Das Lightweight Directory Access Protocol (LDAP) ist ein offenes Standardprotokoll zum Abfragen und Ändern von Verzeichnisdiensten, die Informationen über Benutzer, Gruppen, Computer und andere Netzwerkressourcen speichern.
Wie LDAP funktioniert
Ein Verzeichnis ordnet Einträge in einer Baumstruktur an. Jeder Eintrag wird durch einen Distinguished Name (DN) wie cn=Alice,ou=Staff,dc=example,dc=com identifiziert und enthält Attribute wie E-Mail-Adresse, Gruppenmitgliedschaft oder Passwort-Hash. Clients verbinden sich mit einem LDAP-Server, authentifizieren sich („Bind“) und suchen, ergänzen oder ändern dann Einträge. LDAPv3 ist in RFC 4511 und verwandten Dokumenten definiert. LDAP nutzt TCP-Port 389, LDAPS (LDAP über TLS) Port 636. Microsoft Active Directory, OpenLDAP und viele Identitätsplattformen bieten LDAP an, und Anwendungen, VPNs und Drucker prüfen darüber häufig Benutzeranmeldedaten.
Warum LDAP für die Sicherheit wichtig ist
- Zugangsdaten im Klartext – Simple Binds über unverschlüsseltes LDAP übertragen Passwörter im Klartext. Microsoft fordert Administratoren auf, LDAP-Signierung und Channel Binding auf jedem Domänencontroller zu erzwingen.
- Aufklärung – jeder authentifizierte Domänenbenutzer kann AD per LDAP abfragen; Werkzeuge wie die Collector von BloodHound nutzen das, um Benutzer, Gruppen und Angriffspfade zu kartieren (MITRE ATT&CK T1087.002).
- LDAP-Injection (CWE-90) – wie bei anderen Formen der Code-Injection können ungefilterte Eingaben in Suchfiltern die Authentifizierung umgehen oder Daten preisgeben.
- Log4Shell – die Log4j-Lücke von 2021 (CVE-2021-44228) wurde typischerweise mit JNDI-Lookups ausgenutzt, die Angreifercode von bösartigen LDAP-Servern nachluden.
- DDoS-Amplification – offen erreichbares verbindungsloses LDAP (CLDAP, UDP 389) wird für Reflexionsangriffe missbraucht.
Best Practices
- LDAPS oder StartTLS vorschreiben und Signierung sowie Channel Binding erzwingen.
- Für LDAP-Integrationen eigene Dienstkonten mit minimalen Rechten verwenden und nach Möglichkeit Kerberos oder moderne Föderation bevorzugen.
- Sonderzeichen in LDAP-Filtern, die aus Benutzereingaben entstehen, maskieren.
- LDAP-Ports nie ins Internet öffnen und auf ungewöhnliche Massenabfragen achten.
