BEAST

Forscher wollen Angriff auf SSL/TLS demonstrieren

Die beiden Sicherheitsforscher Juliano Rizzo und Thai Duong wollen Ende der Woche auf der Ekoparty Security Conference einen Angriff auf SSL/TLS vorstellen, mit dem sich die verschlüsselte Kommunikation mit Webseiten abhören lässt.

Artikel veröffentlicht am 20. September 2011, 9:12 Uhr, Jens Ihlenfeld

Sicherheitsforscher Thai Duong (Bild: Thai Duong)

Rizzo und Duong haben nach eigenen Angaben einen neuen, schnellen Angriff gegen SSL/TLS entdeckt und wollen in ihrem für Freitag angekündigten Vortrag BEAST: Surprising crypto attack against HTTPS zeigen, wie sich Authentifizierungscookies für HTTPS-Requests entschlüsseln lassen.

Ihr Angriff richtet sich laut Ankündigung gegen eine Schwachstelle der SSL-/TLS-Implementierung aller großen Browser.

Nach Angaben der britischen Website The Register, die mit Duong gesprochen hat, steckt das Problem in der Implementierung von TLS 1.0 und funktioniert auch gegen Websites, die auf HSTS oder HTTP Strict Transport Security setzen und wird von den Forschern am Beispiel eines Authentifizierungscookies von Paypal demonstriert. Dabei werden laut Duong HTTPS-Requests entschlüsselt.