, bekannt als EternalBlue, die eine Remote-Codeausführung ermöglichen könnte.
Anfällig für SMB 'Conficker-Worm Malware'
Der Conficker-Wurm nutzt eine Schwachstelle im Server Message Block (SMB)-Protokoll aus, um sich schnell über Netzwerke zu verbreiten, indem er Computer mit Windows-Betriebssystemen infiziert.
Anfällig für SMB-Sicherheitslücke 'CVE-2009-3103'
Die SMB-Schwachstelle CVE-2009-3103 ermöglicht es Angreifern, über ein manipuliertes SMB-Paket auf Systemen mit bestimmten Windows-Versionen beliebigen Code auszuführen oder einen Denial-of-Service (DoS) zu verursachen.
Anfällig für SMB-Sicherheitslücke 'MS06-025'
Das Microsoft Security Bulletin MS06-025 behebt eine Schwachstelle im Windows-Serverdienst, die eine Remote-Codeausführung ermöglichen könnte. Die Ausnutzung dieser Schwachstelle erfolgt durch das Senden einer speziell manipulierten RPC-Anfrage an ein anfälliges System.
Anfällig für SMB-Sicherheitslücke 'MS07-029'
Das Microsoft Security Bulletin MS07-029 behebt eine Schwachstelle im Windows Universal Plug and Play (UPnP)-Dienst, die eine Remote-Codeausführung ermöglichen könnte.
Anfällig für SMB-Sicherheitslücke 'MS08-067'
Das Microsoft Security Bulletin MS08-067 behebt eine kritische Schwachstelle im Serverdienst unter Windows, die eine Remote-Codeausführung ermöglichen könnte.
Anfällig für SMB-Sicherheitslücke 'REGSVC-DOS'
Die regsvc-dos-Schwachstelle ist ein Denial-of-Service (DoS)-Angriff, der eine Schwachstelle im Remote-Registrierungsdienst unter Windows ausnutzt.
Anfällig für Zerologon
Die Netlogon-Protokoll-Implementierung in Windows Domain Controllern ist anfällig für Zerologon, wodurch Angreifer sich als beliebiger Computer, einschließlich des Domain Controllers selbst, ausgeben können. Dies kann zu einer Übernahme der Domäne oder zur Erhöhung von Berechtigungen führen.
Erlaubt Gastzugriff
Bei fehlerhaftem Login wird automatisch ein Gastzugriff erteilt, der möglicherweise Zugriffsrechte auf sensible Daten besitzt.
Erlaubt Lesezugriff
Ein Lesezugriff auf freigegebene Ordner ist via SMB möglich.
Erlaubt Schreibzugriff
Ein Schreibzugriff auf freigegebene Ordner, die nicht standardmäßig eingestellt sind, ist via SMB möglich.
SMB Signierung nicht verpflichtend
Signierung ist nicht verpflichtend auf dem SMB Server. Dies kann von Angreifern für Man-in-the-Middle Angriffe ausgenutzt werden.
Unterstützt SMB 3.1.1 und Komprimierung (SMBGhost CVE-2020-0796)
Das Gerät ist anfällig für eine Remote Code Execution im Microsoft SMB 3.1.1 Protokoll. Dies betrifft Windows Versionen 1903 und 1909. Die Sicherheitslücke wurde nicht direkt geprüft, sondern deren Grundvoraussetzungen SMB 3.1.1 und aktivierte Komprimierung validiert.
Unterstützt SMBv1
Die Version 1.0 des Server Message Block (SMB) Protokolls ist veraltet und sollte nicht länger verwendet werden.
Vorhandene SMB Network Shares
Es existiert eine Netzwerk-Freigabe, die nicht unter die Standard-Freigaben fällt.
SMTP (Simple Mail Transfer Protocol)
Ermöglicht Benutzerenumeration mittels EXPN
Der SMTP-Befehl EXPN (Expand) gibt eine Liste von Alias-Adressen mit dazugehörigen Zielen aus. Er kann missbraucht werden, um valide Benutzernamen auszuspähen oder E-Mail-Adressen für die Zusendung von Spam-Nachrichten zu sammeln.
Ermöglicht Benutzerenumeration mittels VRFY
Der SMTP-Befehl VRFY (Verify) ermöglicht es zu überprüfen, ob eine E-Mail-Adresse vorhanden ist. Er kann missbraucht werden, um valide Benutzernamen auszuspähen oder E-Mail-Adressen für die Zusendung von Spam-Nachrichten zu sammeln.
Ermöglicht Versenden von externen E-Mails ohne Authentifizierung
Nicht authentifizierten Benutzern wird erlaubt, über den Mail-Relay-Server von externen E-Mail-Adressen Nachrichten an externe E-Mail-Adressen zu versenden. Der Mailserver lässt sich daher für Phishing-Angriffe oder das Versenden von Spam-Nachrichten missbrauchen.
Ermöglicht Versenden von internen E-Mails ohne Authentifizierung
Nicht authentifizierten Benutzern wird erlaubt, über den Mail-Relay-Server von internen E-Mail-Adressen Nachrichten an interne E-Mail-Adressen zu versenden Der Mailserver lässt sich daher für Identitätsfälschung (Spoofing) missbrauchen.
Keine Unterstützung für Verschlüsselung (StartTLS)
Der SMTP Server bietet keine Möglichkeit eine unsichere Verbindung nachträglich zu verschlüsseln. Jede Kommunikation ist daher unsicher und anfällig für passives Mitlesen.
SNMP (Simple Network Management Protocol) v1 & SNMP v2
Anfällig für GETBULK Reflection DDoS
Der SNMP-Dienst antwortet mit einer ungewöhnlich großen Menge an Bytes auf eine GETBULK-Anfrage mit hohem "max-repetitions" Wert. Dies kann für einen "Reflected DDoS"-Angriff verwendet werden.
Erlaubt Lesezugriff
Ein Lesezugriff auf Object Identifier (OID) ist via SNMP möglich.
Erlaubt Schreibzugriff
Ein Schreibzugriff auf Object Identifier (OID) ist via SNMP möglich.
Preisgabe von Betriebssystem (Deep Scan)
Die Version des verwendeten Betriebssystems hilft Hackern bei der Auswahl geeigneter Angriffsvektoren.
Preisgabe von Software (Deep Scan)
Ein Zugriff auf die Liste installierter Pakete ist über SNMP möglich. Diese sensible Information kann genutzt werden, um Angriffsmöglichkeiten auszuloten.
Verwendet gewöhnlichen Community String
Für SNMP werden ein oder mehrere Community Strings zur Nutzerauthentifizierung verwendet, die häufig verwendet werden und daher besonders unsicher sind.
SSH (Secure Shell)
Anfällig für DHEater (CVE-2002-20001)
Die Schwachstelle im Diffie-Hellman Schlüsselaustauschprotokoll ermöglicht Angreifern das Auslösen ressourcenintensiver Berechnungen.
Anfällig für Terrapin (CVE-2023-48795)
Das Zielsystem ist anfällig für die Terrapin Schwachstelle im SSH Protokoll. Angreifer können bei einem Man-In-The-Middle Angriff die Verbindungssicherheit reduzieren.
Keine Unterstützung für SSH-Authentifizierung mit öffentlichem Schlüssel
Der Client sollte sich gegenüber dem Server mittels eines öffentlichen Schlüssels (Public Key) authentifizieren müssen, da Passwörter unsicher sein können und somit für Brute-Force-Angriffe anfällig sind.
Unsichere Mac Algorithmen
Der Message Authentication Code (MAC) dient dazu, Gewissheit über den Ursprung von Daten zu erhalten und sie auf Integrität zu überprüfen. Mittels Keyed-Hash Message Authentication Code (HMAC) wird diese Überprüfung abgesichert. Dabei sollte ein sicheres Verfahren zum Einsatz kommen.
Unsichere Schlüsselaustausch-Algorithmen
Im Rahmen des SSH-Verbindungsaufbaus findet ein Schlüsselaustausch (Key Exchange) statt. Der gemeinsame Sitzungsschlüssel wird für die Authentifizierung und Verschlüsselung der Sitzung genutzt. Wird eine unsichere Schlüsseltausch-Methode verwendet, ist die Absicherung der Verbindung gefährdet.
Unsichere Server-Host-Schlüsselalgorithmen
Im Rahmen des SSH-Verbindungsaufbaus findet ein Schlüsselaustausch (Key Exchange) statt. Währenddessen einigen sich Client und Server auf einen gemeinsamen Verschlüsselungs-Schlüssel. Dabei sollte ein sicheres Verschlüsselungsverfahren gewählt werden.
Unsichere SSH-Version
Im Jahr 2006 wurde SSH-1 durch eine überarbeitete Version des Netzwerkprotokolls (SSH-2) abgelöst. SSH-1 gilt aufgrund kryptografischer Schwächen als nicht mehr sicher und sollte daher nicht verwendet werden.
Unsichere Verschlüsselungsalgorithmen
Im Rahmen des SSH-Verbindungsaufbaus findet ein Schlüsselaustausch (Key Exchange) statt. Währenddessen einigen sich Client und Server auf einen gemeinsamen Verschlüsselungs-Algorithmus. Dabei sollte ein sicheres Verschlüsselungsverfahren gewählt werden.
Unsicherer öffentlicher SSH-Schlüssel
Der Server authentifiziert sich gegenüber dem Client. Exchange-Nachrichten des Servers erhalten einen öffentlichen Schlüssel (Public Key), den der Client nutzen kann, um die Authentizität zu prüfen. Dabei sollte ein sicheres Verfahren zum Einsatz kommen.
Unterstützt SSH-Passwort-Authentifizierung
Eine auf asymmetrischen Schlüsseln basierende Authentifizierung ist sicherer als die Nutzung eines Passworts. Deshalb sollte die Option einer Authentifizierung via Passwort in der Regel deaktiviert sein.
SSL/TLS (Secure Sockets Layer/Transport Layer Security)
Abgelaufenes Zertifikat
Das verwendete SSL/TLS-Zertifikat ist abgelaufen und damit ungültig. Es können keine sicheren Transaktionen mehr durchgeführt werden.
Anfällig für CCS Injection (CVE-2014-0224)
Der Server akzeptiert ChangeCipherSpec-Nachrichten, bevor der Schlüsselaustausch abgeschlossen ist. Dies ermöglicht einem Man-in-the-Middle-Angreifer, die Verwendung schwacher Schlüssel zu erzwingen und den Datenverkehr zu entschlüsseln oder zu verändern.
Anfällig für DHEater (CVE-2002-20001)
Die Schwachstelle im Diffie-Hellman Schlüsselaustauschprotokoll ermöglicht Angreifern das Auslösen ressourcenintensiver Berechnungen.
Anfällig für DROWN
Der Webserver verwendet das veraltete Protokoll SSLv2. Dadurch kann unter anderem aufgezeichneter TLS-Datenverkehr abgegriffen werden.
Anfällig für FREAK
Bei einer FREAK-Attacke werden die Kommunikationspartner dazu gebracht, sich auf eine unsichere Verschlüsselungsmethode zu einigen, obwohl sichere Verfahren zu Verfügung stehen. So können Daten leicht abgefangen und manipuliert werden.
Anfällig für Heartbleed
Aufgrund eines Programmfehlers in OpenSSL lässt sich der Server manipulieren, sodass er sensible Informationen preisgibt.
Anfällig für Logjam Attacken
Indem eine Schwachstelle im Diffie-Hellman-Schlüsselaustausch ausgenutzt wird, kommen Angreifer an die geheimen Schlüssel.
Anfällig für NULL Pointer Dereference (CVE-2014-3470)
Durch das Versenden eines bösartigen Zertifikats kann ein Angreifer einen Denial-of-Service-Zustand verursachen.
Anfällig für NULL Pointer Dereference (CVE-2014-3510)
Durch das Versenden eines bösartigen Zertifikats kann ein Angreifer einen Denial-of-Service-Zustand verursachen.
Anfällig für ROBOT (Return of Bleichenbacher's Oracle Threat)
Der Server ist anfällig für ROBOT, wodurch ein Angreifer RSA-Entschlüsselungs- und Signieroperationen mit dem privaten Schlüssel des Servers durchführen kann, indem ein Padding-Oracle im TLS-Handshake ausgenutzt wird.
Anfällig für SLOTH Attacke
Schwache Hash-Funktionen (MD5, SHA-1) erlauben eine SLOTH-Attacke. Dies kann zu Identitätsdiebstahl (Impersonation), dem Abfangen von Anmeldedaten und dem Schwächen der Verschlüsselung führen.
Anfällig für Sweet32 Attacken
Die Stream-Chiffre RC4 macht die Verbindung anfällig für Sweet32-Attacken. Durch das Abfangen großer Datenmengen in einer langen Sitzung kann ein Angreifer Kollisionen erzeugen, um verschlüsselte Daten, z.B. Sitzungs-Cookies, zu entschlüsseln und HTTPS-Verbindungen zu übernehmen.
Anfällig für Ticketbleed (CVE-2016-9244)
Der Server gibt über TLS-Session-Tickets bis zu 31 Bytes nicht initialisierten Speichers preis. Dies kann sensible Daten wie Sitzungs-IDs, Authentifizierungsdaten oder andere Geheimnisse aus dem Serverspeicher offenlegen.
Anfällig nach Maßgabe der Datenschutzgrundverordnung (DSGVO)
Die SSL/TLS-Verschlüsselung widerspricht dem aktuellen Stand der Technik und verstößt daher gegen Art. 32 DSVGO.
Anfällig nach Maßgabe des BSI (Bundesamt für Sicherheit in der Informationstechnik)
Die SSL/TLS-Verschlüsselung entspricht nicht den Maßgaben des BSI.
Fehlende TLS_FALLBACK_SCSV Unterstützung
Der Server unterstützt kein TLS_FALLBACK_SCSV (RFC 7507), das vor Protokoll-Downgrade-Angriffen schützt. Ohne diesen Mechanismus kann ein Angreifer die Verwendung älterer, schwächerer TLS-Versionen erzwingen.
Fehlende Verschlüsselung
Das Zielsystem unterstützt keine Verschlüsselung mittels SSL/TLS oder StartTLS. Sämtlicher Datenverkehr zwischen Client und Server kann daher ausgespäht oder manipuliert werden.
Fehlender Common Name in Subject Alternative Names
Der Common Name ist nicht in den Subjekt Alternative Names enthalten, weshalb die Validierung des Zertifikats blockiert wird.
Keine Unterstützung für Authenticated Encryption (AEAD) Chiffren
Der AEAD-Verschlüsselungsstandard wird empfohlen, da er
die Vertraulichkeit (Unlesbarkeit) und Integrität (Unveränderbarkeit) einer Nachricht sicherstellt.
Keine Unterstützung für Perfect Forward Secrecy (PFS)
Die Unterstützung von PFS wird empfohlen. Es stellt sicher, dass der jeweils neu ausgehandelte Sitzungsschlüssel nicht aus dem Langzeitschlüssel rekonstruiert werden kann.
Keine Unterstützung für Secure Renegotiation
Der Server ist nicht in der Lage, eine sichere Neuaushandlung der SSL/TLS-Verbindung zu initiieren. Eine unsichere Neuaushandlung macht die Verbindung anfällig für Man-in-the-Middle-Angriffe, sodass z.B. bestehende verschlüsselte Sitzungen manipuliert werden können.
Schwacher Diffie-Hellman Parameter
Ein schwacher Diffie-Hellman Parameter macht den Schlüsseltausch anfällig für Attacken.
Ungültiger Hostname
Das Zertifikat enthält nicht den Hostnamen des Zielsystems.
Ungültiges Zertifikat
Das verwendete SSL/TLS-Zertifikat ist ungültig und sollte nicht mehr verwendet werden.
Unsicheres SSL/TLS Protokoll (SSLv2)
SSLv2 ist veraltet und wird nicht mehr als sicher angesehen.
Unsicheres SSL/TLS Protokoll (SSLv3
SSLv3 ist veraltet und wird nicht mehr als sicher angesehen.
Unsicheres SSL/TLS Protokoll (TLSv1.1)
TLSv1.1 ist veraltet und wird nicht mehr als sicher angesehen.
Unsicheres SSL/TLS Protokoll (TLSv1)
TLSv1 ist veraltet und wird nicht mehr als sicher angesehen.
Unterstützt anonyme Chiffren
Anonyme Chiffren sind unsicher und sollten nicht verwendet werden.
Unterstützt Chiffren anfällig für BEAST
Chiffren, die unsichere kryptographischer Verfahren beinhalten, sollten nicht angeboten werden.
Unterstützt client-initiierte SSL/TLS Renegotiation
Clients sollte es nicht erlaubt sein, eine Neuaushandlung der SSL/TLS-Verbindung zu initiieren. Diese Möglichkeit kann ausgenutzt werden, um den Server absichtlich zu überlasten und eine Denial of Service-Attacke (DoS) auszuführen.
Unterstützt für POODLE-Attacken anfällige Chiffren
POODLE-Attacken nutzen eine Sicherheitslücke in SSL 3.0, sodass verschlüsselte Informationen einer SSL3.0-Verbindung offen gelegt werden können.
Unterstützt MD5 Chiffren
MD5 gilt nicht mehr als ausreichend sicher und sollte daher nicht verwendet werden.
Unterstützt nicht das neueste Protokoll (TLSv1.3)
Das neueste und sicherste Protokoll TLS 1.3 wird nicht unterstützt.
Unterstützt Null-Chiffren-Verschlüsselung
Eine Null-Chiffre bedeutet, dass überhaupt keine Verschlüsselung verwendet wird. Dies ist außerhalb von Testzwecken niemals zu empfehlen.
Unterstützt RC4 Chiffren
RC4 gilt nicht mehr als ausreichend sicher und sollte daher nicht verwendet werden.
Unterstützt schwache Chiffre (Algorithmus)
SSL/TLS-Chiffren legen fest, mit welchen Verschlüsselungsalgorithmen Schlüssel getauscht werden und wie die Kommunikation abgesichert wird. Werden unsichere SSL/TLS-Chiffren angeboten, ist die hergestellte Verbindung nicht mehr sicher.
Unterstützt schwache Chiffre (Bits < 128)
SSL/TLS-Chiffren legen fest, mit welchen Verschlüsselungsalgorithmen Schlüssel getauscht werden und wie die Kommunikation abgesichert wird. Werden unsichere SSL/TLS-Chiffren angeboten, ist die hergestellte Verbindung nicht mehr sicher.
Unterstützt schwache Chiffre (Bits < 96)
SSL/TLS-Chiffren legen fest, mit welchen Verschlüsselungsalgorithmen Schlüssel getauscht werden und wie die Kommunikation abgesichert wird. Werden unsichere SSL/TLS-Chiffren angeboten, ist die hergestellte Verbindung nicht mehr sicher.
Unterstützt schwache Chiffre (CBC, CCM, CAMELLIA, SEED, ARIA, DSS, TLS_RSA)
SSL/TLS-Chiffren legen fest, mit welchen Verschlüsselungsalgorithmen Schlüssel getauscht werden und wie die Kommunikation abgesichert wird. Werden unsichere SSL/TLS-Chiffren angeboten, ist die hergestellte Verbindung nicht mehr sicher.
Unterstützt schwache Chiffre (RC4, RC2, MD5, EXPORT, NULL, Bits < 96)
SSL/TLS-Chiffren legen fest, mit welchen Verschlüsselungsalgorithmen Schlüssel getauscht werden und wie die Kommunikation abgesichert wird. Werden unsichere SSL/TLS-Chiffren angeboten, ist die hergestellte Verbindung nicht mehr sicher.
Unterstützt schwache Chiffre (SHA1, DES, Bits < 128, ECDH Bits < 128, DH Bits 2048)
SSL/TLS-Chiffren legen fest, mit welchen Verschlüsselungsalgorithmen Schlüssel getauscht werden und wie die Kommunikation abgesichert wird. Werden unsichere SSL/TLS-Chiffren angeboten, ist die hergestellte Verbindung nicht mehr sicher.
Unterstützt schwache SSL/TLS Handshake Parameter
Bei der Erstellung und Verifikation von Signaturen während des TLS-Handshakes wird ein unsicherer Signaturalgorithmus und/oder eine unsichere Hash-Funktion verwendet.
Unterstützt SSL/TLS Kompression
Von der Verwendung von SSL/TLS-Kompression, einer Funktion zur Reduzierung der Datenmenge vor der Verschlüsselung, wird abgeraten, da sie SSL/TLS angreifbar macht (insbesondere für CRIME, Compression Ratio Info-Leak Made Easy).
Verwendet bekannte Diffie-Hellman Primzahl
Die Verwendung einer unsicheren Diffie-Hellman-Primzahl gefährdet die Verschlüsselung.
Zertifikat widerrufen
Das verwendete Zertifikat wurde widerrufen und sollte nicht mehr verwendet warden.
SSL/TLS nach Checkliste des BSI
CA-Zertifikate enthalten keine korrekt konfigurierte, kritische "Key Usage" Extension
Alle CA-Zertifikate sollten eine als kritisch markierte „Key Usage“-Extension mit den gesetzten Bits "keyCertSign" und "cRLSign" enthalten. (Bei Verwendung von qualifizierten Webseitenzertifikaten bzw. Extended Validation-Zertifikaten automatisch erfüllt.)
CA-Zertifikate enthalten keine kritische "Basic Constraints" Extension
Alle CA-Zertifikate sollten eine als kritisch markierte "Basic Constraints"-Extension enthalten. (Bei Verwendung von qualifizierten Webseitenzertifikaten bzw. Extended Validation-Zertifikaten automatisch erfüllt.)
CA-Zertifikate enthalten Wildcards
Keines der CA-Zertifikate in der Zertifikatskette sollte Wildcards im "Subject" oder "SubjectAltName" enthalten.
Client-initiierte Session Renegotiation wird unterstützt
Client-initiierte Session Renegotiation sollte deaktiviert sein, um Denial-of-Service Angriffe zu verhindern.
Extended KeyUsage Extension ist fehlerhaft konfiguriert
Das Server-Zertifikat sollte eine "Extended Key Usage"-Extension mit dem Eintrag "id-kp-serverAuth" enthalten. (Bei Verwendung eines qualifizierten Webseitenzertifikats bzw. Extended Validation-Zertifikats automatisch erfüllt.)
Fehlende Informationen zur Rückrufprüfung des Zertifikats
Das Server-Zertifikat sollte Information zur Rückrufprüfung enthalten, d.h. einen "CRLDistributionPoint" oder eine "AuthorityInfoAccess" (Bei der Verwendung eines qualifizierten Webseitenzertifikats bzw. Extended Validation-Zertifikats automatisch erfüllt).
Fehlende Informationen zur Rückrufprüfung in untergeordneten CA-Zertifikaten
Alle untergeordneten CA-Zertifikate der Zertifikatskette (d.h. CA-Zertifikate außer dem Root-Zertifikat) sollten Information zur Rückrufprüfung enthalten ("CRLDistributionPoint" oder "AuthorityInfoAccess"). (Bei Verwendung von qualifizierten Webseitenzertifikaten bzw. Extended Validation-Zertifikaten automatisch erfüllt.)
Fehlerhafte Priorisierung der TLS 1.2 Chiffren
Die Priorisierung der Cipher Suites für TLS 1.2 sollte korrekt sein, d.h. Cipher Suites mit größerem Prioritätswert gemäß den Tabellen aus Kapitel 3 werden mit höherer Priorität eingesetzt.
Heartbeat Extension wird unterstützt
Die Heartbeat-Extension sollte deaktiviert sein, um Angriffe wie Heartbleed zu vermeiden.
Keine Unterstützung für Encrypt-then-MAC Extension
Es wird empfohlen die "Encrypt-then-MAC"-Extension zu aktivieren, um Blockchiffren-Angriffe wie Lucky 13 zu verhindern.
Keine Unterstützung für Extended-Master-Secret-Extension
Es wird empfohlen die "Extended-Master-Secret-Extension" zu aktivieren, um Anfälligkeit für Triple-Handshake-Angriffe zu reduzieren.
Keine Unterstützung für OCSP-Stapling
Es wird empfohlen, OCSP-Stapling zu aktivieren, um Protokollabbrüche und Latenz zu verringern.
Keine Unterstützung für verpflichtende TLS 1.2 Chiffren
Die verpflichtend zu unterstützenden Cipher Suites für TLS 1.2 werden unterstützt.
Server mit EC-Public Key:
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
Server mit RSA-Public Key:
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
Keine Unterstützung von verpflichtenden TLS-Versionen
Die verpflichtend zu unterstützenden TLS-Versionen sind: TLS 1.2
Keine Verwendung eines Extended-Validation-Zertifikat
Es wird empfohlen, dass das Server-Zertifikat ein qualifiziertes Webseiten-Zertifikat gemäß eIDAS-VO oder ein Extended-Validation-Zertifikat ist.
KeyUsage Extension ist fehlerhaft konfiguriert
Das Server-Zertifikat sollte eine "KeyUsage"-Extension enthalten. Folgende Bits sollten gesetzt sein:
"digitalSignature": JA
"keyCertSign": NEIN (bei Verwendung eines qualifizierten Webseitenzertifikats bzw. Extended Validation-Zertifikats automatisch erfüllt)
"cRLSign": NEIN (Bei Verwendung eines qualifizierten Webseitenzertifikats bzw. Extended Validation-Zertifikats automatisch erfüllt)
Kryptografisch unsicherer Zertifikatsschlüssel
Der Schlüssel im Server-Zertifikat sollte den kryptographischen Mindestanforderungen entsprechen:
RSA-Schlüssel: Mindestens 3072 Bitlänge
ECDSA-Schlüssel: Es wird eine der folgenden Kurven verwendet:
brainpoolP256r1
brainpoolP384r1
brainpoolP512r1
secp256r1
secp384r1
secp521r1
Schlüssel der CA-Zertifikate entsprechen nicht den Mindestanforderungen
Alle Schlüssel der CA-Zertifikate der gesamten Zertifikatskette sollten den Anforderungen entsprechen:
RSA-Schlüssel: Mindestens 3072 Bitlänge
ECDSA-Schlüssel: Es wird eine der folgenden Kurven verwendet:
brainpoolP256r1
brainpoolP384r1
brainpoolP512r1
secp256r1
secp384r1
secp521r1
Signatur-Algorithmen der untergeordneten CA-Zertifikate entsprechen nicht den Anforderungen
Die Signaturalgorithmen aller untergeordneten CA-Zertifikate der Kette (d.h. CA-Zertifikate außer dem Root-Zertifikat) sollten den Anforderungen entsprechen:
Signaturalgorithmus:
RSA
ECDSA
Hashfunktion:
SHA-256
SHA-384
SHA-512
TLS-Handshake erlaubt unsichere Signaturalgorithmen und Hashfunktionen
Für die Erstellung und Verifikation von Signaturen während des TLS-Handshakes sollten folgende Algorithmen verwendet werden:
Signaturalgorithmus:
RSA
ECDSA
Hashfunktion:
SHA-256
SHA-384
SHA-512
TLS-Kompression wird unterstützt
Von der Verwendung der Kompression wird abgeraten, da sie SSL/TLS angreifbar macht (insbesondere für CRIME-Angriffe).
truncated_hmac Extension wird unterstützt
Die "truncated_hmac"-Extension sollte deaktiviert sein.
Unsichere ephemere Parameter beim TLS-Handshake
Die verwendeten ephemeren Parameter während des TLS-Handshakes sollten ausreichende Sicherheit bieten:
ECDHE-Cipher Suites:
brainpoolP256r1
brainpoolP384r1
brainpoolP512r1
secp256r1
secp384r1
secp521r1
DHE-Cipher Suites: Mindestens 3072 Bit
Unterstützt Chiffren für SSL2, SSL3, TLS1.0, TLS1.1
Es sollten keine Cipher Suites für SSL2, SSL3, TLS 1.0 oder TLS 1.1 unterstütz werden.
Unterstützt Chiffren ohne Perfect Forward Secrecy
Es wird empfohlen nur Cipher Suites mit "Perfect Forward Secrecy" zu unterstützen. (Nur Cipher Suites die mit "TLS_ECDHE" oder "TLS_DHE" beginnen)
Unterstützt unerlaubte TLS 1.2 Chiffren
Es sollten nur erlaubte Cipher Suites für TLS 1.2 unterstützt werden.
Server mit EC-Public Key:
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 (MUSS)
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (MUSS)
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 (EMPFOHLEN)
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (EMPFOHLEN)
TLS_ECDHE_ECDSA_WITH_AES_128_CCM (EMPFOHLEN)
TLS_ECDHE_ECDSA_WITH_AES_256_CCM (EMPFOHLEN)
Server mit RSA-Public Key:
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (MUSS)
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (MUSS)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (EMPFOHLEN)
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (EMPFOHLEN)
TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 (OPTIONAL)
TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 (OPTIONAL)
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (OPTIONAL)
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (OPTIONAL)
TLS_DHE_RSA_WITH_AES_128_CCM (OPTIONAL)
TLS_DHE_RSA_WITH_AES_256_CCM (OPTIONAL)
Unterstützt unerlaubte TLS 1.3 Chiffren
Es sollten nur erlaubte Cipher Suites für TLS 1.3 unterstützt werden.
Cipher Suites für TLS 1.3:
TLS_AES_128_GCM_SHA256 (EMPFOHLEN)
TLS_AES_256_GCM_SHA384 (EMPFOHLEN)
TLS_AES_128_CCM_SHA256 (EMPFOHLEN)
Unterstützt unerlaubte TLS-Versionen
Es sollten nur erlaubte TLS-Versionen unterstützt werden:
TLS 1.3: JA
TLS 1.2: JA
TLS 1.1: NEIN
TLS 1.0: NEIN
SSL 3: NEIN
SSL 2: NEIN
Unterstützt unsichere Signatur-Algorithmen
Der Signatur-Algorithmus des Server-Zertifikats sollte den Anforderungen entsprechen:
Signaturalgorithmus:
RSA
ECDSA
Hashfunktion:
SHA-256
SHA-384
SHA-512
Zertifikat enthält nicht alle (Sub)Domains, für die es genutzt wird
Das Server-Zertifikat sollte alle (Sub-)Domain Namen enthalten, für die das Zertifikat genutzt wird.
Zertifikat enthält Wildcards in Subject, CommonName, AlternativeNames
Das Server-Zertifikat sollte keine Wildcards enthalten.
Zertifikat ist gesperrt
Das Server-Zertifikat kann nicht mehr sicher verwendet werden, wenn es gesperrt ist.
SSL/TLS: Zertifikatsfehler
Ablauf der Gültigkeit der CRL (Certificate Revokation List)
Der Gültigkeitszeitraum der verwendeten Zertifikatsperrliste ist abgelaufen.
Abweichung zwischen Zertifizierungsstelle und Aussteller
Zertifizierungsstelle und Aussteller passen nicht zusammen.
Abweichung zwischen Zertifizierungsstelle und Schlüsselkennung des Ausstellers
Zertifizierungsstelle und Schlüsselkennung des Ausstellers passen nicht zusammen.
Abweichung zwischen Zertifizierungsstelle und Seriennummer des Ausstellers
Zertifizierungsstelle und Seriennummer des Ausstellers passen nicht zusammen.
CRL Signatur nicht entschlüsselbar
Die Signatur der Zertifikatssperrliste konnte nicht überprüft werden, da die Entschlüsselung fehlgeschlagen ist.
Die Schlüsselverwendung berücksichtigt nicht das Signieren von Zertifikaten
Das aktuelle candidate issuer Zertifikat wurde abgelehnt, weil seine keyUsage-Erweiterung keine Zertifikatsignierung zulässt.
Die Zertifikatskette konnte nicht verifiziert werden
Der Zertifikatskette wird nicht vertraut, da diese nicht verifiziert werden kann.
Formatfehler im Feld lastupdate von crl
Das lastupdate-Feld enhält eine ungültige Zeit.
Formatfehler im Feld nextupdate von crl
Das nextupdate-Feld enhält eine ungültige Zeit.
Formatfehler im notafter Feld des Zertifikats
Das notafter-Feld enhält eine ungültige Zeit.
Formatfehler im notbefore Feld des Zertifikats
Das notbefore-Feld enhält eine ungültige Zeit.
Kein Zertifikatsaussteller ermittelbar
SSL/TLS-Zertifikate werden von Certification Authoritys (CA) herausgegeben. Der Herausgeber muss ermittelbar sein.
Lokales Aussteller-Zertifikat nicht verfügbar
Das Zertifikat kann nicht verifiziert werden. Entweder ist das Zertifikat nicht bei den vertrauten Zertifikaten hinterlegt oder ein Intermediate Zertifikat fehlt in der Zertifikats Chain.
Nicht unterstützter Zertifikatszweck
Das Zielzertifikat kann nicht für den angegebenen Zweck verwendet werden.
Öffentlicher Schlüssel nicht dekodierbar
Der öffentliche Schlüssel (public key) dient dazu, einen sicheren Schlüsselaustausch zu ermöglichen. Er sollte daher dekodierbar sein.
Pfadlängenbeschränkung überschritten
Die Pfadlänge des Zertifikats ist größer als von der Root CA erlaubt. Es wurden zu viele Sub CA in das full chain Zertifikat eingefügt.
Selbstsigniertes Zertifikat
Selbst signierte Zertifikate sind nicht in der Lage die Authentizität zu bestätigen und daher nicht zu empfehlen.
Selbstsigniertes Zertifikat in der Zertifikatskette
Selbst signierte Zertifikate sind nicht in der Lage die Authentizität zu bestätigen und daher nicht zu empfehlen.
Ungültige CRL (Certificate Revokation List)
Die verwendete Zertifikatsperrliste ist ungültig.
Ungültige CRL (Certificate Revokation List) signature
Die Signatur der Zertifikatssperrliste ist ungültig. Daher kann der CRL nicht vertraut werden.
Ungültige Zertifikatssignatur
Die Signatur des Zertifikates ist ungültig und dem Zertifikat kann nicht vertraut werden.
Ungültiges Ablaufdatum des Zertifikats
Das Ablaufdatum des verwendeten Zertifikats ist nicht korrekt.
Ungültiges CA-Zertifikat
Das von der Zertifizierungsstelle (Certificate Authority) ausgegebene Zertifikat ist ungültig.
Ungültiges Zertifikat
Ungültigen Zertifikaten wurde das Vertrauen entzogen.
Zertifikat abgelehnt
Das verwendete Zertifikat verursacht Probleme und wird daher abgelehnt.
Zertifikat CRL nicht erreichbar
Die Zertifikatssperrliste ist nicht erreichbar. Es kann nicht geprüft werden, ob ein Zertifikat ungültig ist.
Zertifikat ist nicht vertrauenswürdig
Das verwendete Zertifikat wird als nicht vertrauenswürdig angesehen.
Zertifikatskette zu lang
Die Länge der Zertifikatskette ist größer als die angegebene maximale Tiefe.
Zertifikatssignatur nicht entschlüsselbar
Die Signatur eines Zertifikats ermöglicht es einem Dritten die Identität des Zertifikatsbesitzers zu bestätigen. Sie sollte daher lesbar sein.
Telnet
Erlaubt unverschlüsselte Telnet Logins
Der Telnet Server ermöglicht den Login mittels einer unverschlüsselten Verbindung. Angreifer können die Logindaten daher auslesen.
Keine Authentifizierung erforderlich
Telnet ist aufgrund seiner fehlenden Verschlüsselung nicht mehr zeitgemäß und sollte möglichst nicht mehr verwendet werden. Solltest du Telnet dennoch einsetzen, muss in jedem Fall eine Authentifizierungs-Methode genutzt werden.
Standardbenutzer mit Adminrechten
Ein Standardbenutzer sollte aus Sicherheitsgründen über keine Administrator-Rechte verfügen.
Zookeeper
Ungeschützter Zookeeper Service
Zugriff auf Zookeeper ist ist möglich. Die frei zugänglichen Informationen können von Angreifern für das Auskundschaften der Infrastruktur verwendet werden, oder um die Authentifizierung von Services zu verändern, die Zookeeper verwenden.
Zuletzt aktualisiert
War das hilfreich?