IPSec-Sicherheit - Schlüsselaustausch als Schwachpunkt
IPSec setzt auf das ISAKMP, ein Standardprotokoll der Arbeitsgruppe IETF (Internet Engineering Task Force), das der Verwaltung und Aktualisierung von Schlüsseln dient, wobei die IP-Übertragung verschlüsselt erfolgt und darüber hinaus authentifiziert werden muss. Die nicht näher beschriebenen Schwachstellen ermöglichen es, betroffene Geräte zu verlangsamen, zum Absturz zu bringen oder gar Code auszuführen.
Das Forscherteam der Universität Oulu entdeckte die Schwachstellen bei Tests am Netzverwaltungsprotokoll SNMP mittels der eigens entwickelten "Protos ISAKMP Test Suite for Phase 1". Dabei entdeckten die Forscher anomale Daten im Kommunikationsaufbau, die unterschiedliche Auswirkungen hatten. Der Schweregrad der Störung variierte bei den verschiedenen Geräteherstellern.
Cisco hat die Schwachstellen und die sich dadurch ergebende Möglichkeit einer Denial-of-Service-Attacke bestätigt – mittlerweile veröffentlichte Software-Updates(öffnet im neuen Fenster) für betroffene Cisco-Hardware sollen das Problem aus der Welt schaffen. Cisco beschwichtigte dabei, dass der Sicherheitsfehler höchstens einen Neustart der Geräte oder eine temporäre Ablehnung des Dienstes zur Folge hätte. Zum möglichen Einschleusen von Daten ins Netzwerk, die eine ungleich größere Gefährdung darstellt, gab es hingegen keine Angaben.
Juniper hat sich unterdessen noch nicht geäußert, soll aber laut des britischen National Infrastructure Security Co-ordination Centre (NISCC) bereits Änderungen am JUNOS vorgenommen haben. Eine Liste der untersuchten und als sicher oder unsicher geltenden Netzwerkprodukte veröffentlichte(öffnet im neuen Fenster) das NISCC als PDF-Datei.
Auch die in Linux genutzte IPSec-Implementierung Openswan ist von dem Problem betroffen. Die Version 2.4.2 von Openswan(öffnet im neuen Fenster) soll das Problem aber beheben. [von Mark Ralea und Christian Klass]