MS02-001: Erschleichung umfassenderer Berechtigungen durch gefälschte SID in Windows 2000

Microsoft Windows NT und Windows 2000 schützen Systemressourcen durch so genannte Zugriffsteuerungslisten (Access Control Lists = ACLs). ACLs sind Listen mit Sicherheitskennungen (SIDs) und Zugriffsrechten, die einem bestimmten Sicherheitsprincipal gewährt wurden. SIDs beziehen sich immer auf eine bestimmte Domäne. Die SID eines Benutzers oder einer Gruppe basiert immer auf der SID der Domäne und identifiziert den Benutzer bzw. die Gruppe eindeutig. ACLs werden für eine Ressource angelegt, um zu definieren, welche Benutzer und Gruppen auf die Ressource zugreifen dürfen und welche Zugriffsstufe dabei für sie gilt. Wenn ein Benutzer versucht, auf die Ressource zuzugreifen, vergleicht Windows die Liste der SIDs in der ACL mit der Liste der SIDs, die den Benutzer und dessen Zugehörigkeit zu einer bestimmten Gruppe identifizieren, und gewährt oder verweigert dann den Zugriff auf der Basis dieses Vergleichs.

Wenn sich ein Benutzer bei einer Domäne anmeldet, werden die SIDs für Konto und Gruppenzugehörigkeit des Benutzers durch einen Domänencontroller in der Kontendomäne des Benutzers ermittelt. Die SID der vertrauenswürdigen Domäne, die relative ID (RID) für das Konto des Benutzers, die RID der primären Gruppe des Benutzers und die SIDs für alle sonstigen Gruppenzugehörigkeiten werden in einer einzigen Autorisierungsdatenstruktur zusammengefasst und an den anfordernden Computer übermittelt. Wenn auf dem authentifizierenden Domänencontroller Windows 2000 ausgeführt wird, prüft dieser außerdem, ob für den Benutzer in dessen Attribut SID-Verlauf SIDs angelegt sind und nimmt diese SIDs dann ebenfalls in die Autorisierungsdaten auf.

Falls sich der Computer, der die Benutzerauthentifizierung anfordert, in einer anderen Domäne befindet als das Konto des Benutzers, erfolgt die Authentifizierung unter Verwendung einer Vertrauensstellung. Eine solche Vertrauensstellung wird zwischen Windows NT- oder Windows 2000-Domänen erstellt, um die Authentifizierung für den Benutzer zu erleichtern (insbesondere durch die Ermöglichung einzelner Anmeldevorgänge). Wenn eine Domäne einer anderen vertraut, bedeutet dies, dass die vertrauende Domäne der vertrauenswürdigen Domäne erlaubt, die Benutzer (oder Computer) zu authentifizieren, deren Konten sie verwaltet. Während der Authentifizierung akzeptiert der Computer in der vertrauenden Domäne die Autorisierungsdaten, die ihm durch den vertrauenswürdigen Domänencontroller übermittelt werden. Für den Computer, der die Authentifizierung verlangt, gibt es keine Möglichkeit, die Gültigkeit der Autorisierungsinformationen zu überprüfen; er akzeptiert die Daten als zutreffend, weil es die erwähnte Vertrauensstellung zwischen den beiden Computern gibt.

Hier gibt es eine Sicherheitsanfälligkeit, weil die vertrauende Domäne nicht überprüft, ob die vertrauenswürdige Domäne tatsächlich alle SIDs in den Autorisierungsdaten autorisiert hat. Falls eine der SIDs in der Liste einen Benutzer oder eine Sicherheitsgruppe identifiziert, der/die nicht zu der vertrauenswürdigen Domäne gehört, akzeptiert die vertrauende Domäne diese Informationen trotzdem und verwendet sie bei späteren Entscheidungen über die Gewährung oder Verweigerung eines Zugriffs. Fügt ein böswilliger Angreifer nun in der vertrauenswürdigen Domäne SIDs in die Autorisierungsdaten ein, könnte er damit seine Berechtigungen so erweitern, dass sie denen entsprechen, die einem bestimmten Benutzer oder einer Gruppe zugewiesen wurden (so könnte er zum Beispiel die Berechtigungen erlangen, die für die Gruppe "Domänenadministratoren" der vertrauenswürdigen Domäne gelten). Dadurch könnte sich der Angreifer die vollen Zugriffsberechtigungen für Computer in der vertrauenden Domäne erschleichen, die normalerweise Domänenadministratoren vorbehalten sind.

Diese Sicherheitsanfälligkeit auszunutzen, wäre jedoch außerordentlich schwierig. Ein Angreifer benötigte hierzu mindestens administrative Berechtigungen für die vertrauenswürdige Domäne und das technische Know-how, um Betriebssystemfunktionen und Datenstrukturen der unteren Ebenen zu ändern. Windows 2000 bietet einen Mechanismus zum Einfügen zusätzlicher SIDs in die Autorisierungsdaten, der als "SIDHistory" (SID-Verlauf) bekannt ist. Es gibt jedoch keine Programmierschnittstelle, über die ein Angreifer - selbst wenn er über administrative Berechtigungen verfügt - eine SID in die SIDHistory-Informationen einfügen könnte; stattdessen müsste ein solcher Angreifer eine binäre Bearbeitung der Datenstrukturen vornehmen, in denen sich die SIDHistory-Informationen befinden. Als Gegenmaßnahme gegen derartige potenzielle Attacken hat Microsoft ein Feature namens "SID-Filterung" zu Windows NT 4.0 und Windows 2000 hinzugefügt. Mit der SID-Filterung kann ein Administrator die Domänencontroller in einer bestimmten Domäne anweisen, eine vertrauenswürdige Domäne unter "Quarantäne" zu stellen. In diesem Fall würden die Domänencontroller in der vertrauenden Domäne alle SIDs entfernen, die sich gemäß der empfangenen Autorisierungsdaten von der vertrauenswürdigen Domäne nicht auf diese Domäne beziehen. Die Verhängung der Quarantäne erfolgt von der vertrauenden Domäne aus und wird für jede Domäne einzeln vorgenommen.

Die SID-Filterung blockiert transitive Windows 2000-Vertrauensstellungen. Wird im Vertrauensstellungspfad zwischen zwei Domänen eine unter Quarantäne stehende Domäne gefunden, können Benutzer von der anderen Seite der unter Quarantäne stehenden Domäne nicht auf die Ressourcen der Domäne zugreifen, die die Quarantäne verhängt hat. Aus diesem Grund sollten unter Quarantäne stehende Domänen Endknotendomänen sein, ihnen untergeordnete Domänen sollten nur als Ressourcendomänen ohne Benutzerkonten dienen, oder die unter Quarantäne stehende Domäne sollte sich in einer separaten Gesamtstruktur befinden.

Ein Windows 2000-Administrator sollte die SID-Filterung nicht einsetzen, um eine Domäne mit beschränktem Zugriff innerhalb einer Gesamtstruktur einzurichten. Das empfohlene Quarantäneszenario sieht vor, nur Domänen in separaten Gesamtstrukturen unter Quarantäne zu stellen. Eine Vertrauensstellung sollte von der zu schützenden Domäne aus für die unter Quarantäne zu stellende Domäne erstellt werden. Dann ist die vertrauende Domäne darauf zu konfigurieren, die SIDs von der vertrauenswürdigen Domäne zu filtern.

Microsoft empfiehlt, die SID-Filterung nicht zwischen Domänen innerhalb derselben Gesamtstruktur einzusetzen, weil dies das standardmäßige Verhalten einer Gesamtstruktur in Bezug auf Vertrauensstellungen und Authentifizierung stören würde (einschließlich der Replikation innerhalb der Gesamtstruktur) und wahrscheinlich zu Problemen mit Programmen führen würde, für die die Problembehandlung erheblich erschwert würde. Dieser Artikel enthält eine Liste der Programme und Funktionalitäten, von denen bekannt ist, dass es bei ihnen im Zusammenhang mit der SID-Filterung zu Problemen kommen kann. Arbeiten Sie nicht mit Domänen mit beschränktem Zugriff und befolgen Sie die vorstehenden Empfehlungen, wenn Sie diese Programme oder Funktionalitäten benötigen. Microsoft kann für derartige Probleme keine Abhilfemaßnahmen anbieten.

Beziehen Sie das Windows 2000 Security Rollup Package 1 (SRP1), um das beschriebene Problem zu beheben. Weitere Informationen zum SRP1 finden Sie im folgenden Artikel der Microsoft Knowledge Base: Die englische Version dieses Updates sollte die folgenden Dateiattribute (oder höher) aufweisen:
Hinweis: Aufgrund von Dateiabhängigkeiten erfordert dieses Update Microsoft Windows 2000 Service Pack 2.

Microsoft hat bestätigt, dass dieses Problem in gewissem Umfang zu einer Sicherheitsanfälligkeit in Microsoft Windows 2000 führen kann.

Weitere Informationen zu dieser Anfälligkeit finden Sie auf folgender Website von Microsoft:

Konfigurieren der SID-Filterung

Mit der aktualisierten Version des Dienstprogramms "Netdom.exe" aus dem Windows 2000 Service Pack 2 (SP2) können Sie die SID-Filterung in Windows 2000-Domänen konfigurieren. Damit die SID-Filterung ordnungsgemäß funktioniert, muss SP2 auf allen Domänencontrollern in der vertrauenden Domäne (der Domäne, die eine andere Domäne unter Quarantäne stellt) installiert sein. Die aktualisierte Version des Dienstprogramms "Netdom.exe" befindet sich im Ordner "Supporttools" auf der SP2-CD-ROM. Sie können diese Version aber auch von der Microsoft-Website herunterladen. Dieser Version von "Netdom.exe" wurde die Befehlszeilenoption /filtersids hinzugefügt, mit deren Hilfe Sie die SID-Filterung konfigurieren können.

Um mit einer Windows 2000-Domäne eine andere Domäne unter Quarantäne zu stellen, führen Sie den folgenden Befehl einmal für jeden Domänencontroller in der Domäne aus (in diesem Beispiel filtert die Domäne RESDOM die Domäne ACCDOM): Der entsprechende Befehl zum Deaktivieren der SID-Filterung lautet: Verwenden Sie folgenden Befehl, um die SID-Filterungseinstellungen für eine Domäne zu überprüfen: Bei einer typischen Active Directory-Replikation wird die Einstellung auf alle Domänencontroller innerhalb der Domäne übertragen.

Änderungen bei Authentifizierung und Überwachung

Wie Sie die Überwachung in Windows 2000 konfigurieren können, entnehmen Sie der Onlinehilfe von Windows 2000.

Wenn eine Vertrauensstellung eingerichtet wird, erstellt und speichert die vertrauende Domäne eine Datenstruktur, die als "Vertrauenswürdiges Domänenobjekt" (Trusted Domain Object = TDO) bezeichnet wird und neben der SID der vertrauenswürdigen Domäne weitere Informationen zu der jeweiligen Vertrauensstellung enthält. Wenn man die SID-Filterung für eine vertrauenswürdige Domäne aktiviert, sind Authentifizierungen für diese Domäne nicht erfolgreich, wenn die Autorisierungsdaten eine Domänen-SID enthalten, die nicht der SID im TDO der vertrauenden Domäne für die unter Quarantäne stehende Domäne entspricht. Diese Situation kann nur dann eintreten, wenn die Autorisierungsdaten geändert wurden. Schlägt die Authentifizierung auf diese Weise fehl und ist die Anmeldung/Abmeldung der Überwachung aktiviert, wird im Ereignisprotokoll des Domänencontrollers, der in der vertrauenden Domäne die Authentifizierungsanfrage verarbeitet, ein Ereignis generiert.

SP2 beinhaltet ein neues Sicherheitsüberwachungsereignis mit der Ereigniskennung 548 für die NTLM-Authentifizierung. Außerdem wird im Rahmen der Kerberos-Authentifizierung der Ereigniskennung 677 ein neuer Fehlercode (0xC000019B) hinzugefügt. Es handelt sich hierbei um Ereignisse für Anmelde-/Abmeldefehler, die generiert werden, wenn die Domänen-SID manipuliert wurde. Die folgenden Beispieleinträge demonstrieren diese Ereignisse:

Während der NTLM-Authentifizierung Während der Kerberos-Authentifizierung

Grenzen und Beschränkungen der SID-Filterung

Es gibt drei mögliche Nachteile der SID-Filterung, die potenziell zur Folge haben können, dass Benutzer nicht auf Ressourcen zugreifen können, für die sie eigentlich die erforderlichen Berechtigungen besitzen:

• SID-Filterung und SID-Verlauf (SIDHistory) schließen sich gegenseitig aus. Ist die SID-Filterung auf einer Domäne aktiv, filtert sie etwaige SIDHistory-Informationen in eingehenden Autorisierungsdaten von unter Quarantäne stehenden Domänen.
• Die SID-Filterung kann die Vorteile der Einzelanmeldung für transitive Vertrauensstellungen in Windows 2000 blockieren. Nehmen Sie zum Beispiel an, dass die Domäne A der Domäne B vertraut und die Domäne B der Domäne C. In der Regel könnte in Windows 2000 ein Benutzer aus Domäne C auf Ressourcen in Domäne A zugreifen, weil Domäne A der Domäne C transitiv vertraut. Ist auf Domäne A jedoch die SID-Filterung für Domäne B aktiv, würde sie der Domäne B nicht mehr gestatten, für einen Benutzer aus Domäne C zu bürgen, da die Domäne B für SIDs in Domäne C nicht autorisierend ist.
• Die SID-Filterung filtert SIDs aus, die mit der Zugehörigkeit eines Benutzers zu universellen Gruppen verknüpft sind, wenn diese Gruppen nicht in der Kontodomäne dieses Benutzers angelegt sind.

Inkompatible Programme und Features

Die folgenden Programme und Windows 2000-Features sind bekanntermaßen nicht mit der SID-Filterung kompatibel:

• Mitgliedschaft in universellen Gruppen, die nicht in der Kontodomäne des Benutzers angelegt sind
• Microsoft Exchange 2000-Features, die von universellen Gruppen abhängig sind
• SID-Verlauf für migrierte Konten
• Transitive Vertrauensstellungen funktionieren nicht ordnungsgemäß
• Active Directory-Replikation. Besonders aus diesem Grund sollte die SID-Filterung nicht zwischen Domänen innerhalb derselben Gesamtstruktur angewendet werden. Die SID-Filterung sollte nur zur Filterung für externe Vertrauensstellungen verwendet werden.

Weitere Informationen dazu, wie Sie Updates für Windows 2000 Datacenter Server erhalten, finden Sie im folgenden Artikel der Microsoft Knowledge Base: Weitere Informationen dazu, wie Sie mehrere Hotfixes mit nur einem Neustart installieren, finden Sie im folgenden Artikel der Microsoft Knowledge Base: