Pentest Vektoren
Der automatisierte Pentest von Enginsight besteht aus vier Elementen:
Information Gathering: Durch Basis und Deep Scans erstellt Hacktor ein Footprinting der Anwendungsumgebung.
CVE-Scan: Die ermittelten Anwendungen untersucht Hacktor auf bekannte Sicherheitslücken.
Service Bruteforce: Durch das automatisierte ausprobieren von Benutzer-Passwort-Kombinationen werden unsichere Login-Daten aufgedeckt.
Service Discovery: Spezielle Checks z.B. der Verschlüsselung, Authentifizierung und Privilegien bestimmter Services decken sicherheitsrelevante Konfigurationsmängel auf.
Enginsight ermittelt automatisiert, welche Tests für das jeweilige Zielsystem herangezogen werden müssen. Im Folgenden erfahren Sie im Detail, was Hacktor prüfen kann.
Information Gathering
Ziel des Information Gatherings ist ein möglichst umfassendes Footprinting der untersuchten Systeme zu erstellen. Unter Footprinting wird das Sammeln von Informationen verstanden, die für die anschließenden Hackingattacken genutzt werden. Dieses Vorgehen nutzen auch echte Hacker, um abzuschätzen, welche Angriffsvektoren erfolgversprechend sind. Deshalb ist es aus Sicherheitsperspektive am Besten, möglichst wenig über verwendete Technologien nach außen preiszugeben.
Der Enginsight Hacktor setzt beim Footprinting auf verschiedene Ansätze. Einerseits die Basic Scans: Dabei werden Ports und HTTP-Header untersucht. Anderseits Deep Scans, wobei unter anderem die Webanwendung und SNMP unter die Lupe genommen wird.
Basic Scan
Ports
Offene Ports werden auf die dahinterliegende Anwendung untersucht und ob die verwendete Version preisgegeben wird.
HTTP-Header
In HTTP-Headern (insbesondere X-Mod-Pagespeed und Server) werden häufig vermeidbar Informationen zum System preisgegeben.
Deep Scan
Webanwendung
Mittels statistischer Verfahren werden Webanwendungen auf die verwendeten Technologien untersucht (z.B. CMS, Programmiersprachen und Libraries).
SNMP (Betriebssystem)
Über SNMP lässt sich gegebenenfalls das verwendete Betriebssystem aufdecken. Eine für Angreifer sehr wertvolle Information.
SNMP (installierte Pakete)
Über SNMP kann ein Zugriff auf die installierten Pakete möglich sein. Dabei handelt es sich um eine höchst sensible Information.
Remote Control Service
Dienste, über die eine Fernwartung durchgeführt werden können, sind aus Sicherheitsperspektive kritisch zu betrachten.
(SSH, VNC, RDP, Telnet)
mDNS
Aktivierte Multicast DNS (mDNS) Funktionalitäten können missbraucht werden, um Informationen auszuspähen und Angriffe vorzubereiten. Prüfe, ob mDNS benötigt wird, deaktiviere ihn gegebenenfalls oder stelle sicher, dass er nur für vertrauenswürdige Clients erreichbar ist.
CVE-Scan
Zusätzlich überprüft Hacktor die zur Bereitstellung der Services verwendeten Softwareversionen auf CVEs. Es handelt sich dabei um einen netzwerkseitigen Flächenscan nach Sicherheitslücken.
Findet Hacktor eine Sicherheitslücke (CVE), versucht er sie zu validieren. Das heißt, er prüft, ob die Sicherheitslücke bei dem entsprechenden Betriebssystem wirksam wird, sie also ausgenutzt werden kann. Ist dies der Fall, erhält die Sicherheitslücke die Kennzeichnung "validated". Es kann vorkommen, dass es Hacktor nicht möglich ist, das Betriebssystem zweifelsfrei festzustellen. Die Sicherheitslücke kann dann nicht validiert werden. Sie taucht trotzdem im Audit Report auf, erhält jedoch den Hinweis "invalidated". In diesem Fall muss der Nutzer selbst nachprüfen, ob die Sicherheitslücke bei diesem System wirksam ist.
Auf unserem Blog erklären wir, warum wir CVE über Metainformationen statt Exploits validieren.
Service Bruteforce
Im Rahmen des Bruteforce-Angriffes, versucht der Hacktor durch das massenhafte Ausprobieren von Passwörtern, Zugriff auf Ihr System zu erlangen.
Für folgende Services wird Bruteforce angeboten:
SSH
Telnet
FTP
MySQL
Mongo DB
MS SQL
OracleDB
Redis
Maria DB
Rabbit MQ
PostgreSQL
HTTP Basic Auth
HTTP Web Forms (keine Single Page Apps oder JavaScript-Logins)
SNMP
SMB
RDP
RTSP
VNC
Passwortlisten
Sie haben die Wahl entweder auf Passwortlisten von Enginsight zurückzugreifen und/oder individuelle Listen einzubinden. Darüber hinaus testet Hacktor servicespezifische Standardauthentifizierungen.
Service Discovery
In der Discovery-Phase untersucht Hacktor die detektierten Services auf spezifische, gängige Konfigurationsmängel. Er testet dabei unter anderem Authentifizierungs-Verfahren, Privilegien-Zuordnungen und Verschlüsselungs-Verfahren.
Serviceübergreifende Checks
Anfällig für Log4Shell (CVE-2021-44228)
Eine verwundbare Version des Java-Frameworks Log4j, die sich für Log4Shell-Attacken ausnutzen lässt, wird verwendet (CVE-2021-44228). Achtung: Eine Konnektivität vom Zielsystem zu Hacktor (Portrange: 1-1000) muss sichergestellt sein, damit der Check korrekte Ergebnisse liefert.
(HTTP, SSH, FTP, SMTP, IMAP)
DNS (Domain Name System)
Fehlender DMARC Record
Domain-based Message Authentication, Reporting and Conformance (DMARC) baut auf SPF auf. Es erlaubt der Absender-Domain eine Spezifikaion festzulegen, wie bei einem Verstoß der Empfänger mit der E-Mail umgehen soll.
Fehlender DNS CAA Eintrag
DNS Certification Authority Authorization (CAA) Records dienen dazu, bestimmte Zerifizierungsstellen (CAs) zu berechtigen, ein Zertifikat für die Domain auszustellen. So kann verhindert werden, dass fälschlicherweise Zertifikate für eine Domain ausgestellt werden.
Fehlender SPF Record
Das SPF-Protokoll ermöglicht, IP-Adresse zur Versendung von E-Mails mit der Domain zu berechtigen. So kann Dritten untersagt werden, den Domainnamen missbräuchlich zu verwenden.
Ungültiger Inhalt des DMARC Records
Der Inhalt des DMARC Records ist nicht gültig, da ein oder mehrere Tags in der DMARC Record nicht gesetzt sind.
Ungültiger Inhalt des SPF Records
Der Eintrag enthält unbekannte Einträge (bekannt sind: spf1, mx, ip4, ip6, exists, include, all, a, redirect, exp, ptr) und/oder unerlaubte Zeichen.
FTP (File Transfer Protocol)
Anonyme FTP-Session
Anonymous FTP erlaubt einen freien Zugriff für alle Besucher auf die FTP-Verzeichnisse. Prüfe, ob das notwendig ist und die Lese- und Schreibrechte korrekt konfiguriert sind.
Anonymer Zugang zum root (/) Verzeichnis
Das root-Verzeichnis ist Teil des Backends und ein Zugriff via FTP sollte nur autorisierten Benutzern mit entsprechenden Zugangsdaten gewährt werden.
Change Working Directory (cwd) Zugang für anonynme Nutzer
Der Befehl CWD erlaubt das Wechseln des aktiven Verzeichnisses auf dem FTP-Server. Diese Möglichkeit sollte anonymen Nutzern nicht gestatt sein.
Löschrechte für anonyme Nutzer
Achte darauf, Lese- und Schreibrechte richtig zu konfigurieren. Anonymen Nutzern sollten niemals in der Lage sein, Dateien zu löschen.
Schreibrechte für anonyme Nutzer
Achte darauf, Lese- und Schreibrechte richtig zu konfigurieren. Anonymen Nutzern sollten niemals über Schreibrechte verfügen.
HTTP (Hypertext Transfer Protocol)
Anfällig für Shellshock
Die Schwachstelle in der Unix-Shell Bash ermöglicht auf dem Zielsystem beliebige Befehle auszuführen und nichtautorisierten Zugriff zu erhalten.
Common Source Leak
Dateien, die versteckt sein sollten, sind öffentlich zugänglich. Sie geben möglicherweise wichtige Informationen preis, die das Ziel potenziell angreifer machen.
Common Credential Store
Dateien, die sensible Dateien beinhalten (bspw. Passwörter) sind öffentlich über HTTP zugänglich.
Cross Site Scripting (XSS)
Bei Cross Site Scripting (XSS) wird HTML/JavaScript/CSS unvalidiert in eine Webseite eingebettet, um bspw. Nutzersessions abzufischen.
Defaultseite wird angezeigt
Die Defaultseite einer Anwendung ist über HTTP erreichbar. Dies deutet darauf hin, dass eine Fehlkonfiguration vorliegt und möglicherweise sensible Bereiche für Unbefugte zugänglich sind.
Directory Listing ist aktiviert
Directory Listing ist eine Webserver-Funktion, die den Inhalt eines Verzeichnisses offenbart, das keine Indexdatei hat. Ein Angreifer kann sich leicht Zugang zu privaten Inhalten auf dem Webserver verschaffen.
E-Mail Harvesting
Der Host ist anfällig für das Harvesting von E-Mail-Adressen. Böswillige Bots können diese Kontakte von der Website ermitteln und für die spätere Verwendung wie illegitime Massen-Betrüger-Mails, d.h. Phishing-Betrügereien, speichern.
Erlaubt Offene Umleitung
Der Host ermöglicht die Integration von benutzerdefinierten Daten in Umleitungsziele. Ein Angreifer kann so Benutzer auf eine beliebige externe Domäne umleiten. Dadurch wird er anfällig für Phishing-Angriffe gegen Benutzer.
Erlaubt Zugriff auf Datenbank-Dump
Teilweise oder ganze Auszüge von Datenbanken, die für die Datensicherung oder Portierung erstellt wurden (Dantenbankdump), sollten nicht öffentlich erreichbar sein.
Ermöglicht ungültige Umleitung
Die Webanwendung akzeptiert nicht vertrauenswürdige Eingaben. Das kann ein Angreifer nutzen, um auf eine nicht vertrauenswürdige URL weiterzuleiten.
Ermöglicht Zugriff auf Loginseite kritischer Systeme
Die über HTTP erreichbare Seite beinhaltet die Loginmaske eines kritischen Systems.
Ermöglicht Zugriff auf detailierte Fehlerinformationen
Zu Diagnosezwecke erstellten Fehlermeldung (stack traces) werden über die HTML-Seite ausgegeben oder lassen sich provozieren (zum Beispiel durch invalide Eingaben). Stack traces können sensible Informationen beeinhalten, aus denen sich Angriffsvektoren ergeben.
Fehlende HTTPS-Umleitung
Es fehlt eine Weiterleitung auf die HTTPS-Seite, sofern eine HTTP-Seite aufgerufen wird.
Gemischter HTTP-Inhalt gefunden
Auf die Webseite wird sicher über HTTPS zugegriffen, aber der Inhalt besteht aus Links, die über unsicheres HTTP aufgerufen werden.
Öffentlich erreichbares Backend
Das Backend ist öffentlich erreichbar. Schränke den Zugriff ein, z.B. mit einem VPN.
Setzt Cookies ohne Zustimmung
Obwohl der Nutzer kein Einverständnis gegeben hat, werden Cookies gespeichert. Dies ist nur für technisch notwendige Cookies erlaubt.
Setzt Tracking-Cookies ohne Zustimmung
Obwohl der Nutzer kein Einverständnis gegeben hat, werden Cookies gesetzt, die für Tracking-Aktivitäten genutzt werden. Das widerspricht den geltenden Datenschutzrichtlinien.
SQL Injection
Bei einer SQL Injection versucht ein Angreifer eigene Datenbankbefehle in eine SQL-Datenbank einzuschleusen, um Daten auszuspähen oder die Kontrolle über das System zu erlangen.
Unterstützt Command Injection
Ziel von Command Injection ist das Ausführen von Befehlen auf dem Host-Server der Website. Sie ist möglich, wenn eine Anwendung vom Benutzer bereitgestellte Daten an eine System-Shell weitergibt. Durch unvalidierte Parameter können beliebige Befehle auf dem Host-System ausgeführt werden.
Unterstützt File Inclusion
File Inclusion ist das Einschleusen von Dateien und Code durch eine Sicherheitslücke in der Webanwendungen.
HTTP-Header
Fehlender Content-Security-Policy Header
Die HTTP Content-Security-Policy regelt welche Ressourcen in einer bestimmten Art und Weise im Browser geladen bzw. ausgeführt werden können.
Fehlender Feature-Policy Header
Die Feature-Policy bestimmt, welche Funktionen oder APIs eines Browsers verwendet werden dürfen.
Fehlender Referrer-Policy Header
Die Referrer-Policy stellt sicher, dass Referrer Informationen nur unter bestimmten Bedingungen gesendet werden dürfen.
Fehlender Strict-Transport-Security Header
Die HTTP Strict Transport Security (HSTS) ist ein Sicherheitsmechanismus für HTTPS-Verbindungen, der sowohl vor Aushebelung der Verbindungsverschlüsselung als auch vor Session Hijacking schützt.
Fehlender X-Content-Type-Options Header
Der einzige definierte Wert "nosniff" untersagt dem Internet Explorer durch MIME-Sniffing einen anderen als den deklarierten Inhaltstyp zu bestimmen und anzuwenden.
Fehlender X-Frame-Options Header
Die X-Frame-Options können verwendet werden, um zu bestimmen, ob ein aufrufender Browser die Zielseite in einem <frame>, <iframe> oder <object> rendern also einbetten darf.
Fehlender X-XSS-Protection Header
Die X-XSS-Protection kann Browsern untersagen eine Zielseite zu laden, sofern eine Cross-Site Scripting (XSS) Attacke erkannt wird.
Ungewöhnlicher HTTP Header
Es wurde ein unbekannter HTTP-Header erkannt, der potenziell Informationen preisgibt. Bitte überprüfe die Notwendigkeit des HTTP-Headers und entferne diesen.
Unsicherer Set-Cookie
Der Set-Cookie HTTP-Header wird verwendet, um Cookies vom Server zum Browser zu übertragen.
Vermeidbarer X-Mod-Pagespeed Header
Der X-Mod-Pagespeed Header sollte deaktiviert sein, um keine unnötigen Informationen preiszugeben.
Vermeidbarer X-Powered-By Header
Viele Server sind in ihrer Standard Konfiguration sehr freizügig mit der Bekanntgabe von Informationen. Dies betrifft vor allem den X-Powered-By und Server-Header. Diese sollten aus Sicherheitsgründen immer deaktiviert werden.
LDAP (Lightweight Directory Access Protocol)
Erlaubt Unauthenticated Bind
Schlägt die Authentifizierung als Nutzer fehl (weil versehentlich ein leeres Passwort angegeben wurde), wird keine Warnung ausgegeben und anonymer Zugang gewährt. In der Folge besteht die Gefahr, sensible Daten öffentlich zugänglich hochzuladen.
Erlaubt ungesichertes Simple Bind
Die Übertragung von Passwörtern im Klartext darf nur über vertrauliche Verbindungen erfolgen. Erhält der Server ein Passwort im Klartext über eine unverschlüsselte Verbindung, muss er confidentialityRequired als Fehlercode zurückgeben, unabhängig davon ob das Passwort korrekt ist.
MongoDB
Erlaubt das Löschen von Sammlungen
Das Löschen von Sammlungen sollte nur entsprechend authentifizierten Nutzern erlaubt sein.
Erlaubt Hinzufügen von Sammlungen
Das Hinzufügen von Sammlungen sollte nur entsprechend authentifizierten Nutzern erlaubt sein.
Erlaubt Zugriff auf Admin-DB
Der Hauptzweck der Admin Database ist das Aufbewahren von system collections, authentication und authorization data, was Benutzernamen und Passwörter beinhaltet. Auf diese sensiblen Informationen sollte nur der Administrator Zugriff haben.
Erlaubt Zugriff auf die Config-DB
In der Congig DB liegen Daten zur Verwaltung und dem Zugriffsmanagement der Datenbank. Auf diese Daten sollte kein Zugriff möglich sein.
Erlaubt Zugriff auf Lokale DB
In der Local DB liegen Daten zur Verwaltung und dem Zugriffsmanagement der Datenbank. Auf diese Daten sollte kein Zugriff möglich sein.
Ermöglicht anonyme Anmeldung
Wenn eine MongoDB erstellt wird, sind keine Authentifizierungs-Mechanismen aktiv und der Nutzer hat alle Privilegien. Um die Sicherheit der mongodb zu erhöhen, sollte ein anonymer Zugang deaktiviert sein.
Ermöglicht den Zugriff auf verschiedene DBs
In den Sammlungen, die nicht nicht zur standard collection (Admin/Local/Config) gehören, liegen die spezifischen Daten der Datenbank. Auf sie sollte kein Zugriff möglich sein.
MySQL
Anonyme Verbindung vom Root-Benutzer
Eine nicht passwortgeschützte Verbindung als Administrator (mit Root-Rechten) ist möglich.
Anonymer Benutzer gefunden
Beim Einrichten der MySQL-Instanz wird ein anonymer Benutzer erstellt, der es jedem ermöglicht, sich bei der Datenbank anzumelden, ohne ein Benutzerkonto eingerichtet zu haben. Er ist nur für Testzwecke gedacht und sollte vor der Produktivsetzung entfernt werden.
Benutzer mit Fernzugriff von einem beliebigen Host gefunden
Standardmäßig ist ein öffentlicher Remote Zugriff auf MySQL aus Sicherheitsgründen deaktiviert. Falls nötig, kannst du einen Remote Zugriff einrichten. Diesen sollte jedoch auf bestimmte IP-Adressen eingeschränkt sein.
Benutzer ohne Passwort gefunden
Für jeden Benutzer der MySQL-Datenbank sollte ein sicheres Passwort festgelegt werden.
Möglichkeit Benutzer-Privilegien zu ändern
Die Rolle von Nutzern kann geändert werden, zum Beispiel zu einem Nutzer mit Administrator-Rechten. So können unberechtigte Zugriffe ermöglicht werden.
Möglichkeit neuen Benutzer zu erstellen
Ihre MySQL-Datenbank sollte so konfiguriert sein, dass es für Unbefugte nicht möglich ist, einen neuen Nutzer anzulegen.
Test-DB gefunden
Einige MySQL-Server erstellen bei der Installation eine Datenbank mit dem Namen "test", die für alle Nutzer zugänglich ist. Diese Einstellungen werden auf alle Datenbanken, deren Bezeichnung mit test_ beginnt übertragen. Die Test-Datenbank sollte daher prinzipiell entfernt werden.
Zugriff performance_schema DB
Das MySQL Performance Schema ist eine Funktion zur Überwachung der MySQL-Ausführungen. Diese Informationen sollten nicht öffentlich zugänglich sein.
RDP (Remote Desktop Protocol)
Fehlende RDP Network Level Authentication
Der Anmeldebildschirm ist erreichbar, ohne dass auf Netzwerkebene eine Authentifizierung notwendig ist. Er sollte mit Hilfe der Authentifizierung auf Netzwerkebene abgesichert sein, um eine sichere Authentifizierungsmethode zu gewährleisten.
SMB (Server Message Block: microsoft-ds und netbios-ssn*)
Vorhandene SMB Network Shares
Es existiert eine Freigabe, die nicht unter die Standard-Freigaben fällt.
Erlaubt Gastzugriff
Bei fehlerhaftem Login wird automatisch ein Gastzugriff erteilt, der möglicherweise Zugriffsrechte besitzt.
Erlaubt Lesezugriff
Ein Lesezugriff auf freigegebene Ordner ist via SMB möglich.
Erlaubt Schreibzugriff
Ein Schreibzugriff auf freigegebene Ordner, die nicht standardmäßig eingestellt sind, ist via SMB möglich.
* Netbios-SSN wird momentan lediglich für Linux und nicht für Windows unterstützt.
SMTP (Simple Mail Transfer Protocol)
Ermöglicht Benutzerenumeration mittels EXPN
Der Befehl SMTP EXPN gibt eine Liste von Alias Adressen mit dazugehörigen Zielen aus. Er kann missbraucht werden, um valide Usernamen auszuspähen oder E-Mail-Adressen für Spam zu sammeln.
Ermöglicht Benutzerenumeration mittels VRFY
Der Befehl SMTP VRFY ermöglicht zu überprüfen, ob eine E-Mail-Adresse vorhanden ist. Er kann missbraucht werden, um valide Usernamen auszuspähen oder E-Mail-Adressen für Spam zu sammeln.
Ermöglicht Versenden von externen E-Mails ohne Authentifizierung
Nicht authentifizierten Nutzern wird erlaubt, über den Mail-Relay Nachrichten an externe E-Mail-Adressen und mit externen E-Mail-Adressen zu versenden. Der Mailserver lässt sich daher für Phishing-Angriffe oder Spamnachrichten missbrauchen.
Ermöglicht Versenden von internen E-Mails ohne Authentifzierung
Nicht authentifizierten Nutzern wird erlaubt, über den Mail-Relay Nachrichten von internen E-Mail-Adressen an interne E-Mail-Adressen zu versenden. Der Mailserver lässt sich daher für Spoofing missbrauchen.
SNMP (Simple Network Management Protocol)
Verwendet gewöhnlichen Community String
Für SNMP werden eine oder mehrere Community Strings zur Nutzerauthentifizierung verwendet, die häufig verwendet werden und daher besonders unsicher sind.
Erlaubt Lesezugriff
Ein Lesezugriff auf Object Identifier (OID) ist via SNMP möglich.
Erlaubt Schreibzugriff
Ein Schreibzugriff auf Object Identifier (OID) ist via SNMP möglich.
SSH (Secure Shell)
Keine Unterstützung für SSH-Authentifizierung mit öffentlichem Schlüssel
Der Client sollte sich gegenüber dem Server mittels Public Key authentifizieren müssen, da Passwörter unsicher sein können und somit für Bruteforce anfällig sind.
Unsichere Mac Algorithmen
Der Message Authentication Code (MAC) dient dazu, Gewissheit über den Ursprung von Daten zu erhalten und sie auf Integrität zu überprüfen. Mittels Keyed-Hash Message Authentication Code (HMAC) wird diese Überprüfung abgesichert. Dabei sollte ein sicheres Verfahren zum Einsatz kommen.
Unsichere Schlüsselaustausch-Algorithmen
Im Rahmen des SSH-Verbindungsaufbaus findet ein Schlüsselaustausch (Key Exchange) statt. Der gemeinsame Sitzungsschlüssel wird für die Authentifizierung und Verschlüsselung der Sitzung genutzt. Wird eine unsichere Schlüsseltausch-Methode verwendet, ist die Absicherung der Verbindung gefährdet.
Unsichere Server-Host-Schlüsselalgorithmen
Im Rahmen des SSH-Verbindungsaufbaus findet ein Schlüsselaustausch (Key Exchange) statt. Währenddessen einigen sich Client und Server auf einen gemeinsamen Verschlüsselungs-Schlüssel. Dabei sollte ein sicheres Verschlüsselungsverfahren gewählt werden.
Unsichere SSH-Version
Im Jahr 2006 wurde SSH-1 durch die überarbeitete Version Netzwerkprotokolls (SSH-2) abgelöst. SSH-1 gilt aufgrund kryptografischer Schwächen als nicht mehr sicher und sollte daher nicht verwendet werden.
Unsichere Verschlüsselungsalgorithmen
Im Rahmen des SSH-Verbindungsaufbaus finden ein Schlüsselaustausch (Key Exchange) statt. Währenddessen einigen sich Client und Server auf einen gemeinsamen Verschlüsselungs-Algorithmus. Dabei sollte ein sicheres Verschlüsselungsverfahren gewählt werden.
Unsicherer öffentlicher Schlüssel
Der Server authentifiziert sich gegenüber seinem Client. Exchange-Nachrichten des Servers erhalten einen Public Key, den der Client nutzen kann, um die Authentiziztät zu prüfen. Dabei sollte ein sicheres Verfahren zum Einsatz kommen.
Unterstützt SSH-Passwort-Authentifizierung
Eine auf asymetrischen Schlüsseln basierende Authentifizierung gilt als sicherer denn über ein Passwort. Deshalb sollte die Option einer Authentifizierung via Passwort in der Regel deaktiviert sein.
SSL/TLS (Secure Sockets Layer/Transport Layer Security)
Anfällig für Heartbleed
Aufgrund eines Programmfehlers in OpenSSL lässt sich der Server manipulieren, sodass er sensible Informationen preisgibt.
Abgelaufenes Zertifikat
Wenn das Zertifikat abgelaufen ist, wird es ungültig und du kannst keine sicheren Transaktionen mehr durchführen.
Ablauf der Gültigkeit der CRL (Certificate Revokation List)
Der Gültigkeitszeitraum der verwendeten Zertifikatsperrliste ist abgelaufen.
Abweichung zwischen Zertifizierungsstelle und Aussteller
Zertifizierungsstelle und Aussteller passen nicht zusammen.
Abweichung zwischen Zertifizierungsstelle und Seriennummer des Ausstellers
Zertifizierungsstelle und Seriennummer des Ausstellers passen nicht zusammen.
Anfällig für DROWN
Mit Hilfe des veralteten SSLv2 lässt sich aufgezeichneter TLS-Traffic knacken.
Anfällig für FREAK
Bei einer FREAK-Attacke werden die Kommunikationspartner dazu gebracht, sich auf eine unsichere Verschlüsselungsmethode zu einigen, obwohl sichere Verfahren zu Verfügung stehen.
Anfällig für Logjam Attacken
Indem eine Schwachstelle im Diffie-Hellman-Schlüsselaustausch ausgenutzt wird, kommen Angreifer an die geheimen Schlüssel.
Anfällig für NULL Pointer Dereference
Durch das Versenden eines bösartigen Zertifikats kann ein Angreifer einen Denial-of-Service-Zustand verursachen.
Anfällig für SLOTH Attacke
Schwache Hashfunktionen (MD5, SHA-1) erlauben eine SLOTH (Security Losses from Obsolete and Truncated Transcript Hashes) Attacke.
Anfällig für Sweet32 Attacken
Die Stream-Chiffre RC4 macht die Verbindung anfällig für Sweet32 Attacken.
Anfällig nach Maßgabe der Datenschutzgrundverordnung (DSGVO)
Die SSL/TLS-Verschlüsselung widerspricht dem aktuellen Stand der Technik und verstößt daher gegen Art. 32 DSVGO.
Anfällig nach Maßgabe des BSI (Bundesamt für Sicherheit in der Informationstechnik)
Die SSL/TLS-Verschlüsselung entspricht nicht den Maßgaben des BSI.
Chiffre unterstützt MD5
MD5 gilt nicht mehr als ausreichend sicher und sollte daher nicht verwendet werden.
CRL Signatur nicht entschlüsselbar
Die Schlüsselverwendung berücksichtigt nicht das Signieren von Zertifikaten
Die Zertifikatskette konnte nicht verifiziert werden
Fehlender Common Name in Subject Alternative Names
Der Common Name ist nicht in den Subjekt Alternative Names enthalten, weshalb die Validierung des Zertifikats blockiert wird.
Formatfehler im Feld lastupdate von crl
Das lastupdate-Feld enhält eine ungültige Zeit.
Formatfehler im Feld nextupdate von crl
Das nextupdate-Feld enhält eine ungültige Zeit.
Formatfehler im notafter Feld des Zertifikats
Das notafter-Feld enhält eine ungültige Zeit.
Formatfehler im notbefore Feld des Zertifikats
Das notbefore-Feld enhält eine ungültige Zeit.
Kein Zertifikatsaussteller ermittelbar
SSL/TLS-Zertifikate werden von Certification Authoritys (CA) herausgegeben. Der Herausgeber muss ermittelbar sein.
Keine Unterstützung für Perfect Forward Secrecy (PFS)
Perfect Forward Secrecy stellt sicher, dass der jeweils neu ausgehandelte Sitzungsschlüssel nicht aus dem Langzeitschlüssel rekonstruiert werden kann.
Keine Unterstützung für Authenticated Encryption (AEAD) Chiffren
Authenticated Encryption vereinfacht die Realisierung von Vertraulichkeit und Authentitizität und wird daher empfohlen.
Keine Unterstützung für Secure Renegotiation
Der Server ist nicht in der Lage eine sichere Neuaushandlung der SSL/TLS-Verbindung zu initiieren. Eine unsichere Neuaushandlung macht die Verbindung anfällig für Man-in-the-Middle-Angriffe.
Unterstützt client-initiierte SSL/TLS Renegotiation
Clients sollte es nicht erlaubt sein, eine Neuaushandlung der SSL/TLS-Verbindung zu initiieren. Diese Möglichkeit kann ausgenutzt werden, um den Server absichtlich zu überlasten und eine Denial of Service-Attacke (DoS) auszuführen.
Lokales Aussteller-Zertifikat nicht verfügbar
Nicht unterstützter Zertifikatszweck
Öffentlicher Schlüssel nicht dekodierbar
Der öffentliche Schlüssel (public key) dient dazu, einen sicheren Schlüsselaustausch zu ermöglichen. Er sollte daher dekodierbar sein.
Pfadlängenbeschränkung überschritten
Schwacher Diffie-Hellman Parameter
Ein schwacher Diffie-Hellman Parameter macht die den Schlüsseltausch anfällig für Attacken.
Selbstsigniertes Zertifikat
Selbst signierte Zertifikate sind nicht in der Lage die Authentizität zu bestätigen und daher nicht zu empfehlen.
Selbstsigniertes Zertifikat in der Zertifikatskette
Selbst signierte Zertifikate sind nicht in der Lage die Authentizität zu bestätigen und daher nicht zu empfehlen.
Ungültige CRL (Certificate Revokation List)
Die verwendete Zertifikatsperrliste ist ungültig.
Ungültige CRL (Certificate Revokation List) signature
Ungültige Zertifikatssignatur
Ungültiger Hostname
Das Zertifikat enthält nicht den Hostnamen des Zielsystems.
Ungültiges Ablaufdatum des Zertifikats
Das Ablaufdatum des verwendeten Zertifikats ist nicht korrekt.
Ungültiges CA-Zertifikat
Das von der Zertifizierungsstelle (Certificate Authority) ausgegebene Zertifikat ist ungültig.
Ungültiges Zertifikat
Ungültigen Zertifikaten wurde das Vertrauen entzogen. Sie sollten nicht mehr verwendet werden.
Unterstützt anonyme Chiffren
Anonyme Chiffren sind unsicher und sollten nicht verwendet werden.
Unterstützt für Poodle-Attacken anfällige Chiffren
Poodle-Attacken nutzen eine Sicherheitslücke in SSL 3.0, sodass verschlüsselte Informationen einer SSL 3.0 Verbindung offen gelegt werden können.
Unterstützt gefährdete Chiffren
Chiffren, die unsichere kryptographischer Verfahren beinhalten, sollten nicht angeboten werden.
Unterstützt nicht das neuste Protokoll (TLSv1.3)
Das neuste und sicherste Protokoll TLSv1.3 wird nicht unterstützt.
Unterstützt Null-Chiffren-Verschlüsselung
Eine Null-Chiffre bedeutet, es wird gar keine Verschlüsselung verwendet. Dies ist jenseits von Testzwecken niemals zu empfehlen.
Unterstützt RC4 Chiffren
RC4 gilt nicht mehr als ausreichend sicher und sollte daher nicht verwendet werden.
Unterstützt schwache SSL/TLS Chiffre (Algorithmus)
SSL/TLS-Chiffren legen fest, mit welchen Verschlüsselungsalgorithmen Schlüssel getauscht werden und wie die Kommunikation abgesichert wird. Werden unsichere SSL/TLS-Chiffren angeboten, ist die hergestellte Verbindung nicht mehr sicher.
Unterstützt schwache SSL/TLS Chiffre (Parameter)
SSL/TLS-Chiffren legen fest, mit welchen Verschlüsselungsalgorithmen Schlüssel getauscht werden und wie die Kommunikation abgesichert wird. Werden unsichere SSL/TLS-Chiffren angeboten, ist die hergestellte Verbindung nicht mehr sicher.
Unterstützt schwache SSL/TLS Handshake Parameter
Bei der Erstellung und Verifikation von Signaturen während des TLS-Handshakes wird ein unsicherer Signaturalgorithmus und/oder eine unsichere Hashfunktion verwendet.
Unterstützt SSL/TLS Kompression
Von der Verwendung der Kompression wird abgeraten, da sie SSL/TLS angreifbar macht (insbesondere für CRIME, Compression Ratio Info-leak Made Easy).
Verwendet bekannte Diffie-Hellman Primzahl
Die Verwendung einer unsicheren Diffie-Hellman Primzahl gefährdet die Verschlüsselung.
Zertifikat abgelehnt
Das verwendete Zertifikat verursacht Probleme und wird daher abgelehnt.
Zertifikat CRL nicht erreichbar
Zertifikat ist nicht vertrauenswürdig
Das verwendete Zertifikat wird als nicht vertrauenswürdig angesehen.
Zertifikat widerrufen
Das verwendete Zertifikat wurde widerrufen und sollte nicht mehr verwendet warden.
Zertifikatskette zu lang
Zertifikatssignatur nicht entschlüsselbar
Die Signatur eines Zertifikats ermöglicht es einem Dritten die Identität des Zertifikatsbesitzers zu bestätigen. Sie sollte daher lesbar sein.
Telnet
Keine Authentifizierung erforderlich
Telnet ist aufgrund seiner fehlenden Verschlüsselung nicht mehr zeitgemäß und sollte möglichst nicht mehr verwendet werden. Solltest du Telnet dennoch einsetzen, muss in jedem Fall eine Authenfizierungs-Methode genutzt werden.
Standardbenutzer mit Adminrechten
Ein Standardbenutzer sollte aus Sicherheitsgründen über keine Adminstrationsrechte verfügen.
Last updated