Was wurde überprüft?
Mit dem Pentest prüfte die Trovent Security sowohl otris cloud-Infrastruktur als auch die Datenschutzmanagement-Software otris privacy inklusive aller Erweiterungen (E-Learning, Melde Workflow, Datenschutzverletzung, Anfrage Workflow, ISMS). Schwerpunkt der Überprüfung der otris cloud-Infrastruktur war die Suche nach offenen Netzwerk-Ports und Fehlkonfigurationen. Wichtigste Grundlage für die Überprüfung der otris privacy Software waren die „OWASP Top 10“.
OWASP Top 10
Die „OWASP Top 10“ sind eine Dokumentation des Open Web Application Security Projects zu den zehn kritischsten Sicherheitsrisiken für Webanwendungen. In der aktuellen Fassung des Dokuments sind das folgende mögliche Angriffspunkte:
- Broken Access Control: Eine Schwachstelle, bei der authentifizierte Nutzer Aktionen außerhalb ihrer Berechtigung ausführen können. Das kann zu unbefugtem Zugriff auf sensible Informationen und/oder zu Änderung bzw. Zerstörung der Daten führen.
- Cryptographic failures: Fehlende, veraltete oder fehlerhafte Kryptographie (Ver- und Entschlüsselungsverfahren) kann zu einer Offenlegung sensibler Daten führen.
- Injections: Eine Schwachstelle, die Angreifer nutzen, um Daten einzufügen (injizieren), die den Betrieb der Anwendung ändern und bestimmte Befehle ausführen.
- Insecure Design: Bezieht sich auf Mängel in Design und Architektur der Anwendung. Dazu zählen z.B. Security Controls und Business Risk Profilings.
- Security Misconfiguration: Schwachstellen, die durch falsch konfigurierte Sicherheitskontrollen entstehen. Das können z.B. falsch konfigurierte Berechtigungen für Cloud-Dienste sein.
- Vulnerable and Outdated Components: Schwachstellen, die durch Software-Komponenten entstehen, die z.B. Sicherheitslücken enthalten, nicht aktualisiert werden oder nicht kompatibel sind.
- Identification and Authentication Failures: Schwachstellen im Anmeldeprozess wie fehlender Schutz gegen automatisiertes Ausfüllen, das Akzeptieren von schwachen Passwörtern oder keine bzw. unwirksame Multi-Faktor-Authentifizierung.
- Software and Data Integrity Failures: Schwachstellen, die durch fehlende Integritätsprüfung bei Software-Updates entstehen. Beispiel: Update einer Bibliothek aus nicht überprüfter und nicht verifizierter Quelle.
- Security Logging and Monitoring Failures: Schwachstellen, die durch unzureichendes Logging und Monitoring entstehen. Die fortlaufende Protokollierung und Analyse sicherheitsrelevanter Vorgänge ist ein wichtiger Ansatzpunkt, Angriffe auf das System zu erkennen.
- Server-Side Request Forgery: Schwachstelle, die auftritt, wenn eine Webanwendung die vom Nutzer angegebene URL beim Abrufen einer entfernten Ressource nicht validiert.
