Abo
  • Services:
Anzeige
Google will Entwicklern bei der Absicherung von SSL/TLS-Verbindungen helfen.
Google will Entwicklern bei der Absicherung von SSL/TLS-Verbindungen helfen. (Bild: Lee-Sean Huang - CC-BY-SA 2.0)

Nogotofail: Google-Tool hilft Entwicklern bei Netzwerksicherheit

Google will Entwicklern bei der Absicherung von SSL/TLS-Verbindungen helfen.
Google will Entwicklern bei der Absicherung von SSL/TLS-Verbindungen helfen. (Bild: Lee-Sean Huang - CC-BY-SA 2.0)

Gotofail, Heartbleed, Poodle: Derartige Sicherheitslücken sollen Entwickler, die TLS-Verbindungen benutzten, mit dem Google-Werkzeug Nogotofail verhindern. Genutzt werden dazu MITM und Clients auf vielen Plattformen.

Anzeige

Dass die Verwendung von SSL und TLS allein nicht für die Sicherheit ausreicht, zeigen zahlreiche Lücken in Verbindungen mit den Techniken aus diesem Jahr wie Heartbleed, Poodle oder Gotofail. Letzteres dient auch als Namensgeber für ein Werkzeug von Google, welches das Unternehmen intern bereits benutzt und nun frei zur Verfügung stellt. Mit Nogotofail sollen fehlerhafte Konfigurationen oder auch die Ausnutzung bekannter Sicherheitslücken in SSL/TLS aktiv durch Anwendungsentwickler verhindert werden können.

Obwohl das Werkzeug vom Android-Sicherheitsteam entwickelt worden ist, soll es neben Android auch für iOS, Mac OS X, Windows, Linux, Chrome OS und "tatsächlich für jedes Gerät, das sich mit dem Internet verbindet" genutzt werden können. Zusätzlich zum Finden von Fehlern und der Verifizierung, dass diese behoben sind, soll mit Nogotofail außerdem besser verstanden werden, welcher Netzwerkverkehr durch welche Geräte und Anwendungen hervorgerufen wird.

Man-In-The-Middle und Client

Hauptbestandteil des Werkzeugs ist eine in Python geschriebene Anwendung, die als Man-In-The-Middle (MITM) agiert und per TCP übertragene Daten abfängt, wie es in der Dokumentation heißt. Demnach werden die Daten einzelner Verbindungen wiederum aktiv modifiziert, um diese so auf Fehler zu testen oder nach möglichen Problemen zu suchen. Statt auf Portnummern zu achten, verwendet Nogotofail Deep Packet Inspection, wodurch auch Verbindungen überprüft werden können, die STARTTLS verwenden.

Dabei werden aber nicht sämtliche Verbindungen direkt "zerstörerisch attackiert", vielmehr wird ein probabilistischer Ansatz verfolgt, bei dem nur etwa zehn Prozent aller Verbindungen einem entsprechenden Test unterzogen werden. Das soll vor allem die Funktionsfähigkeit der Testumgebung gewährleisten. Um spezifischer zu testen, kann die Wahrscheinlichkeit aber auch auf 100 Prozent erhöht werden.

Eingesetzt werden kann das Werkzeug auf Routern, VPN- und Proxy-Servern oder eben auch auf einfachen Rechnern. Da es aber oft sehr schwierig ist, genau zu bestimmen, welcher Bestandteil oder welche Anwendung für eine angreifbare Verbindung verantwortlich ist, gehört zu Nogotofail auch ein Client, der bisher für Android- und Linux-Systeme bereit steht.

Der Client läuft auf dem Gerät, sammelt die gewünschten Informationen zu den Verbindungen und kommuniziert mit dem MITM. Darüber hinaus werden Nutzer über gefundene Schwachstellen von dem MITM informiert. So müssen sich die Anwender nicht mehr durch Logdateien arbeiten. Zudem stehen so detaillierte Informationen über die Lücke zur Verfügung, die das Verständnis dieser vereinfachen sollen.

Der Code steht unter der Apache-Lizenz zum Download über Github bereit, der Einsatz des MITM ist auf Linux-System zugeschnitten und verwendet Iptables. Eine kurze Anleitung zur Benutzung findet sich ebenfalls online.


eye home zur Startseite
BigRed 20. Nov 2014

Wir erinnern uns an den Apple SSL Bug: Genau eine Anweisung hat zum Bug und zum Aushebeln...



Anzeige

Stellenmarkt
  1. Terra Canis GmbH, München
  2. DATAGROUP Köln GmbH, Köln
  3. T-Systems on site services GmbH, München
  4. IT-Dienstleistungszentrum Berlin Anstalt des öffentlichen Rechts, Berlin


Anzeige
Top-Angebote
  1. 1169,00€
  2. (u. a. ROG Strix GTX1080-8G-Gaming, ROG Strix GTX1070-8G-Gaming u. ROG Strix Radeon RX 460 OC)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  2. Kritische Bereiche der IT-Sicherheit in Unternehmen
  3. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie


  1. Ultrastar He12

    WD plant Festplatten mit bis zu 14 Terabyte

  2. LG

    Weitere Hinweise auf Aufgabe des bisherigen Modulsystems

  3. Onlinewerbung

    Forscher stoppen monatelange Malvertising-Kampagne

  4. Steep im Test

    Frei und einsam beim Bergsport

  5. Streaming

    Netflix-Nutzer wollen keine Topfilme

  6. Star Wars Rogue One VR Angespielt

    "S-Flügel in Angriffsposition!"

  7. Kaufberatung

    Die richtige CPU und Grafikkarte

  8. Android

    Google kann Größe von App-Updates weiter verringern

  9. Exilim EX-FR 110H

    Casio stellt Actionkamera für die Nacht vor

  10. Webmailer

    Mit einer Mail Code in Roundcube ausführen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Gigaset Mobile Dock im Test: Das Smartphone wird DECT-fähig
Gigaset Mobile Dock im Test
Das Smartphone wird DECT-fähig

Civilization: Das Spiel mit der Geschichte
Civilization
Das Spiel mit der Geschichte
  1. Civilization 6 Globale Strategie mit DirectX 12
  2. Take 2 GTA 5 saust über die 70-Millionen-Marke
  3. Civilization 6 im Test Nachhilfestunde(n) beim Städtebau

Oculus Touch im Test: Tolle Tracking-Controller für begrenzte Roomscale-Erfahrung
Oculus Touch im Test
Tolle Tracking-Controller für begrenzte Roomscale-Erfahrung
  1. Microsoft Oculus Rift bekommt Kinomodus für Xbox One
  2. Gestensteuerung Oculus Touch erscheint im Dezember für 200 Euro
  3. Facebook Oculus zeigt drahtloses VR-Headset mit integriertem Tracking

  1. Solange sich wie immer am Preis/TB nichts tut...

    Fuchur | 15:10

  2. Re: Kaufmännische Argumentation

    Kondratieff | 15:10

  3. Re: Gute aktuelle Topfilme sind auch sehr selten...

    lear | 15:10

  4. Re: Kino lohnt sich nur bei IMAX-3D-Filmen...

    Dino13 | 15:09

  5. Re: Schwungradgeneratoren - preiswerter und...

    Eheran | 15:09


  1. 14:43

  2. 14:20

  3. 14:07

  4. 14:00

  5. 13:10

  6. 12:25

  7. 11:59

  8. 11:44


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel