Codebeispiel aus der XML-Encryption-Beschreibung des W3C
Codebeispiel aus der XML-Encryption-Beschreibung des W3C (Bild: W3C/Screenshot von Golem.de)

W3C-Standard

XML-Encryption geknackt

Der XML-Encryption-Standard des W3C ist unsicher. Forscher der Ruhr-Universität Bochum haben das herausgefunden und empfehlen dringend, den Standard anzupassen.

Anzeige

Forscher vom Lehrstuhl für Netz- und Datensicherheit der Ruhr-Universität Bochum (RUB) haben den XML-Encryption-Standard des W3C aus dem Jahre 2002 analysiert und für unsicher befunden. Die XML Encryption soll eigentlich die Vertraulichkeit von äußerst sensiblen XML-Datenströmen (Extensible Markup Language) von Webservices in Bereichen wie E-Commerce, Finanzdienste oder öffentliche Verwaltung gewährleisten. Aus Bochum heißt es nun: "alles unsicher".

Juraj Somorovsky und Tibor Jager konnten eine Schwäche bei der Verkettung der Chiffretext-Blöcke im Betriebsmodus CBC für den Angriff ausnutzen. Die Forscher dazu: "Wir können verschlüsselte Daten entschlüsseln, indem wir den Server mit modifizierten Chiffretexten ansprechen und aus seiner Antwort Rückschluss auf die eigentliche Nachricht ziehen."

Die Bochumer Forscher testeten das Verfahren laut einer Mitteilung der RUB selbst oder wurden von Firmen benachrichtigt, die ihre Produkte auf Anfälligkeit gegenüber der XML Encryption Schwachstelle prüften. In allen Fällen soll der Angriff funktioniert haben, so dass der weit verbreitete Standard als definitiv nicht sicher eingestuft werden muss. Details wollen die Forscher in dieser Woche auf der renommierten ACM Conference on Computer and Communications Security (ACM CCS 2011) in Chicago vorstellen.

Eine einfache Gegenmaßnahme gibt es laut Somorovsky nicht. "Daher empfehlen wir dringend, den Standard anzupassen und die technische Spezifikation diesen Erkenntnissen folgend zu aktualisieren", sagte der Forscher weiter.

Die Wissenschaftler haben alle Anbieter über die Mailingliste des W3C informiert. Gemeinsam mit einigen interessierten Entwicklern sollen sie speziell angepasste Sicherheitslösungen entwickelt haben.


vlad_tepesch 20. Okt 2011

Du hast mein Argument nicht verstanden, oder?

whamster 20. Okt 2011

Blödsinn. Bei einer Konferenz wie der ACM CCS reicht man nicht mal heute ein Paper ein...

Agorath 19. Okt 2011

HBCI ist von dem Problem nicht betroffen, da die Kommunikation keine XML-Strukturen...

Kommentieren



Anzeige

  1. IT-Projektleiter/in
    Landeshauptstadt München, München
  2. Mitarbeiter (m/w) Software­prozess-Management
    Friedrich Zufall GmbH & Co. KG, Göttingen
  3. IT-Consultant (m/w) im Bereich ERP-Systeme
    ALBA Management GmbH, Waiblingen
  4. Software Architekt (m/w) - Software-Platform
    Harman Becker Automotive Systems GmbH, Karlsbad (Raum Karlsruhe/Stuttgart)

 

Detailsuche


Folgen Sie uns
       


  1. Linshof

    Die gut versteckte Firma hinter dem Wunder-Smartphone

  2. Gericht

    Entscheidung über Haft für Dotcom kommende Woche

  3. Star Wars Episode VII

    The Force Awakens im ersten Teaser

  4. Speedport Hybrid

    Hybrid-Tarif der Telekom ohne LTE-Drosselung

  5. Docker-Alternative

    Spoon bietet virtualisierte Container für Windows

  6. Überbewertete Superrechner

    Quantencomputer hätten kaum was zu tun

  7. FAA

    Privatdrohnen gefährden Flugverkehr

  8. Großbritannien

    Pink Floyd und Arctic Monkeys sorgen für Vinyl-Boom

  9. Raumfahrt

    Hayabusa 2 startet in wenigen Tagen

  10. Winter is coming

    Game of Thrones ab Anfang Dezember 2014



Haben wir etwas übersehen?

E-Mail an news@golem.de



Android 5.0: Lollipop läuft schneller ohne Dalvik und länger mit Volta
Android 5.0
Lollipop läuft schneller ohne Dalvik und länger mit Volta
  1. Android 5.0 Root für Lollipop ohne neuen Kernel
  2. Lollipop Android 5.0 für deutsche Nexus-Geräte ist da
  3. SE Android In Lollipop wird das Rooten schwer

Yoga Tablet 2 Pro im Test: Das Tablet mit dem eingebauten Kino
Yoga Tablet 2 Pro im Test
Das Tablet mit dem eingebauten Kino
  1. Lenovos Yoga Tablet 2 im Test Das Tablet mit dem Aufhänger
  2. Motorola Lenovo übernimmt Googles Smartphone-Sparte
  3. Yoga Tablet 2 Pro Lenovos 13-Zoll-Tablet mit Projektor und Subwoofer

Intel Edison ausprobiert: Ich seh dich - das Mona-Lisa-Projekt
Intel Edison ausprobiert
Ich seh dich - das Mona-Lisa-Projekt
  1. Intel Edison Kleinrechner mit Arduino-ähnlichem Board als Breakout

    •  / 
    Zum Artikel