Rechteausweitung
Rechteausweitung - Ausnutzung eines Systemfehlers, zur Erhöhung von Zugriffsrechten
Beschreibung
Ausnutzung eines Computerbugs bzw. eines Konstruktions- oder Konfigurationsfehlers einer Software
- Rechteausweitung, Rechteerhöhung, Privilegienerweiterung oder Privilegien-Eskalation
- Ziel
Benutzer oder Anwendung Zugang zu Ressourcen verschaffen, deren Nutzung mit eingeschränkten Rechten nicht möglich wäre
Hintergrund
Viele Computersysteme sind als Mehrbenutzersysteme ausgelegt
- Enthalten ein Konzept für das Management von Zugriffsrechten
- Rechteausweitung bedeutet, ein Nutzer erhält Rechte, die er normalerweise nicht hat
Diese Berechtigungen können verwendet werden, um
- Dateien zu löschen, private Informationen anderer Nutzer abzurufen und zu verändern
- unerwünschte unerwünschter Programme installieren
Privilegien-Eskalation tritt auf, wenn
- Fehler in dem betreffenden System enthalten sind
- die eine Umgehung des Sicherheitskonzepts möglich machen
Vertikale Rechteausweitung
- Erhöhung von Zugriffsrechten
- durch einen Benutzer oder eine Anwendung
- mit dem Ziel, Ressourcen, die eigentlich höher privilegierten Nutzern
- meist aus anderen Benutzergruppen, vorbehalten sind
- nutzen zu können
- Beispiel
- Installation einer Treibersoftware durch einen Benutzer, der sich administrative Rechte verschafft hat
Horizontale Rechteausweitung
Ein normaler Benutzer greift auf Funktionen oder Inhalte, reserviert für andere normale Benutzer zu
- Beispiel
- Benutzer A und Benutzer B gehören derselben Benutzergruppe an, aber Benutzer B verfügt zusätzlich über das Recht, auf das Netzwerk zugreifen zu dürfen
- Durch horizontale Rechteausweitung verschafft sich auch Benutzer A dieses Recht
Vertikale Rechteausweitung
Diese Art der Privilegienerweiterung tritt auf, wenn der Benutzer oder der Anwendungsprozess in der Lage ist, sich Administrator- oder gar Systemrechte zu verschaffen, evtl. sogar durch Kerneloperationen
Strategien zur Schadensbegrenzung
Folgenden Strategien verringern das Risiko, Opfer einer Privilegienerweiterung zu werden:
- Data Execution Prevention
- Address Space Layout Randomization
- Pointer Authentication (PAC)
- Generelle Deaktivierung der Administrator-SID für bestimmte Anwendungen
- Kernelmodus-Code sollte nur ausgeführt werden, wenn er digital signiert wurde
- Einsatz aktueller Antivirus-Software
- Regelmäßige Software-Updates
- Verwendung von Compilern bei der Softwareentwicklung, die auf Pufferüberläufe prüfen
- Verschlüsselung von Software und/oder Firmware-Komponenten
- Verringerung der Rechte eines privilegierteren Benutzers (z. B. Administrator), least privilege