Codebeispiel aus der XML-Encryption-Beschreibung des W3C
Codebeispiel aus der XML-Encryption-Beschreibung des W3C (Bild: W3C/Screenshot von Golem.de)

W3C-Standard

XML-Encryption geknackt

Der XML-Encryption-Standard des W3C ist unsicher. Forscher der Ruhr-Universität Bochum haben das herausgefunden und empfehlen dringend, den Standard anzupassen.

Anzeige

Forscher vom Lehrstuhl für Netz- und Datensicherheit der Ruhr-Universität Bochum (RUB) haben den XML-Encryption-Standard des W3C aus dem Jahre 2002 analysiert und für unsicher befunden. Die XML Encryption soll eigentlich die Vertraulichkeit von äußerst sensiblen XML-Datenströmen (Extensible Markup Language) von Webservices in Bereichen wie E-Commerce, Finanzdienste oder öffentliche Verwaltung gewährleisten. Aus Bochum heißt es nun: "alles unsicher".

Juraj Somorovsky und Tibor Jager konnten eine Schwäche bei der Verkettung der Chiffretext-Blöcke im Betriebsmodus CBC für den Angriff ausnutzen. Die Forscher dazu: "Wir können verschlüsselte Daten entschlüsseln, indem wir den Server mit modifizierten Chiffretexten ansprechen und aus seiner Antwort Rückschluss auf die eigentliche Nachricht ziehen."

Die Bochumer Forscher testeten das Verfahren laut einer Mitteilung der RUB selbst oder wurden von Firmen benachrichtigt, die ihre Produkte auf Anfälligkeit gegenüber der XML Encryption Schwachstelle prüften. In allen Fällen soll der Angriff funktioniert haben, so dass der weit verbreitete Standard als definitiv nicht sicher eingestuft werden muss. Details wollen die Forscher in dieser Woche auf der renommierten ACM Conference on Computer and Communications Security (ACM CCS 2011) in Chicago vorstellen.

Eine einfache Gegenmaßnahme gibt es laut Somorovsky nicht. "Daher empfehlen wir dringend, den Standard anzupassen und die technische Spezifikation diesen Erkenntnissen folgend zu aktualisieren", sagte der Forscher weiter.

Die Wissenschaftler haben alle Anbieter über die Mailingliste des W3C informiert. Gemeinsam mit einigen interessierten Entwicklern sollen sie speziell angepasste Sicherheitslösungen entwickelt haben.


vlad_tepesch 20. Okt 2011

Du hast mein Argument nicht verstanden, oder?

whamster 20. Okt 2011

Blödsinn. Bei einer Konferenz wie der ACM CCS reicht man nicht mal heute ein Paper ein...

Agorath 19. Okt 2011

HBCI ist von dem Problem nicht betroffen, da die Kommunikation keine XML-Strukturen...

Kommentieren



Anzeige

  1. IT Enterprise Architect (m/w)
    Daimler AG, Fellbach
  2. Softwareentwickler (m/w) für Logistik-Projekte
    WITRON Gruppe, Parkstein Raum Weiden / Oberpfalz
  3. Software-Entwickler (m/w)
    NORD/LB Asset Management AG, Hannover
  4. Supportmitarbeiter (m/w)
    ekz.bibliotheksservice GmbH, Reutlingen bei Stuttgart / Tübingen

 

Detailsuche


Spiele-Angebote
  1. The Elder Scrolls Online: Tamriel Unlimited (PS4)
    63,99€ (Release 9. Juni, ohne Abo spielbar!)
  2. The Elder Scrolls Online: Tamriel Unlimited (PC)
    21,71€ (ab dem 17. März kostenlos ohne Abo spielbar!)
  3. GTA 5 (PC) mit Vorbesteller-Bonus bis 01.02.
    59,00€ (Vorbesteller-Preisgarantie) USK 18 - Release 24.03.

 

Weitere Angebote


Folgen Sie uns
       


  1. Patentanmeldung

    Apples Smart Cover soll wirklich schlau werden

  2. OS X

    Apple will Thunderstrike-Exploits mit Patch verhindern

  3. Soziales Netzwerk

    Justizministerium kritisiert Facebooks neue AGB

  4. Raumfahrt

    Nasa will Mars-Rover mit Helikopter ausstatten

  5. Windows Phone und Tablets

    Die Dropbox-App ist da

  6. Sony Alpha 7 II im Test

    Fast ins Schwarze getroffen

  7. Apple

    Homekit will nicht in jedes Smart Home einziehen

  8. Firmware

    Update für Samsungs NX1 verbessert Videofunktionen enorm

  9. Systemkamera

    Olympus kündigt neues Modell im OM-D-System an

  10. Lieferprobleme

    Drogendrohnen in Mexiko und Norddeutschland abgestürzt



Haben wir etwas übersehen?

E-Mail an news@golem.de



Red Star ausprobiert: Das Linux aus Nordkorea
Red Star ausprobiert
Das Linux aus Nordkorea
  1. Tamil Driver Freier Treiber für ARMs Mali-T-GPUs entsteht
  2. Linux-Jahresrückblick 2014 Umbauarbeiten, Gezanke und Container
  3. Geforce 347.09 Nvidia-Treiber für Elite Dangerous und Metal Gear Solid V

Smart-TVs verglichen: Tizen und WebOS schlagen Android und Firefox OS
Smart-TVs verglichen
Tizen und WebOS schlagen Android und Firefox OS
  1. Videothek Legales Videostreaming überholt die Blu-ray
  2. Actionkameras Live mit der Gopro übertragen soll möglich werden
  3. Eyeteq TV-Box soll Bilder für Farbfehlsichtige aufbereiten

    •  / 
    Zum Artikel