Abo
  • Services:
Anzeige
Cloudfare wollte wissen, ob private Keys auslesbar sind.
Cloudfare wollte wissen, ob private Keys auslesbar sind. (Bild: Cloudfare/Screenshot: Golem.de)

Heartbleed: Keys auslesen ist einfacher als gedacht

Zwei Personen ist es gelungen, private Schlüssel mit Hilfe des Heartbleed-Bugs aus einem Nginx-Testserver auszulesen. Der Server gehört der Firma Cloudflare, die mit einem Wettbewerb sicherstellen wollte, dass das Auslesen privater Schlüssel unmöglich ist.

Anzeige

Der Heartbleed-Bug ist möglicherweise gravierender als gedacht. Zwar konnte vielfach gezeigt werden, dass Server Passwörter, TLS-Session-Cookies und andere kritische Daten preisgaben, aber nur wenigen ist es bisher gelungen, private Schlüssel zu extrahieren. Das gelang nur unter Laborbedingungen direkt nach dem Neustart eines Servers. Doch offenbar ist das Extrahieren der privaten Keys einfacher als angenommen.

Die Firma Cloudflare wollte es genauer wissen. Das Unternehmen setzt selbst viele HTTPS-Server mit der Software Nginx und OpenSSL ein. Nach einer Analyse gingen die Sicherheitsexperten von Cloudflare eigentlich davon aus, dass beim Webserver Nginx das Auslesen der privaten Keys extrem unwahrscheinlich oder sogar ganz unmöglich ist. Um das zu prüfen, hat Cloudflare am Freitag einen Testserver aufgesetzt und die Heartbleed Challenge ausgerufen.

Es hat nicht lange gedauert, bis die ersten Erfolge vermeldet wurden. Der Nodejs-Entwickler Fedor Indutny hat als Erster erfolgreich nachgewiesen, dass er im Besitz des privaten Schlüssels des Testservers ist. Er benötigte dafür 2,5 Millionen Anfragen. Kurz darauf gelang es einem zweiten Tester, Ilkka Mattila vom National Cyber Security Centre Finland (NCSC-FI), den privaten Key des Servers zu extrahieren. Er benötigte dafür nur etwa 100.000 Anfragen an den Server.

Damit ist wohl der Beweis erbracht, dass der Heartbleed-Bug das Extrahieren von privaten Keys ermöglicht. Da es bereits Hinweise gibt, dass Heartbleed von einigen Angreifern schon vor Monaten ausgenutzt worden war, dürfte zumindest bei sicherheitskritischen Services für Webadministratoren kaum ein Weg daran vorbeiführen, ihre Zertifikate zu tauschen. Problematisch ist dabei allerdings, dass die alten Zertifikate selbst dann eine Gefahr darstellen. Zwar kann man Zertifikate von der Zertifizierungsstelle zurückziehen lassen, doch von den heutigen Browsern wird die Gültigkeit der Zertifikate entweder gar nicht oder nur unzureichend getestet. Beide für den Rückruf zur Verfügung stehenden Verfahren - CRL (Certificate Revocation List) und OCSP (Online Certificate Status Protocol) - haben in der Praxis einige Probleme.

Details darüber, wie die beiden Entwickler an den privaten Key gelangten, wurden bislang nicht veröffentlicht. Interessant wäre dabei vor allem, ob sich die Angriffe auch auf andere Webserver übertragen lassen und ob insbesondere auch der Marktführer Apache verwundbar ist. Welche Daten ein Heartbleed-Angriff offenlegt, hängt vor allem davon ab, wie Betriebssystem und Serversoftware diese im Speicher ablegen.

Dan Kaminsky schreibt in seinem Blog, dass er davon ausgehe, dass innerhalb der nächste Wochen Software auftauchen werde, die auf einfache Weise das Extrahieren privater Keys von Servern mit der Heartbleed-Lücke ermöglichen werde.


eye home zur Startseite
jayrworthington 15. Apr 2014

Wenn die es dieselbe api sind, ja, aber auch bei dynamisch gelinkten applikationen...

bernd71 14. Apr 2014

Closed source muss ja nicht heißen das sich niemand den Code angesehen hat. Man kann ja...

lottikarotti 14. Apr 2014

Lass es dir schmecken..

widdermann 13. Apr 2014

Es zwingt dich ja niemand Firefox und eBay zu benutzen, zumal beides eh USA-Produkte sind...

Ext3h 13. Apr 2014

Postgeheimnis? In der Regel einfach durch das Öffnen des Briefes und anschließendes...



Anzeige

Stellenmarkt
  1. Schwarz IT Infrastructure & Operations Services GmbH & Co. KG, Neckarsulm
  2. MCM Klosterfrau Vertriebsgesellschaft mbH, Köln
  3. INTENSE AG, Würzburg, Köln
  4. ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Darmstadt


Anzeige
Blu-ray-Angebote
  1. (u. a. Apollo 13, Insidious, Horns, King Kong, E.T. The Untouchables, Der Sternwanderer)
  2. 12,99€
  3. 125,00€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitskonzeption für das App-getriebene Geschäft
  2. Kritische Bereiche der IT-Sicherheit in Unternehmen
  3. Wichtige Anwendungen von automatisierter Inventarisierung


  1. Apple

    Aktivierungssperre des iPads lässt sich umgehen

  2. Amazon

    Downloader-App aus dem Fire-TV-Store entfernt

  3. Autonomes Fahren

    Apple zeigt Interesse an selbstfahrenden Autos

  4. Sicherheit

    Geheimdienst warnt vor Cyberattacke auf russische Banken

  5. Super Mario Bros. (1985)

    Fahrt ab auf den Bruder!

  6. Canon EOS 5D Mark IV im Test

    Grundsolides Arbeitstier mit einer Portion Extravaganz

  7. PSX 2016

    Sony hat The Last of Us 2 angekündigt

  8. Raspberry Pi

    Schutz gegen Übernahme durch Hacker und Botnetze verbessert

  9. UHD-Blu-ray

    PowerDVD spielt 4K-Discs

  10. Raumfahrt

    Europa bleibt im All



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Udacity: Selbstfahrendes Auto selbst programmieren
Udacity
Selbstfahrendes Auto selbst programmieren
  1. Strategiepapier EU fordert europaweite Standards für vernetzte Autos
  2. Autonomes Fahren Comma One veröffentlicht Baupläne für Geohot-Nachrüstsatz
  3. Autonomes Fahren Intel baut Prozessoren für Delphi und Mobileye

Oneplus 3T im Test: Schneller, ausdauernder und immer noch günstig
Oneplus 3T im Test
Schneller, ausdauernder und immer noch günstig
  1. Smartphone Oneplus 3T mit 128 GByte wird nicht zu Weihnachten geliefert
  2. Android-Smartphone Oneplus Three wird nach fünf Monaten eingestellt
  3. Oneplus 3T Oneplus bringt Three mit besserem Akku und SoC

Seoul-Incheon Ecobee ausprobiert: Eine sanfte Magnetbahnfahrt im Nirgendwo
Seoul-Incheon Ecobee ausprobiert
Eine sanfte Magnetbahnfahrt im Nirgendwo
  1. Transport Hyperloop One plant Trasse in Dubai

  1. vr

    userlast | 23:10

  2. Re: Lies ein Lexikon

    Moe479 | 23:09

  3. Re: hmm bullig sieht die jetzt nicht aus

    Thunderbird1400 | 23:08

  4. Re: Und man muss nicht mal

    Moe479 | 22:52

  5. Re: 4000¤ - WTF?

    happymeal | 22:51


  1. 12:54

  2. 11:56

  3. 10:54

  4. 10:07

  5. 08:59

  6. 08:00

  7. 00:03

  8. 15:33


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel