Sicherheitslücke: Openssl-Projekt veröffentlicht Update

Version 0.9.8l deaktiviert defektes TLS/SSL-Protokoll. Mit einer neuen Version 0.9.8l der Toolsammlung Openssl rund um das Sicherheitsprotokoll TLS/SSL haben Entwickler eine kritische Sicherheitslücke geschlossen. Sie war im SSL-Protokoll entdeckt worden und betrifft nicht nur Openssl, sondern alle auf dem SSL-Protokoll aufsetzende Software.

9. November 2009 um 12:55 Uhr / Jörg Thoma

Die aktuelle Version von Openssl deaktiviert ein sogenanntes Renegotiation-Flag, um die Sicherheitslücke zu schließen. Bislang wurde standardmäßig Openssl mit erlaubter, unsicherer Neuaushandlung gestartet. Die Sicherheitslücke kann per Neusetzen des Flags auch in aktuellen Versionen geschlossen werden. Dabei muss aber komplett auf Neuaushandlung verzichtet werden.

Die Lücke selbst wurde vor wenigen Tagen sowohl im SSL- als auch im TLS-Protokoll entdeckt . Somit betrifft der Fehler nicht nur das Openssl-Projekt, sondern sämtliche Software, die das Protokoll für sichere verschlüsselte Verbindungen über das Internet aufsetzt. Ein Angreifer kann unter Umständen schadhaften Code in gesendete SSL/TLS-Pakete einfügen und somit die Zertifikatsabfrage manipulieren.