Eine Exploit-Kette verbindet mehrere Sicherheitslücken zu einem Weg, weil einzeln keine davon reicht. Jedes Glied löst genau ein Hindernis, und erst das letzte bringt den Zugriff, auf den es ankommt.
- Exploit-Kette
Mehrere Sicherheitslücken, die nacheinander ausgenutzt werden, weil einzeln keine davon reicht.
Beispiel: „Die Exploit-Kette begann mit einer Vorschaufunktion und endete im Verwalterkonto.“Auch: Die üblichen Glieder heißen Einstieg, Ausbruch aus der Abschottung, Ausweiten der Rechte und Festsetzen. Im Englischen ist von einer exploit chain die Rede.
Abgrenzung zum Exploit-Kit: Das ist ein fertiges Produkt für die Masse. Eine Kette entsteht von Hand und richtet sich meist gegen ein bestimmtes Ziel.
Warum Exploit-Ketten nötig geworden sind
Weil moderne Systeme in Kammern gebaut sind. Ein Browser führt fremde Inhalte in einer Abschottung aus, ein Dienst läuft unter einem eigenen Benutzer, ein Betriebssystem trennt Programme vom Kern. Eine einzelne Lücke endet damit in der Kammer, in der sie steckt. Erst die nächste führt heraus, und genau diese Bauweise hat die Kette zum Normalfall gemacht.
Wie eine Exploit-Kette aussieht
Am Beispiel einer Website: Eine Fehlermeldung verrät einen Benutzernamen, ein Formular lässt beliebig viele Versuche zu, ein hochgeladenes Bild wird als Programm ausgeführt, und ein Dienst läuft mit mehr Rechten als nötig. Jeder Punkt für sich wäre eine Randnotiz im Bericht eines Penetrationstests; zusammen ergeben sie den Weg zum Serverzugang.
Bei Geräten und Browsern ist das Muster dasselbe, nur mit anderen Namen: eine Lücke in der Darstellung, eine für den Ausbruch aus der Abschottung, eine im Kern des Betriebssystems. Für solche Ketten werden auf dem Markt die höchsten Summen gezahlt.
Was eine Exploit-Kette für die Abwehr bedeutet
Dass jedes Glied zählt. Eine Kette bricht, sobald ein einziger Schritt scheitert, und das ist die gute Nachricht an einer sonst unangenehmen Entwicklung. Praktisch heißt das: Auch mittelschwere Lücken gehören geschlossen, Dienste laufen mit wenigen Rechten, siehe Least Privilege, und Netze bleiben getrennt. Wer nur die als kritisch markierten Punkte abarbeitet, lässt genau die Glieder stehen, aus denen Ketten gebaut werden.