Expert Talk: "Close the loop! Wie aus Produktdaten Product Experience wird" Video-Podcast ansehen

Product Experience statt simpler Beschreibungstexte: Wer mit Produktinformationen arbeitet und dabei Nutzer-Feedback und Channelsignale berücksichtigt, kann ein fortschrittliches Kundenerlebnis gestalten. Wie das genau funktioniert, erklärt Contentserv-Chef Michael Kugler im iBusiness Expert Talk. Video-Podcast ansehen

Dossier Paid Content Zum Dossier Paid Content

Wer nutzt Bezahlinhalte im Internet? Welche Inhalte werden bevorzugt gekauft und abonniert? Wie hoch ist die Ausgabebereitschaft für Paid-Content?
Zum Dossier Paid Content

SSO offen: Single-Sign-On-Systeme gehackt

von Joachim Graf

10.08.2012 Als praktisches Mittel gegen die Flut von Mehrfachanmeldungen gilt 'Single Sign-On'. Hier weist sich der Nutzer genau einmal aus, alle weiteren Authentifizierungen erfolgen automatisch. Dass die Einmal-Anmeldung jedoch längst nicht so sicher ist wie bislang angenommen, zeigen jetzt Forscher vom Horst Görtz Institut für IT-Sicherheit der Ruhr-Universität Bochum: Ungefähr 80 Prozent der untersuchten Systeme wiesen massive Sicherheitslücken auf. Auch CMS sind betroffen.

Viele SSO-Systeme setzen auf die weit verbreitete Security Assertion Markup Language (SAML). Die Identitätsinformationen werden in einer SAML-Nachricht gespeichert und durch eine digitale Signatur geschützt. Doch die Bochumer Forscher fanden einen Weg, diesen Schutz zu umgehen. "Mit einem neuartigen XML Signature Wrapping-Angriff haben wir sämtliche Sicherheitsfunktionen der digitalen Signatur komplett ausgehebelt", berichtet Prof. Dr. Jörg Schwenk

vom Lehrstuhl für Netz- und Datensicherheit. "Dadurch konnten wir uns jede beliebige Identität aneignen und uns sogar als Systemadministratoren ausgeben".

Die Wissenschaftler testeten 14 weit verbreitete SAML-Anbieter und -Systeme. Davon wiesen 12 kritische Lücken auf. Anfällig waren unter anderem der Cloud-Anbieter Salesforce

, das IBM DataPower Security Gateway

, Onelogin

(benutzt in Joomla

, Wordpress

, SugarCRM

und Drupal

) sowie das Framework OpenSAML

(Shibboleth

und SuisseID

).

Gegenmaßnahmen haben die Forscher nun in einem Paper vorgeschlagen

Neuer Kommentar Kommentare:

Schreiben Sie Ihre Meinung, Erfahrungen, Anregungen mit oder zu diesem Thema. Ihr Beitrag erscheint an dieser Stelle.