Dieser Fachvortrag von Martin (Forschungszentrum Informatik) analysiert die Komplexität und die systemischen Schwachstellen moderner Identitäts- und Zugriffsmanagement-Architekturen (IAM). Unter Verwendung der Analogie einer Rube-Goldberg-Maschine wird der Authentifizierungspfad einer fiktiven Nutzerin („Alice“) durch eine hybride IT-Infrastruktur verfolgt. Der Prozess beginnt bei modernen Zero Trust-Ansätzen (Entra ID, FIDO2, Conditional Access) und führt über verschiedene Vertrauensgrenzen hinweg in tiefe Legacy-Systeme (ADFS, Kerberos-Impersonation, NTLM). Die Analyse verdeutlicht die „Identitätsfragmentierung“: Mit jedem Grenzübergang (Hop) wird die Identität neu interpretiert, was zu Inkonsistenzen bei Berechtigungen (Role Mapping) und erheblichen Schwierigkeiten bei der Sitzungswiderrufung (Revocation) führt. Der Vortrag zeigt auf, wie aus temporären Adaptern dauerhafte, geschäftskritische Infrastruktur wird, die das Sicherheitsmodell untergräbt.
Wichtigste Punkte & Zeitstempel
0:00 Rube-Goldberg-Analogie: Vorstellung der Identitätsproblematik als hochkomplexe Kette trivialer Vorgänge, um die Abstraktion von Authentifizierungsprozessen greifbar zu machen.
2:18 Initialer Login & Conditional Access: Alice authentifiziert sich via FIDO2-Passkey und MFA bei Entra ID. Conditional Access prüft Kontextfaktoren wie IP-Region und Zeit, bevor ein ID-Token mit spezifischen Claims (Tenant ID, Object ID) ausgestellt wird.
6:42 Portal-Session & OIDC: Übergang zur Webanwendung mittels OpenID Connect. Das Portal erstellt eine eigene, 8-stündige Session, die vom ursprünglichen Token entkoppelt ist.
8:51 Legacy-Zugriff via Reverse Proxy: Zugriff auf ein Altsystem („Restore Old“) von 2011. Die Authentifizierung erfolgt hier rein durch HTTP-Header-Injektion (X-Remote-User) durch den Proxy, was ein implizites Vertrauensmodell voraussetzt.
13:00 Lokales Role Mapping: Das Zielsystem bildet den Header auf einen lokalen Account (ID 42) ab. Dabei findet eine Rollen-Transformation statt (von „Support Operator“ zu „Restore Operator“), was die granulare Kontrolle erschwert.
16:21 ADFS & SID-Kontext: Integration einer hybriden Umgebung über Active Directory Federation Services. Nutzung von Security Identifiers (SID) zur Objektidentifikation in veralteten Sicherheitskontexten von 2017.
21:22 Kerberos-Impersonation (S4U): Da Alice kein Kerberos-Ticket für das Backend besitzt, nutzt der Dienst Service-for-User (S4U2Self/S4U2Proxy). Der Dienst gibt sich gegenüber dem Domain Controller als Alice aus, um Zugriff auf SMB-Shares zu erhalten.
28:20 Cross-Domain Trust & FSP: Überwindung von Domänengrenzen mittels Foreign Security Principals (FSP). Die Identität wird zwischen verschiedenen „Forests“ übersetzt, was die Rückverfolgbarkeit weiter verkompliziert.
34:52 PAC & SID History: Validierung des Privilege Attribute Certificate (PAC). Problematisierung der SID History, die uralte Berechtigungen über Migrationen hinweg mitschleift und Angriffsvektoren wie Golden/Silver Tickets eröffnet.
41:20 Identitätsfragmentierung & Revocation-Defizit: Demonstration, dass das Sperren eines Nutzers im zentralen Verzeichnis (Entra ID) lokale Legacy-Sessions und Kerberos-Tickets oft unberührt lässt. Die Identität existiert in sieben verschiedenen, inkompatiblen Logiken gleichzeitig.
48:54 Sicherheitsforscher-Perspektive: Fazit: Jede Übersetzungsschicht zwischen Protokollen stellt einen potenziellen Angriffspunkt dar, da Produktverantwortliche die Verantwortung für diese „Grenzbereiche“ oft ablehnen.
Glossar
ADFS (Active Directory Federation Services): Ein Software-Standard von Microsoft zur Bereitstellung von Single Sign-On (SSO) für Benutzer über Organisationsgrenzen hinweg.
Claims: Informationen über einen Benutzer (z. B. Name, E-Mail, Rollen), die in einem digitalen Token übertragen werden.
Conditional Access: Sicherheitsrichtlinien, die den Zugriff basierend auf Kontextsignalen (z. B. Standort, Gerätezustand, Risiko) steuern.
Entra ID: Der aktuelle Name für Microsofts cloudbasiertes Identitäts- und Zugriffsmanagement (ehemals Azure AD).
FIDO2 / Passkey: Ein moderner Standard für passwortlose Authentifizierung, der auf Kryptografie mit öffentlichen Schlüsseln basiert.
Foreign Security Principal (FSP): Ein Objekt im Active Directory, das eine Identität aus einer vertrauenswürdigen, externen Domäne repräsentiert.
Impersonation: Ein Vorgang, bei dem ein Dienst oder Prozess die Identität eines Benutzers annimmt, um in dessen Namen auf Ressourcen zuzugreifen.
Kerberos: Ein Netzwerk-Authentifizierungsprotokoll, das auf „Tickets“ basiert, um Identitäten in unsicheren Netzwerken zu beweisen.
MFA (Multi-Faktor-Authentifizierung): Ein Sicherheitsmechanismus, der mehr als einen Identitätsnachweis erfordert (z. B. Passwort + Token).
NTLM (NT LAN Manager): Ein veraltetes Microsoft-Authentifizierungsprotokoll, das trotz Sicherheitsmängeln in Legacy-Umgebungen noch präsent ist.
PAC (Privilege Attribute Certificate): Eine Erweiterung in Kerberos-Tickets, die Gruppenmitgliedschaften und Berechtigungen des Benutzers enthält.
S4U (Service for User): Eine Kerberos-Erweiterung, die es Diensten erlaubt, Tickets im Namen eines Benutzers anzufordern, ohne dessen Passwort zu kennen.
SID (Security Identifier): Eine eindeutige Kennung, die Microsoft zur Identifizierung von Sicherheitsprinzipalen (User, Gruppen) verwendet.
SID History: Ein Attribut, das alte SIDs eines Objekts nach einer Migration speichert, um den Zugriff auf Ressourcen in der alten Domäne zu erhalten.
Zero Trust: Ein Sicherheitskonzept, das auf dem Grundsatz „Niemals vertrauen, immer verifizieren“ basiert, unabhängig davon, ob sich der Zugriff von innerhalb oder außerhalb des Netzwerks ereignet.