Eigentlich sollen sie ja schützen...
... und nicht die Tore so weit öffnen, dass ganze Tanker hindurchfahren können. Die Rede ist von Sicherheitsprodukten im Allgemeinen und von den für diese Ausgabe getesteten In-Band-NAC-Appliances im Speziellen.
Es ist schon erschütternd, feststellen zu müssen, dass von insgesamt drei getesteten Produkten gleich zwei eine riesige Sicherheitslücke haben. Die beiden Appliances erkennen nicht, wenn sich ein Benutzer wieder abmeldet. Das allein ist für ein Produkt, das sich Network-Access-Control, also die Steuerung des Zugriffs im Netzwerk auf die Fahne geschrieben hat, ein starkes Stück.
Noch schlimmer sind aber die Auswirkungen: Beide Produkte ermöglichen es einem normalen Benutzer, unter Ausnutzung dieser Schlampigkeit höhere Zugriffsprivilegien zu erlangen, als ihm eigentlich zugedacht sind. Wehe, wenn dieser Benutzer Böses im Schilde führt. Zugegeben, bei einem der beiden Produkte führte eine vom Testteam fehlerhaft durchgeführte Konfiguration zu diesem Problem. Ich halte es aber für die Pflicht des Herstellers, seine Benutzerschnittstelle so zu gestalten, dass solche Fehler einfach nicht möglich sind. Ein Produzent, der für die Sicherheit entscheidende Parameter zig Schichten tief in einer unübersichtlichen Schnittstelle versteckt, verliert mein Vertrauen.
Network Computing hat diese Fehler durch gründliche Tests entdeckt, denen sich die Produkte in den Real-World Labs unterziehen müssen. Wie viele Produkte gibt es da draußen, die nicht so gründlich getestet wurden, bevor sie zum Einsatz gelangten?
Im Fall der beiden problematischen NAC-Systeme dürfen wir nun sagen: Gefahr erkannt, Gefahr gebannt. Und ja, mit diesen beiden Systemen lässt sich NAC durchführen, ohne dass dafür extra die Netzwerk-Infrastruktur aufgerüstet werden müsste. Das klappt aber auch mit der dritten getesteten Appliance ganz gut. Und Probleme mit der Sicherheit ließen sich bei diesem System nicht entdecken, dafür schwächelte es bei der Applikationsunterstützung.
So ganz perfekt ist also noch keine der In-Band-NAC-Appliances. Vielleicht ist es noch zu früh für In-Band-NAC. Ich persönlich würde noch eine Weile warten und währenddessen besonders den Hersteller im Auge behalten, dessen Appliance schon jetzt kein Sicherheitsproblem offenbarte.
Ihr Dirk Jarzyna
