Sicherheitsloch im SSL-Protokoll
Das Sicherheitsleck tritt bei der erneuten Aushandlung der Parameter für eine bestehende TLS-Verbindung auf, berichtet Marsh Ray(öffnet im neuen Fenster) von Phonefactor. Der Fehler wurde bereits Anfang August 2009 gefunden, aber Ray wollte weitere Untersuchungen zu der Sicherheitslücke vornehmen. Die Ergebnisse dieser Arbeit stellt Ray in einem Zip-Archiv(öffnet im neuen Fenster) zur Verfügung.
Das SSL-Protokoll wird bei HTTPS-Verbindungen sowie beim Zugriff auf E-Mail-Postfächer via IMAP oder POP3 verwendet. Ein Angreifer könnte bei einem Angriff per Webbrowser eine HTTPS-Verbindung abfangen und dem Client dann eine vermeintlich vertrauensvolle Quelle vorgaukeln. Damit könnten vertrauliche Daten in fremde Hände gelangen.
Für OpenSSL hat Ben Laurie(öffnet im neuen Fenster) bereits einen Patch veröffentlicht, der allerdings den Fehler nicht direkt beseitigt. Stattdessen wird die Neuaushandlung der TLS-Parameter verhindert.