Kann der Administrator ein Sicherheitsproblem darstellen oder nicht? An dieser Frage entbrennt derzeit ein kleiner Streit zwischen dem Anbieter von Datenbanksicherheitslösungen Sentrigo und Microsoft. Offenbar legt Microsofts SQL Server die zur Anmeldung verwendeten Passwörter im Klartext im Hauptspeicher ab – von wo sie der Admin wieder auslesen kann.
Da Anwender die gleichen Passwörter oftmals für verschiedene Systeme verwenden, würde man einem Angreifer das Kompromittieren weiterer Anwendungen unnötig leicht machen, moniert Sentrigo. Beim SQL Server 2000 und 2005 können Angreifer die Schwachstelle aus der Ferne ausnutzen. Beim SQL Server 2008 ist das MS-Tool DBCC Utility zum Auslesen des Speichers nicht mehr verfügbar.
Microsoft streitet die Möglichkeit nicht ab, argumentiert aber, dass der Angreifer administrativen Zugriff auf das System haben müsse, um den Speicher auszulesen. Daher sei es keine Schwachstelle. Nach Ansicht der Redmonder habe man gegen böswillige Administratoren ohnehin wenig Chancen, Manipulationen oder Spionage zu verhindern.
Allerdings muss es gar nicht der Admin selbst sein, der die Passwörter ausspäht. Es genügt, wenn sein Passwort ausgespäht oder geknackt wurde, beispielsweise über eine SQL-Injection-Lücke in der auf die Datenbank aufsetzenden Anwendung.
Nach Meinung von Sentrigo läuft es ohnehin den üblichen Security Best Practices zuwider, dass ein Administrator die Passwörter einsehen kann – egal ob nun gut- oder böswillig. Oftmals verbiete in Unternehmen auch ein Rollen- und Rechtekonzept, dass der Admin dies dürfe beziehungsweise könne. Die meisten Anwendungen legen Passwörter daher auch als Hashes auf der Festplatte und im Speicher ab.
Abhilfe gegen das Ausspähen auf MS-SQL-Servern verspricht das Tool
Passwordizer von Sentrigo, das die Passwörter im Speicher löschen soll. Neben dem Tool gibt es eine FAQ zur Bedienung. Laut Microsoft ist die SQL-Authentifizierung, bei der Passwörter im Speicher landen, aber ohnehin standardmäßig deaktiviert. Stattdessen nutzt der SQL Server die Windows-Authentifizierung, die das Problem nicht aufweist.
Siehe dazu auch:
*
SQL Server information disclosure non-vulnerability, Blogeintrag von Microsoft
Quelle :
www.heise.de
