CWE-Referenz › CWE-256: Plaintext Storage of a Password
CWE-256: Plaintext Storage of a Password
CWE ID: 256
Name: Plaintext Storage of a Password
Beschreibung
Das Speichern eines Passworts im Klartext kann zu einer Systemkompromittierung führen.
Erweiterte Beschreibung
Probleme im Bereich Password Management entstehen, wenn ein Passwort im Klartext in den Properties einer Anwendung, einer Konfigurationsdatei oder im Speicher abgelegt wird. Das Speichern eines Klartext-Passworts in einer Konfigurationsdatei ermöglicht es jedem, der Lesezugriff auf die Datei hat, Zugriff auf die passwortgeschützte Ressource zu erlangen. In manchen Kontexten wird selbst die Speicherung eines Klartext-Passworts im Speicher als Sicherheitsrisiko betrachtet, wenn das Passwort nicht unmittelbar nach der Nutzung gelöscht wird.
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Vermeiden Sie das Speichern von Passwörtern an leicht zugänglichen Orten.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Erwägen Sie, kryptografische Hashes von Passwörtern anstelle von Klartextspeicherung zu verwenden.
Maßnahme (Unknown)
Effektivität: None
Beschreibung: Ein Programmierer könnte versuchen, das Problem des Passwortmanagements zu beheben, indem er das Passwort mit einer Encoding-Funktion, wie beispielsweise Base64-Encoding, verschleiert. Dieses Vorgehen bietet jedoch keinen ausreichenden Schutz, da das Encoding leicht erkennbar und decodierbar ist.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-256: Plaintext Storage of a Password werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen