CWE-Referenz › CWE-324: Use of a Key Past its Expiration Date
CWE-324: Use of a Key Past its Expiration Date
CWE ID: 324
Name: Use of a Key Past its Expiration Date
Beschreibung
– Das Produkt verwendet einen kryptografischen Schlüssel oder ein Passwort, das sein Ablaufdatum überschritten hat. Dies reduziert die Sicherheit erheblich, indem es das Zeitfenster für Brute-Force-Angriffe gegen diesen Schlüssel vergrößert.
Erweiterte Beschreibung
– Obwohl das Ablaufen von Schlüsseln nicht zwangsläufig bedeutet, dass diese kompromittiert wurden, stellt es ein erhebliches Problem dar, dass Schlüssel, die über längere Zeiträume im Einsatz verbleiben, eine abnehmende Wahrscheinlichkeit der Integrität aufweisen. Aus diesem Grund ist es wichtig, Keys innerhalb eines Zeitraums zu ersetzen, der proportional zu ihrer Stärke ist.
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Es sollte angemessene Sorgfalt in die Gestaltung der Benutzeroberfläche (User Interface) investiert werden, um Nutzer vor dem Ablauf eines Keys zu benachrichtigen, die Bedeutung der Generierung neuer Keys zu erläutern und sie so schmerzfrei wie möglich durch den Prozess zu führen.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-324: Use of a Key Past its Expiration Date werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen