Identifizierung kompromittierter SSH-Hosts im Internet

Secure Shell (SSH) ist ein zentrales Werkzeug für die Fernadministration von Systemen in Wissenschaft, Industrie und öffentlicher Infrastruktur. Gelingt es allerdings bösartigen Angreifern, die hierzu erforderlichen Authentifizierungsmechanismen zu umgehen, dann können sie vollständigen Zugriff auf ein System erlangen. Aufgrund seiner weiten Verbreitung und der potenziell gravierenden Auswirkungen ist SSH ein häufiges Ziel von Angriffen, insbesondere zur Etablierung von langfristigem Zugriff.

Eine typische Persistenzmethode besteht darin, einen öffentlichen SSH-Schlüssel auf einem kompromittierten System zu hinterlegen, um zukünftigen Zugriff ohne Passwort zu ermöglichen [1]. Da diese Methode reguläre Anmeldungen nicht beeinträchtigt, bleibt sie oft unentdeckt.

Unsere Arbeit zeigt, wie ein spezifischer Aspekt der SSH-Authentifizierung genutzt werden kann, um diese Form der Persistenz zu erkennen. In Kombination mit internetweiten Messungen wird daraus ein leistungsfähiges Instrument zur Aufdeckung kompromittierter Systeme.

Funktionsweise der Technik

Die SSH-Authentifizierung folgt einem vorhersehbaren Ablauf: Wenn ein Client einen öffentlichen Schlüssel anbietet, prüft der Server, ob dieser Schlüssel in der Liste der autorisierten Schlüssel für das angefragte Benutzerkonto enthalten ist [2]. Ist der Schlüssel autorisiert, signalisiert der Server seine Akzeptanz. Anschließend muss der Client den Besitz des zugehörigen privaten Schlüssels durch eine kryptographische Signatur nachweisen. Ist der Schlüssel nicht autorisiert, wird er vom Server unmittelbar abgelehnt.

Dieses einfache „Akzeptieren oder Ablehnen“-Verhalten erzeugt ein klares Signal. Angreifer verwenden häufig dieselben öffentlichen Schlüssel auf vielen Systemen, da die Generierung und Verwaltung tausender individueller Schlüssel operativ kaum skalierbar sind. Akzeptiert ein Server einen öffentlichen Schlüssel, der aus früheren Angriffen bekannt ist, deutet dies daher stark darauf hin, dass Angreifer diesen Schlüssel auf dem betreffenden Host installiert haben.

Messungen im Internetmaßstab

Um dieses Phänomen global zu untersuchen, arbeiten wir mit einem Threat-Intelligence-Unternehmen zusammen und erhalten einen Satz öffentlicher Schlüssel, die aus Malware-Analysen und Honeypots als bösartig bekannt sind [1]. Diese Schlüssel bieten wir anschließend Servern im gesamten Internet an und erfassen, ob sie akzeptiert werden.

Dieser Ansatz ermöglicht es, Systeme zu identifizieren, auf denen Angreiferschlüssel installiert wurden, ohne über das bloße Anbieten der Schlüssel hinauszugehen. Wir benötigen keine privaten Schlüssel zur Erstellung kryptographischer Signaturen und melden uns insbesondere auf keinem System an. Die Methode entspricht etablierten Prinzipien verantwortungsvoller, groß angelegter Internetmessungen [3, 4].

Ergebnisse

Unsere Messungen identifizierten weltweit tausende Hosts, die mit Angreifern in Verbindung stehende Schlüssel akzeptierten. Diese Systeme verteilten sich über Hosting-Anbieter, Unternehmensnetzwerke, akademische Einrichtungen und sogar kritische Infrastrukturen.

Mehrere Fälle haben wir detailliert analysiert. In einem Beispiel akzeptierten mehrere Systeme innerhalb desselben Netzwerkumfelds denselben Angreiferschlüssel, was auf eine koordinierte Verwaltung der Systeme hindeutet und weniger auf zufällige Einzelkompromittierungen. Nach der Benachrichtigung des zuständigen nationalen Computer Security Incident Response Teams (CSIRT) bestätigte eine Untersuchung das Vorhandensein bösartiger Aktivitäten. Insgesamt reagierten viele Betreiber auf unsere Meldungen. Folgemessungen zeigten einen deutlichen Rückgang kompromittierter Hosts, was belegt, dass diese Methode die Behebung von Sicherheitslücken sinnvoll unterstützen kann.

Warum die Methode robust ist

Ein wesentlicher Vorteil dieser Technik besteht darin, dass sie für Angreifer schwer zu umgehen ist. Theoretisch könnten sie zwar für jeden kompromittierten Host einen einzigartigen Schlüssel verwenden, doch aufgrund der Komplexität der Verwaltung einer großen Anzahl von Schlüsseln wäre dies schnell unpraktisch. In der Praxis bleibt die Wiederverwendung von Schlüsseln daher verbreitet – und genau diese Wiederverwendung erzeugt Muster, die sich im großen Maßstab erkennen lassen.

Auswirkungen und allgemeine Bedeutung

Die Identifizierung kompromittierter Systeme ist lediglich der erste Schritt. Durch die Zusammenarbeit mit Organisationen, die Sicherheitsberichte an Betreiber und nationale Computer Emergency Response Teams (CERTs) weiterleiten, konnten wir Messdaten in konkrete Abhilfemaßnahmen überführen. Der Rückgang kompromittierter Systeme in späteren Messungen unterstreicht den Mehrwert der Verknüpfung wissenschaftlicher Forschung mit operativen Maßnahmen.

Diese Arbeit zeigt, dass eine sorgfältige Analyse etablierter Protokolle neue Möglichkeiten zur Verbesserung der globalen Internetsicherheit eröffnen kann. Selbst ausgereifte Technologien wie SSH können Verhaltenssignale enthalten, die, wenn sie systematisch verstanden und gemessen werden, groß angelegte Sicherheitsprobleme aufdecken.

Literaturhinweise