Collaboration-Apps wie Slack und Microsoft Teams sind zum Bindegewebe des modernen Arbeitsplatzes geworden und verbinden Benutzer mit allem, von Messaging über Terminplanung bis hin zu Videokonferenz-Tools. Aber da Slack und Teams zu ausgewachsenen, App-fähigen Betriebssystemen für die Unternehmensproduktivität werden, hat eine Gruppe von Forschern auf ernsthafte Risiken in dem hingewiesen, was sie Programmen von Drittanbietern aussetzen – während ihnen gleichzeitig mehr Organisationen vertrauen ‘ sensible Daten als je zuvor.
Eine neue Studie von Forschern der University of Wisconsin-Madison weist auf beunruhigende Lücken im App-Sicherheitsmodell von Drittanbietern von Slack und Teams hin, die von einer fehlenden Überprüfung des Codes der Apps bis zu Standardeinstellungen reichen, die es jedem Benutzer ermöglichen Installieren Sie eine App für einen gesamten Arbeitsbereich. Und während Slack- und Teams-Apps zumindest durch die Berechtigungen eingeschränkt sind, für die sie bei der Installation eine Genehmigung einholen, ergab die Umfrage der Studie zu diesen Sicherheitsvorkehrungen, dass die Berechtigungen von Hunderten von Apps es ihnen dennoch ermöglichen würden, möglicherweise Nachrichten als Benutzer zu posten und die Funktionalität anderer zu kapern legitime Apps, oder greifen in einigen wenigen Fällen sogar auf Inhalte in privaten Kanälen zu, wenn keine solche Erlaubnis erteilt wurde.
„Slack und Teams werden zu Verrechnungsstellen für alle sensiblen Ressourcen einer Organisation“, sagt Earlence Fernandes, einer der Forscher der Studie, der jetzt als Professor für Informatik an der University of California in San Diego arbeitet und die Forschungsergebnisse vorstellte letzten Monat auf der USENIX Security Konferenz. „Und doch können die darauf laufenden Apps, die viele Funktionen für die Zusammenarbeit bieten, alle Erwartungen an Sicherheit und Datenschutz verletzen, die Benutzer an eine solche Plattform stellen würden.“
Als WIRED Slack und Microsoft über die Ergebnisse der Forscher informierte, lehnte Microsoft eine Stellungnahme ab, bis es mit den Forschern sprechen konnte. (Die Forscher sagen, dass sie vor der Veröffentlichung mit Microsoft über ihre Ergebnisse kommuniziert haben.) Slack seinerseits sagt, dass eine Sammlung genehmigter Apps, die in seinem Slack-App-Verzeichnis verfügbar sind, vor der Aufnahme Sicherheitsüberprüfungen erhält und auf verdächtiges Verhalten überwacht wird . Es wird „dringend empfohlen“, dass Benutzer nur diese genehmigten Apps installieren und dass Administratoren ihre Arbeitsbereiche so konfigurieren, dass Benutzer Apps nur mit der Erlaubnis eines Administrators installieren können. „Wir nehmen Datenschutz und Sicherheit sehr ernst“, sagt das Unternehmen in einer Erklärung, „und wir arbeiten daran, sicherzustellen, dass die Slack-Plattform eine vertrauenswürdige Umgebung zum Erstellen und Verteilen von Apps ist und dass diese Apps vom ersten Tag an für Unternehmen geeignet sind.“
Aber sowohl Slack als auch Teams haben dennoch grundlegende Probleme bei der Überprüfung von Drittanbieter-Apps, argumentieren die Forscher. Beide ermöglichen die Integration von Apps, die auf den eigenen Servern des App-Entwicklers gehostet werden, ohne Überprüfung des tatsächlichen Codes der Apps durch Slack- oder Microsoft-Ingenieure. Sogar die Apps, die für die Aufnahme in das App-Verzeichnis von Slack überprüft wurden, werden nur einer oberflächlicheren Überprüfung der Funktionalität der Apps unterzogen, um zu sehen, ob sie wie beschrieben funktionieren, Elemente ihrer Sicherheitskonfiguration wie die Verwendung von Verschlüsselung zu überprüfen und automatisierte App-Scans durchzuführen, die ihre überprüfen Schnittstellen für Schwachstellen.
Trotz der eigenen Empfehlungen von Slack erlauben beide Kollaborationsplattformen standardmäßig jedem Benutzer, diese unabhängig gehosteten Apps zu einem Workspace hinzuzufügen. Die Administratoren einer Organisation können strengere Sicherheitseinstellungen aktivieren, bei denen die Administratoren Apps genehmigen müssen, bevor sie installiert werden. Aber selbst dann müssen diese Administratoren Apps genehmigen oder ablehnen, ohne selbst die Möglichkeit zu haben, ihren Code zu überprüfen – und entscheidend ist, dass sich der Code der Apps jederzeit ändern kann, wodurch eine scheinbar legitime App zu einer bösartigen werden kann. Das bedeutet, dass Angriffe in Form von als harmlos getarnten bösartigen Apps erfolgen können oder dass wirklich legitime Apps von Hackern bei einem Angriff auf die Lieferkette kompromittiert werden können, bei dem Hacker eine Anwendung an ihrer Quelle sabotieren, um die Netzwerke ihrer Benutzer anzugreifen. Und ohne Zugriff auf den zugrunde liegenden Code der Apps könnten diese Änderungen sowohl für Administratoren als auch für jedes von Slack oder Microsoft verwendete Überwachungssystem nicht erkennbar sein.