Anzeige
Codebeispiel aus der XML-Encryption-Beschreibung des W3C
Codebeispiel aus der XML-Encryption-Beschreibung des W3C (Bild: W3C/Screenshot von Golem.de)

W3C-Standard

XML-Encryption geknackt

Der XML-Encryption-Standard des W3C ist unsicher. Forscher der Ruhr-Universität Bochum haben das herausgefunden und empfehlen dringend, den Standard anzupassen.

Anzeige

Forscher vom Lehrstuhl für Netz- und Datensicherheit der Ruhr-Universität Bochum (RUB) haben den XML-Encryption-Standard des W3C aus dem Jahre 2002 analysiert und für unsicher befunden. Die XML Encryption soll eigentlich die Vertraulichkeit von äußerst sensiblen XML-Datenströmen (Extensible Markup Language) von Webservices in Bereichen wie E-Commerce, Finanzdienste oder öffentliche Verwaltung gewährleisten. Aus Bochum heißt es nun: "alles unsicher".

Juraj Somorovsky und Tibor Jager konnten eine Schwäche bei der Verkettung der Chiffretext-Blöcke im Betriebsmodus CBC für den Angriff ausnutzen. Die Forscher dazu: "Wir können verschlüsselte Daten entschlüsseln, indem wir den Server mit modifizierten Chiffretexten ansprechen und aus seiner Antwort Rückschluss auf die eigentliche Nachricht ziehen."

Die Bochumer Forscher testeten das Verfahren laut einer Mitteilung der RUB selbst oder wurden von Firmen benachrichtigt, die ihre Produkte auf Anfälligkeit gegenüber der XML Encryption Schwachstelle prüften. In allen Fällen soll der Angriff funktioniert haben, so dass der weit verbreitete Standard als definitiv nicht sicher eingestuft werden muss. Details wollen die Forscher in dieser Woche auf der renommierten ACM Conference on Computer and Communications Security (ACM CCS 2011) in Chicago vorstellen.

Eine einfache Gegenmaßnahme gibt es laut Somorovsky nicht. "Daher empfehlen wir dringend, den Standard anzupassen und die technische Spezifikation diesen Erkenntnissen folgend zu aktualisieren", sagte der Forscher weiter.

Die Wissenschaftler haben alle Anbieter über die Mailingliste des W3C informiert. Gemeinsam mit einigen interessierten Entwicklern sollen sie speziell angepasste Sicherheitslösungen entwickelt haben.


vlad_tepesch 20. Okt 2011

Du hast mein Argument nicht verstanden, oder?

whamster 20. Okt 2011

Blödsinn. Bei einer Konferenz wie der ACM CCS reicht man nicht mal heute ein Paper ein...

Agorath 19. Okt 2011

HBCI ist von dem Problem nicht betroffen, da die Kommunikation keine XML-Strukturen...

Kommentieren



Anzeige

  1. Webentwickler (m/w) PHP, JavaSkript
    ADG Apotheken-Dienstleistungsgesellschaft mbH, Fürth
  2. Software Entwickler/in im Bereich Fahrerassistenzsysteme
    Robert Bosch GmbH, Leonberg
  3. Wissenschaftliche/r Mitarbeiter/in beim Deutschen Literaturarchiv
    Deutsche Schillergesellschaft e.V. Deutsches Literaturarchiv Marbach, Marbach
  4. Principal Solution Architect (m/w)
    Daimler AG, Esslingen

Detailsuche


Blu-ray-Angebote
  1. Sherlock - Staffel 3 [Blu-ray]
    16,97€
  2. NEU: Das Leben des Brian - The Immaculate Edition [Blu-ray]
    7,90€
  3. Blu-rays unter 6,97 EUR
    (u. a. The Dark Knight Rises 5,99€, Cop Out 5,00€, Wolfman 5,99€, Body Heat 5,00€)

Weitere Angebote


Folgen Sie uns
       


  1. Square Enix

    Hitman ohne mörderische Systemanforderungen

  2. Videospeicher

    GDDR5X geht im Sommer in Serienfertigung

  3. Doubleclick

    Google will Flash aus seinen Anzeigen verbannen

  4. Übernahme

    1,2-Milliarden-Dollar-Angebot aus China für Opera

  5. LG G5

    Smartphone-Display bleibt immer an

  6. Bristol Ridge

    AMD will Notebook-Chips um fast 1 GHz beschleunigen

  7. Microsoft

    Windows 10 erhält umfangreiches Update

  8. Importmechanismus

    Apple greift Evernote an

  9. Logistik

    Amazon will die komplette Lieferkette beherrschen

  10. Patent

    Google will autonomen Lkw zur Warenauslieferung nutzen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Astronomie: Die lange Suche nach Planet X
Astronomie
Die lange Suche nach Planet X
  1. Astronomie Schwarzes Loch stößt riesigen Energiestrahl aus
  2. Planet X Es könnte den neunten Planeten geben
  3. Weltall Woher stammt das Wow-Signal?

Asus Strix Soar im Test: Wenn die Soundkarte vom Pixelbeschleuniger bespielt wird
Asus Strix Soar im Test
Wenn die Soundkarte vom Pixelbeschleuniger bespielt wird
  1. Geforce GT 710 Nvidias Einsteigerkarte soll APUs überflüssig machen
  2. Theremin Geistermusik mit dem Arduino
  3. Musikdienst Sonos soll ab Mitte Dezember Apple Music streamen können

Eizo Foris FS 2735 im Test: Beinahe der Wunschlos-glücklich-Monitor
Eizo Foris FS 2735 im Test
Beinahe der Wunschlos-glücklich-Monitor

  1. Re: Finde ich gut

    Lala Satalin... | 11:52

  2. Re: Opera hat leider nachgelassen

    der_wahre_hannes | 11:52

  3. Re: Interessant für Indie-Entwickler?

    Trollversteher | 11:51

  4. Re: Welche Innovationen kommen denn von anderen?

    Nikolai | 11:51

  5. Re: Wozu solche Einteilungen?

    Eisboer | 11:51


  1. 11:23

  2. 11:16

  3. 10:43

  4. 10:36

  5. 10:23

  6. 08:43

  7. 08:34

  8. 07:43


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel