Kritische Sicherheitslücke in der freien IPsec-Implementierung
Kritische Sicherheitslücke in der freien IPsec-Implementierung (Bild: Strongswan)

Strongswan: IPsec-Implementierung akzeptiert leere Signaturen

In der Software Strongswan, die unter Linux und anderen Unix-Systemen für IPsec-Verbindungen eingesetzt wird, wurden ungültige Signaturen für das ECDSA-Verfahren akzeptiert. Eine gravierende Sicherheitslücke, die mehrere Jahre unentdeckt blieb.

Anzeige

Die Entwickler der IPsec-Implementierung Strongswan haben mit der Version 5.0.4 eine gravierende Sicherheitslücke behoben. Wie die Entwickler in ihrem Blog mitteilen, akzeptieren bisherige Versionen von Strongswan leere oder nur aus Nullen bestehende Signaturen für das ECDSA-Verfahren. Es ist also für einen Angreifer trivial möglich, Signaturen zu fälschen.

Strongswan ist eine Implementierung des IPsec-Protokolls, mit dem sich verschlüsselte und authentifizierte IP-Verbindungen unter Linux und anderen Unix-Systemen realisieren lassen. Es ist zurzeit die meistverwendete Ipsec-Implementierung für Linux und ein Fork der Software FreeS/Wan, deren Entwicklung 2004 eingestellt wurde.

Das Problem bestand seit der Version 4.3.5, die bereits 2009 veröffentlicht wurde. Es tritt nur dann auf, wenn OpenSSL als Kryptographie-Bibliothek verwendet wird. Anwender, die von dem Problem möglicherweise betroffen sind, sollten die aktuelle Version 5.0.4 installieren oder einen von den Entwicklern bereitgestellten Patch einspielen. Das Problem hat die ID CVE-2013-2944 erhalten.

Die Strongswan-Entwickler weisen darauf hin, dass bereits im vergangenen Jahr eine ähnliche Sicherheitslücke gefunden wurde, die aber mit der aktuellen nichts zu tun hat. Bis zur Version 4.6.2 akzeptierte Strongswan unter bestimmten Umständen leere oder aus Nullen bestehende RSA-Signaturen. Der aktuelle Fehler hat allerdings mit der damaligen Sicherheitslücke nichts zu tun.


.................. 04. Mai 2013

doch, es gibt seit 1-2 Monaten eine kostenlose openvpn App fuer ios, funktioniert auch...

Kommentieren



Anzeige

  1. Mitarbeiter / Mitarbeiterin für IT-Systemadministration
    Bundesvereinigung Lebenshilfe e. V., Marburg
  2. Webentwickler PHP / MySQL (m/w)
    Guest-One GmbH, Wuppertal
  3. Ingenieur Elektrotechnik / Informationstechniker (m/w)
    IT Solutions GmbH, Frankfurt am Main
  4. IT-Mitarbeiter/-in für EDV-Systemtechnik
    ICS IT & Consulting Services GmbH, Frankfurt

 

Detailsuche


Folgen Sie uns
       


  1. Linux-Distribution

    Less als mögliches Einfallstor

  2. Mobilfunktarif

    Spotify Family bei der Telekom nicht nutzbar

  3. Test Escape Dead Island

    Urlaub auf der Zombieinsel

  4. Compute Stick

    Intels HDMI-Stick kommt noch 2014

  5. Lifetab S10346

    Medion-Tablet kommt doch in alle Aldi-Filialen

  6. Snapdragon 810

    Erstes Smartphone mit 4 GByte RAM und USB 3.0

  7. Cross-Site-Scripting

    Kritische Wordpress-Lücke betrifft 86 Prozent der Seiten

  8. NSA-Ausschuss

    Meisterschule für Geheimniskrämer

  9. Lightpaper

    Rohinni druckt Leuchtdioden

  10. Fusion

    Telefónica will O2 verkaufen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Technik-Test Assassin's Creed Unity: Paris - die Stadt der Liebe zu Details
Technik-Test Assassin's Creed Unity
Paris - die Stadt der Liebe zu Details
  1. Test Assassin's Creed Rogue Abstecher zu den Templern
  2. Assassin's Creed Unity Patch-Evolution statt Revolution
  3. Test Assassin's Creed Unity Schöner meucheln in Paris

Yoga 3 Pro Convertible im Test: Flach, leicht, hochauflösend, kurzatmig
Yoga 3 Pro Convertible im Test
Flach, leicht, hochauflösend, kurzatmig
  1. HP Omen 15 Beleuchtetes Gaming-Ultrabook mit ungewöhnlicher Kühlung
  2. Weniger Consumer-Notebooks Toshiba baut 900 Arbeitsplätze in der PC-Sparte ab
  3. Asus Zenbook UX305 Das flachste Ultrabook mit QHD-Display

Lichtfeldkamera Lytro Illum: Das Spiel mit der Tiefenschärfe
Lichtfeldkamera Lytro Illum
Das Spiel mit der Tiefenschärfe
  1. Lichtfeldkamera Lytro will in neue Märkte einsteigen
  2. Augmented Reality Google investiert 542 Millionen US-Dollar in Magic Leap
  3. Lytro Lichtfeldfotografie bildet die Tiefe der Welt ab

    •  / 
    Zum Artikel