Anzeige
Der Heartbleed-Bug bedroht die Verschlüsselung im Netz.
Der Heartbleed-Bug bedroht die Verschlüsselung im Netz. (Bild: Heartbleed.com/Screenshot: Golem.de)

Sicherheitslücke: Keys auslesen mit OpenSSL

Der Heartbleed-Bug bedroht die Verschlüsselung im Netz.
Der Heartbleed-Bug bedroht die Verschlüsselung im Netz. (Bild: Heartbleed.com/Screenshot: Golem.de)

Ein Fehler in OpenSSL lässt das Auslesen von Arbeitsspeicher zu. Damit können Angreifer private Keys von Servern erhalten. Eine sichere Verschlüsselung ist nicht mehr gewährleistet. Der Bug betrifft sehr viele Web- und Mailserver im Internet.

Anzeige

In OpenSSL wurde eine Sicherheitslücke entdeckt, welche die Sicherheit von TLS-Verbindungen vollständig untergräbt und einen großen Teil der im Internet verfügbaren Dienste betreffen dürfte. Ein Angreifer kann mit einem gezielt manipulierten Datenpaket Speicher auslesen. Laut Aussagen der Entdecker der Sicherheitslücke sei es ihnen in Tests damit gelungen, den privaten Schlüssel eines TLS-Servers zu extrahieren. Die Entdecker der Sicherheitslücke nennen diese Heartbleed Bug, sie hat die ID CVE-2014-0160 erhalten.

Die Sicherheitslücke steckt im Code für die sogenannte Heartbeat-Erweiterung von TLS. Sie wurde vor zwei Jahren in OpenSSL 1.0.1 eingeführt und soll langlebige, TLS-gesicherte Verbindungen erleichtern. Genutzt wird sie nur selten, aber in der Standardeinstellung von aktuellen OpenSSL-Versionen ist die Erweiterung aktiv. Alle Versionen von 1.0.1 bis einschließlich 1.0.1f sind betroffen. Eine korrigierte Version 1.0.1g wurde heute veröffentlicht und eine entsprechende Warnung vom OpenSSL-Team herausgegeben. Daneben behebt OpenSSL 1.0.1g noch zwei weitere, weniger gravierende Sicherheitsprobleme.

Entdeckt wurde die Sicherheitslücke unabhängig voneinander von einem Team der finnischen Sicherheitsfirma Codenomicon und dem Sicherheitsteam von Google. Die Entdecker befürchten allerdings, dass weitere Personen die Sicherheitslücke schon früher entdeckt haben könnten und sie bereits ausnutzen. Auf Serverseite gibt es keine Möglichkeit, eine Attacke zu erkennen, die in der Vergangenheit stattgefunden hat.

Alle Administratoren von Servern, die OpenSSL 1.0.1 einsetzen, sollten umgehend OpenSSL aktualisieren und alle Services, die TLS-Verbindungen ermöglichen, neu starten. Auch Anwendungssoftware nutzt häufig OpenSSL, Nutzer sollten daher in den nächsten Tagen nach Updates von Mailprogrammen, Browsern und anderen Netzapplikationen mit TLS-Unterstützung suchen. Unter Linux und anderen Unix-Systemen sollte die systemweite OpenSSL-Bibliothek aktualisiert werden. Glück gehabt haben Anwender älterer Distributionen, die noch auf OpenSSL 1.0.0 oder eine der 0.9-Versionen setzen, denn diese sind von dem Problem nicht betroffen.

Für Serveradministratoren stellt sich die Frage, ob sie nicht nur ihre Systeme updaten müssen, sondern auch davon ausgehen sollten, dass die privaten Keys von TLS-Diensten möglicherweise bereits gestohlen wurden. Da sich der Angriff nicht feststellen lässt, ist es möglicherweise ratsam, vorsorglich alle TLS-Zertifikate auszutauschen und sie durch neue Zertifikate mit neuen privaten Schlüsseln zu ersetzen.

Offenbar wurden einige Betreiber von Internetservices vorab von dem Problem informiert. Die Firma Cloudflare, ein großer Anbieter von Content Delivery Networks, schreibt in ihrem Blog, dass bereits vergangene Woche ein Update auf den Servern eingespielt wurde. Das wird vermutlich noch zu Diskussionen über den Veröffentlichungsprozess der Sicherheitslücke führen. Auf Twitter hat der Entwickler von GrSecurity, Brad Spengler, dieses Vorgehen kritisiert.

OpenSSL wird von einer Vielzahl von Server- und Clientsoftware verwendet. Die Mehrzahl der Webserver, die entweder die Software Apache oder nginx einsetzen, nutzt für HTTPS-Verbindungen OpenSSL. Auch die meisten Mailserver wie Postfix oder Sendmail nutzen OpenSSL. Laut Aussage von Ivan Ristic, der den bekannten SSL-Test der Firma Qualys betreibt, unterstützt etwa ein Drittel der HTTPS-Server im Netz TLS 1.2. Die meisten davon sind vermutlich von dem Problem betroffen.

Viele Administratoren haben in den vergangenen Monaten ihre Server auf OpenSSL 1.0.1 aktualisiert, weil es die erste Version von OpenSSL ist, welche die neueren Standards TLS 1.1 und 1.2 unterstützt. Zuletzt geriet die Sicherheit von TLS immer mehr unter Beschuss und nach verschiedenen Sicherheitsproblemen im Protokoll wie der BEAST-Attacke, der Lucky-Thirteen-Attacke und Angriffen auf das RC4-Verfahren galt eigentlich nur noch TLS 1.2 mit AES-GCM als wirklich sicher. Die Ironie der Geschichte ist also, dass vor allem die Administratoren, die sich um die Beseitigung von weit weniger kritischen Sicherheitsproblemen in TLS bemüht haben, jetzt von diesem gravierenden Bug betroffen sind.

Nachtrag vom 8. April 2014, 9:55 Uhr

Inzwischen gibt es verschiedene Onlinetests, mit denen sich die eigenen Server auf die Heartbleed-Lücke testen lassen. Ein Test für HTTPS-Server findet sich beispielsweise hier. Für die meisten wichtigen Linux-Distributionen wie Ubuntu, Debian und Fedora stehen inzwischen aktualisierte Pakete zur Verfügung, die alle Nutzer umgehend einspielen sollten. Das Apple-Betriebssystem Mac OS X Mavericks ist nicht verwundbar, da dort eine ältere Version von OpenSSL genutzt wird.


eye home zur Startseite
EynLinuxMarc 16. Dez 2014

Habt ihr nix anders zu tun als in jeder ecke NSA zu sehen. ????? Wird das nicht irgent...

frostbitten king 10. Apr 2014

Das gluabe ich nicht :). Allein das, ok, welche Befehle waren das noch gleich, und welche...

adminblogger 09. Apr 2014

Google nutzt unterschiedliche Rechenzentren und ja, je nachdem wo man gerade landet, auch...

Dopeusk18 09. Apr 2014

if (heartbleed == TRUE){ echo 'Alles Okay' } :D:D

scroogie 09. Apr 2014

Ja, ist es, wenn es gegen die entsprechende OpenSSL Version gelinkt ist. Sowohl Server...

Kommentieren



Anzeige

  1. Berater für "Radio Access" (m/w)
    Detecon International GmbH, Köln
  2. SPS-Softwareentwickler (m/w)
    KARL EUGEN FISCHER GMBH, Burgkunstadt bei Bamberg
  3. Sachbearbeiter/in Modellierungsservice
    Landeshauptstadt München, München
  4. IT-Administrator (m/w)
    Hunter International GmbH, Bielefeld

Detailsuche



Anzeige
Blu-ray-Angebote
  1. NEU: Angebote der Woche
    (u. a. The Dressmaker 11,97€, The Trust 11,97€, Barca 11,97€)
  2. VORBESTELLBAR: The Jungle Book 3D+ 2D [3D Blu-ray]
    27,99€ (Vorbesteller-Preisgarantie)
  3. Star Wars: Trilogie I-III [Blu-ray]
    33,00€

Weitere Angebote


Folgen Sie uns
       


  1. Neural Processing Engine

    Qualcomm bringt Deep-Learning-SDK für Snapdragon 820

  2. Kindle Oasis im Test

    Amazons E-Book-Reader ist ein echtes Mager-Modell

  3. Link

    Schließe mit Display soll Armbanduhren smart machen

  4. Spielemarkt

    Nintendo will keine Verluste mit NX-Hardware machen

  5. Niederschläge

    Die Vereinigten Arabischen Emirate wollen einen Berg

  6. Kontrollverlust

    Experte warnt vor Sex in automatisierten Autos

  7. Glasfaser

    Swisscom erreicht 1,1 Millionen Haushalte mit FTTH

  8. Neue Strategie

    Dell wird zu Dell Technologies und EMC zu Dell EMC

  9. Plötzliche Rückerstattung

    Apple verursacht finanziellen Schaden bei Entwickler

  10. Blizzard

    Overwatch geht mit allen Inhalten in die offene Beta



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Das Flüstern der Alten Götter im Test: Düstere Evolution
Das Flüstern der Alten Götter im Test
Düstere Evolution
  1. E-Sports ESL schließt Team Youporn aus
  2. Blizzard Hearthstone-Cheat-Tools verteilen Malware

PGP im Parlament: Warum mein Abgeordneter keine PGP-Mail öffnen kann
PGP im Parlament
Warum mein Abgeordneter keine PGP-Mail öffnen kann

Nordrhein-Westfalen: Deutsche Telekom beginnt mit Micro-Trenching für Glasfaser
Nordrhein-Westfalen
Deutsche Telekom beginnt mit Micro-Trenching für Glasfaser
  1. FTTH Deutsche Glasfaser will schnell eine Million anschließen
  2. M-net Glasfaser für 70 Prozent der Münchner Haushalte
  3. FTTH Telekom wird 1 GBit/s für Selbstbauer überall anbieten

  1. Re: Ist so ein Gebaren auch aus Amazon USA bekannt..?

    chithanh | 12:27

  2. Finanzierung des Projekts...

    RicoBrassers | 12:27

  3. Re: Deshalb bestelle ich so gut wie nie bei Amazon...

    My1 | 12:26

  4. Re: Mit anderen Worten: Kundenabzocken

    Truster | 12:26

  5. Re: Tim Cook und der Fiebertraum

    Gromran | 12:25


  1. 12:40

  2. 12:04

  3. 12:02

  4. 12:01

  5. 11:54

  6. 11:32

  7. 10:59

  8. 10:52


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel