?Neue Sicherheitsmängel in Microsoft RD Web?
ID: 1138472
Wie manche Nutzer die Zwei-Faktor-Authentifizierung falsch einsetzen - ein Kommentar von Andy Kemshall, SecurEnvoy
Microsoft RD Web mit Zwei-Faktor-Authentifizierung von SecurEnvoy(firmenpresse) - Viele Unternehmen nutzen Microsoft Remote Desktop Web (RD Web), um ihre Zugriffe auf Web- und Serverressourcen zu verwalten. Als Absicherung wird eine Zwei-Faktor-Authentifizierung (2FA) empfohlen. Diese setzt sich herkömmlicherweise aus den Komponenten Benutzername plus Passwort und einem ergänzenden Passcode zusammen. Zuletzt gab es jedoch in RD Web-Umgebungen vermehrt Vorfälle, bei denen Dritte ohne zusätzlichen Passcode Zugriff auf Webapplikationen erlangten. Wie konnten sie die eigentlich sichere 2FA aushebeln, und wie sollen sich RD Web-Nutzer in Zukunft schützen?
Werfen wir zunächst einen Blick auf den Firmenalltag und darauf, wie eine RD Web-Anmeldung normalerweise abläuft. Als Erstes muss sich ein Nutzer in einem Microsoft RD Web-Interface via 2FA für den Zugriff auf eine Webseite legitimieren. Anschließend folgt eine zweite Authentifizierung, in der Regel via Single Sign On (SSO), um auf den RD Gateway als Haupt-VPN zugreifen zu dürfen. Der RD Gateway empfängt alle remote versendeten Daten von den Remote Desktop Protocol (RDP)-Client-Nutzern. Jetzt kommt der sogenannte RD Connection Broker ins Spiel, der den Nutzer mit einem Backend-RD Session Host verbindet. Danach ist der Applikationszugriff freigeschaltet.
Doch im Zusammenspiel von RD Web und herkömmlichen 2FA-Servern tauchten enorme Sicherheitslücken auf. Grund dafür ist die fehlende Verbindung des 2FA-Servers zum Microsoft RD Gateway-Server. User können problemlos eine Remote Desktop Protocol (RDP)-Datei erstellen oder einen vollen Desktop-Zugriff erreichen, um sich dadurch direkt mit dem RD Gateway zu verbinden - ohne sich zuvor mit RD Web verbinden zu müssen. Dadurch umgehen Dritte die 2FA-Sperre und greifen direkt auf die RD-Webseite und das Gateway zu. Zur Anmeldung muss man hier lediglich seinen Benutzernamen und sein Passwort verwenden. Da der RD Gateway keine herkömmliche, sichere Zwei-Faktor-Authentifizierung unterstützt, stellt dies für Unternehmen und Organisationen ein Sicherheitsrisiko dar.
Wo der Microsoft-Schutz aufhört ...
Um die 2FA-Umgehungstaktiken zu stoppen, wird Firmen empfohlen, einen Windows Logon Agent (2FA) auf jedem RD Session Host zu installieren. Doch dieses eigentliche Sicherheitsplus erzeugt ein weiteres großes Problem: Jeder Backend-RD Session Host erfordert nun eine separate Zwei-Faktor-Authentifizierung. Wenn der Nutzer nun verschiedene Applikationen startet, wird der RD Connection Broker womöglich verschiedene Session Hosts dafür auswählen. Das heißt, Nutzer wären gezwungen, sich bei der täglichen Arbeit unzählige Male via 2FA zu legimitieren, was nicht nur zu frustrierten Gesichtern, sondern auch zu langsamen Arbeitsabläufen führen wird. Zudem ist dies ein schlechtes Security-Konzept, weil versucht wird, alle internen Türen zu schließen, während die Haustür die ganze Zeit offensteht.
SecurEnvoy (http://www.securenvoy.de/products/securaccess/) liefert als erster 2FA-Anbieter eine richtige RD Gateway-Integration. Somit bietet man die einzige Lösung, die die Sicherheit der 2FA wiederherstellt und die genannten Probleme mit Microsoft RD Gateways überwindet. Installieren Firmen die SecurEnvoy-Lösung im RD Web und auf den Gateways, wird die gesamte Kommunikation über RD Web und den RD Gateway geroutet und gleichzeitig vom SecurEnvoy-Agent kontrolliert. Dies gelingt, weil die SecurEnvoy-Lösung nun direkt mit dem RD Gateway- und Active Directory-Server verbunden ist und die Sicherheitsmechanismen im ganzen System greifen können. Dadurch ist jeder Anwender in der Lage, die 2FA wieder für alle Remote Desktop Web-Sitzungen (Sessions) uneingeschränkt zu nutzen. Das System ist jetzt zu 100 % abgesichert und kann zu keiner Zeit mit einem herkömmlichen Anmeldevorgang (Benutzername plus Passwort) umgangen werden.Weitere Infos zu dieser Pressemeldung:
Themen in dieser Pressemitteilung:
Unternehmensinformation / Kurzprofil:
Über SecurEnvoy:
SecurEnvoy ist der Erfinder patentierter tokenloser Lösungen für die Zwei-Faktor-Authentifizierung. Millionen Anwender weltweit profitieren bereits vom schnellsten mobilen Authentifizierungsprozess, der kein Token benötigt. Die Methode setzt auf Endgeräte wie Mobiltelefone, Smartphones, Tablets und Laptops, um den Passcode für die Identifizierung bereitzustellen. Sogar ohne Mobilfunk- oder Internetverbindung kann der User den Code mittels Voice Call empfangen oder sich über die One Swipe-Technologie ausweisen, die auf einem QR-Code-Scan basiert. Teil der Produktpalette des Unternehmens mit Sitz in London (UK), Frankfurt (D) und San Diego (USA) ist die Lösung SecurAccess. Die Administrations-Tools lassen sich unkompliziert in bestehende IT-Infrastrukturen integrieren und ermöglichen die Einbindung von bis zu 100.000 Usern pro Stunde. Neben der Auszeichnung von SecurAccess als ?Best Buy? durch das SC Magazine wurde SecurEnvoy im Gartner Magic Quadrant als ?Visionary? eingestuft. SecurEnvoy hat sich einen Kundenstamm in vertikalen Märkten aufgebaut, darunter Banken, Finanzen, Versicherungen, Behörden, Produktion, Marketing, Einzelhandel, Telekommunikation, Charity, Justiz und Baugewerbe. Dabei arbeitet der Authentifizierungsexperte mit Partnern wie AEP, Astaro, Cisco, Checkpoint, Citrix, Juniper, F5, Palo Alto, Sophos etc. zusammen. Weitere Informationen unter www.securenvoy.de.
Sprengel & Partner GmbH
Olaf Heckmann
Nisterstrasse 3
56472 Nisterau
administration(at)sprengel-pr.com
02661-912600
http://www.sprengel-pr.com
Datum: 21.11.2014 - 09:25 Uhr
Sprache: Deutsch
News-ID 1138472
Anzahl Zeichen: 3948
Kontakt-Informationen:
Ansprechpartner: Steve Watts
Stadt:
Frankfurt am Main
Telefon: 02661-912600
Kategorie:
Sonstiges
Diese Pressemitteilung wurde bisher 578 mal aufgerufen.
Die Pressemitteilung mit dem Titel:
"?Neue Sicherheitsmängel in Microsoft RD Web?"
steht unter der journalistisch-redaktionellen Verantwortung von
SecurEnvoy Limited (Nachricht senden)
Beachten Sie bitte die weiteren Informationen zum Haftungsauschluß (gemäß TMG - TeleMedianGesetz) und dem Datenschutz (gemäß der DSGVO).
Frankfurt/London, 19. Januar 2015 - Das führende Forschungs- und Beratungsunternehmen im Bereich Informationstechnologie, Gartner, Inc., hat kürzlich das neue "Magic Quadrant for User Authentication" (Ant Allan, Anmol Singh, Eric Ahlm; 1. Dezember 2014) publiziert. Dabei wurde SecurEnvo
Sieben Milliarden Helferlein für die tokenlose Zwei-Faktor-Authentifizierung ...
Frankfurt/London, 19. November 2014 - Laut der Internationalen Fernmeldeunion (ITU) gibt es in diesem Jahr so viele Mobiltelefone wie Menschen auf der Welt: etwa sieben Milliarden. Die Geräte haben in den vergangenen Jahrzehnten das Kommunikationsverhalten und die Erreichbarkeit wesentlich beeinflu
Bash Bug kann bei klassischem Passwortschutz nur müde lächeln ...
Wie leicht es Hacker haben, sensible Anmeldedaten von Unternehmen zu stehlen, bewies jüngst die Sicherheitslücke Bash Bug, auch Shellshock genannt. Firmen, die sich lediglich auf ein Passwort zum Login verlassen, öffnen Malware den Weg ins Netzwerk. SecurEnvoy (http://www
Weitere Mitteilungen von SecurEnvoy Limited
UBS Euroinvest Immobilien weiter geschlossen ? Möglichkeiten der Anleger ...
http://www.grprainer.com/UBS-Euroinvest-Immobilien.html Seit Anfang Juli hat der offene Immobilienfonds UBS Euroinvest Immobilien die Rücknahme der Anteilsscheine ausgesetzt. Anleger können ihre Ansprüche auf Schadensersatz prüfen lassen. GRP Rainer Rechtsanwälte Steuerberater, Köln, Berlin
Metabo auf der BAU: Bauen und Sanieren mit System ...
Metabo startet auf der Leitmesse BAU im Januar mit zahlreichen Neuheiten eine groß angelegte Offensive im Geschäftsfeld Bauen und Sanieren. Vom 19. bis 24. Januar präsentiert der Nürtinger Hersteller in Halle B6 am Stand 530 Elektrowerkzeuge, Zubehör und Staubabsaugsysteme zum Abbrechen, Vorber
Zahnärztliche Abrechnung für Einsteiger ...
Die Deutsche Fortbildungsakademie Heilwesen bietet für Einsteiger in die zahnärztliche Abrechnung den 3-tägigen Basis-Workshop bundesweit an. Die Seminarorte sind Dresden, Karlsruhe, München, Köln und Berlin. Der 3-tägige Basis-Workshop zur zahnärztlichen Abrechnung richtet sich an zahnä
White Paper informiert über E-Mail-Archivierung mit PDF/A ...
Berlin, 21. November 2014. "Sichere Archivierung von E-Mails im PDF/A-Format" lautet der Titel eines White Papers, das die LuraTech Europe GmbH kostenfrei zum Download auf ihrer Webseite (www.luratech.com) zur Verfügung stellt. Dieses geht auf die unterschiedlichen Konvertierungsszenarien
