Jedes Unternehmen hat sie - keiner mag sie!

Transkript

1 Jedes Unternehmen hat sie - keiner mag sie! Tipps zum Umgang mit Passwörtern [23. Cyber-Sicherheits-Tag] secion GmbH Tel Paul-Dessau-Straße 8 Fax D Hamburg Mail info@secion.de

2 Vorstellung Patrick Jung - Leiter Professional Services- Aufgabenfeld Projektmanagement Beratung IT-Security Awareness-Schulungen IT-Security-Audits Social-Engineering Organisatorische IT-Sicherheit Notfall-Management

3 Wie sollte man mit Passwörtern im Unternehmen umgehen?

4 Tipps zum Umgang mit Passwörtern Vermeiden Sie Standard-Passwörter Passwörter wie oder passwort1 sind extrem unsicher und leicht zu knacken. Keine Verwendung von persönlichen Informationen Beispiele: Der Name Ihres Haustieres oder enger Verwandter Geburtsdatum, Hochzeitstag etc. Passwörter nicht physisch speichern Bewahren Sie Passwörter oder PINs niemals in Ihrer Geldbörse o.ä. auf. Einfache Passwörter sind einfacher zu knacken!

5 Tipps zum Umgang mit Passwörtern Was macht ein Passwort sicher? Man findet es nicht im Wörterbuch Es enthält keine Namen bspw. von Verwandten Es besteht aus mehr als 8 Zeichen (BSI Empfehlung min. 12 Zeichen) Es enthält Groß-, Kleinbuchstaben, Zahlen und Sonderzeichen Nicht nur ein Passwort für verschiedene Systeme verwenden Passwörter nur verschlüsselt ablegen Passwörter nicht an Dritte weitergeben Auf welche Weise merke ich mir ein komplexes Passwort? 1. Man bildet einen Satz und nimmt die Anfangsbuchstaben: Secion mein IT-Sicherheitsdienstleister aus Hamburg 2. Man ergänzt diesen Satz mit Sonderzeichen und Zahlen: Secion mein 1. IT-Sicherheitsdienstleister aus #Hamburg Mein Passwort: Sm1IT-Sa#H

6 Tipps zum Umgang mit Passwörtern Passwort-Aufbau Erstellen Sie ein Grundpasswort und nutzen Sie dieses zum Aufbau von unterschiedlichen Passwörtern Grundpasswort anhand Ihres Lieblingssongs Grandmaster Flash The Message 2. Zeile des Refrains: Imtntlmh Erweiterung durch Sonderzeichen und/oder Zahlen: 1mtnt!mh Jetzt ändert man das Grundpasswort anhand der Nutzung ab: Beispiele: Ebay = Eb1mtnt!mhay Amazon= Am1mtnt!mhzo

7 Tipps zum Umgang mit Passwörtern Absicherung von Passwörtern Technisch Richtlinien erlassen: für die Komplexität und Länge von Passworten Änderung des Passwortes erzwingen, bspw. halbjährlich Einsatz von Software zur Passwortverwaltung Masterpasswort muss entsprechend stark sein Alle Passwörter werden verschlüsselt gespeichert Passwörter können generiert werden Volltextsuche innerhalb aller Einträge möglich

8 Tipps zum Umgang mit Passwörtern Absicherung von Passwörtern Was ist eine 2-Faktor Authentifizierung? Es wird zusätzlich zum Passwort ein zweiter Faktor zur Anmeldung benötigt. Zugänge von Extern (VPN, SSL-Gateway) bspw. mit OTP, SMS oder Token absichern. Smartcard Authentifizierung mit Yubikey nutzen, hier wird ein Passwort und Zertifikate genutzt. Wer bietet eine 2-Faktor Authentifizierung an? Einkaufsplattformen wie ebay, Amazon, etc. Banken bzw. Online Banking oder auch paypal Übersicht auf der Webseite:

9 Tipps zum Umgang mit Passwörtern Absicherung von Passwörtern Wie funktioniert eine 2-Faktor Authentifizierung?

10 Tipps zum Umgang mit Passwörtern Wie kann ich Adressen oder Benutzerdaten prüfen? Eingabe bspw. der Adresse und Überprüfung gegen bekannte Passwort-Leaks(Adobe, LinkedIn etc.). Es wird sofort angezeigt, ob der Account von einem Datendiebstahl betroffen ist. Folgende Webseite kann zur Überprüfung genutzt werden:

11 Tipps zum Umgang mit Passwörtern Was passiert mit gestohlenen Zugangsdaten? Paypal Accounts kaufen

12 Angriffe auf Passwörter

13 Angriffsszenario I Ausgangssituation: Auf jedem PC ist ein User zur Softwareverteilung mit Administratorenrechten eingerichtet Ziel: Entschlüsseln von Passwörtern aus der lokalen Windows User-Datenbank Auslesen der Passwort-Hashes Entschlüsseln der Passwörter via Rainbow-Tables Eingesetztes Tool: ophcrack

14 [LIVE HACKING] Passwort

15 Funktionsweise Rainbowtables

16 Angriffsszenario II: ZIEL: Administratorrechte auf einem PC im Unternehmen erlangen PC mit einer Boot-CD / USB-Stick starten Passwortabfrage umgehen Anlegen eines lokalen Administrator-Accounts Eingesetztes Tool KON-BOOT

17 Übersicht über die verwendeten Werkzeuge Tools des Angreifers KON-BOOT piotrbania.com/all/kon-boot/

18 Wie schützt man sich vor solchen Angriffen? Technische Maßnahmen Nicht auf allen Clients/Servern identische lokale Administratoren verwenden Festplatten der PCs und Laptops verschlüsseln 2-Faktor Authentifizierung nutzen Organisatorische Maßnahmen Regelmäßiges Überprüfen von Gruppenmitgliedschaften im Active-Directory Zuweisung von Passworten anhand einer Passwort-Tabelle und Rechnernamen Trennung von User Accounts und Administratorrechten

19 Wie finde ich Steuerungsanlagen über Suchmaschinen im Internet und nutze unsichere Zugänge aus?

20 Wie finde ich Steuerungsanlagen über das Internet?

21 Wie finde ich Steuerungsanlagen über das Internet? Google hilft weiter: Suche nach Webseitentitel Fritzbox und der Datei login.lua in der URL intitle:fritz!box inurl:login.lua

22 Wie finde ich Steuerungsanlagen über das Internet? Google hilft weiter: Suche nach Smarten Thermostaten intitle:"status & Control" + "Thermostat Status" +"HVAC Settings"

23 Wie finde ich Steuerungsanlagen über das Internet? Google hilft weiter: Suche nach Smarten Warmwasseranlagen der Firma Armstrong intitle:armstrong Hot Water System Monitoring

24 Wie finde ich Steuerungsanlagen über das Internet? Google hilft weiter: Suche nach Siemens Steuerungsanlagen inurl:/portal/portal.mwsl

25 Vielen Dank für Ihre Aufmerksamkeit! secion GmbH Tel Paul-Dessau-Straße 8 Fax D Hamburg Mail info@secion.de

26 Copyright 2018 Urheberrechtshinweis Alle Inhalte dieser Präsentation, insbesondere Texte, Fotografien und Grafiken, sind urheberrechtlich geschützt. Das Urheberrecht liegt, soweit nicht ausdrücklich anders gekennzeichnet, bei der secion GmbH. secion GmbH Tel Paul-Dessau-Straße 8 Fax D Hamburg Mail info@secion.de