Lösung für SSL-/TLS-Schwachstelle veröffentlicht

Neue TLS-Extension speichert Information zu bestehenden Verbindungen. Damit die Neuverhandlung von TLS- und SSL-Verbindungen künftig sicher vonstatten geht, werden Daten, die zur Neuverhandlung einer Verbindung benötigt werden, Zertifikate etwa, in einer neuen TLS-Erweiterung gespeichert. Die Sicherheitsschwachstelle war Ende letzten Jahres bekanntgeworden.

13. Januar 2010 um 14:29 Uhr / Jörg Thoma

Mitte 2009 wurde eine Sicherheitslücke in den Protokollen SSL und TLS gefunden, die für Man-in-the-Middle-Attacken ausgenutzt werden kann. Während einer Neuverhandlung einer verschlüsselten Verbindung konnten Angreifer eigene Inhalte einschleusen. Eine Erweiterung des TLS-Protokolls soll diese Schwachstelle nun beseitigen.

Die Erweiterung sieht unter anderem die Speicherung des Status der Verbindung vor. Damit soll die Zuordnung der Anfrage des Clients vor und nach einer Neuverhandlung authentifiziert werden können. Durch die bislang nicht eindeutig zuweisbare Anfrage wurde das vom Client gelieferte Zertifikat vom Server anstandslos akzeptiert.

Bislang wurden die Neuverhandlungen einfach abgeschaltet. Die Internet Engineering Task Force (IETF) hat jetzt unter den Namen Transport Layer Security (TLS) Renegotiation Indication Extension die aktuelle Lösung als Draft veröffentlicht. Inwieweit die Hersteller, die das TLS-/SSL-Protokoll verwenden, die gegenwärtigen Änderungen bereits eingebaut und getestet haben, ist auf der Webseite von Phonefactor veröffentlicht.