LDAP Injection

Über LDAP (Lightweight Directory Access Protocol) sind Verzeichnisse mit Informationen zu Objekte, Personen, Servern, Druckern oder Rollen zugänglich. Wird das Verzeichnis beispielsweise für die Authentifizierung bei einer Webanwendung oder einer Website verwendet, versucht der Angreifer bösartigen Code in das Benutzereingabefeld einzugeben. Damit soll unbefugter Zugriff auf das Verzeichnis erlangt werden und so beispielsweise der Zugriff auf Informationen oder deren Änderung versucht werden.

Die LDAP Injection funktioniert ganz ähnlich wie die SQL Injection, bei der Angreifende SQL-Code (Structured Query Language) in ein Formular einfügen. Bei Arten von Angriffen funktionieren aufgrund einer fehlenden oder unzureichende Eingabevalidierung. Dies bedeutet, dass nicht korrekte Eingaben nicht geblockt werden oder in diesem Zusammenhang bösartiger LDAP-Steuerzeichen nicht entfernt werden, bevor nicht vertrauenswürdige Benutzereingaben in eine Abfrage übernommen werden.

Das LDAP Injection und ähnliche Angriffsmethoden funktionieren, liegt nach Ansicht von Sicherheitsexperten daran, dass die Security während des Entwicklungsprozess von Anwendungen häufig nicht die notwendige Rolle – Stichwort: Security by Design. Um die Integrität von Websites, die Formulare verwenden, zu schützen, empfehlen Experten die Implementierung eines Bereinigungsprozesses, um die Eingaben zu kontrollieren. Damit lässt sich die Art und Anzahl der Zeichen überprüfen und bestimmen, die von Eingabefeldern akzeptiert werden können. Zudem sollten öffentlich zugängliche Webanwendungen zusätzlich Multifaktor-Authentifizierung verwenden.