Abo
  • Services:

Verschlüsselte Befehle lassen sich mit Padding Oracle generieren

Die Lücke in Primefaces ermöglicht ein sogenanntes Padding Oracle, eine kryptographische Schwäche, bei der ein Server unterschiedliche Antworten bei der Entschlüsselung einer Blockverschlüsselung gibt und somit dem Angreifer Informationen liefert, die dieser nutzen kann.

Stellenmarkt
  1. Alfred Kärcher SE & Co. KG, Winnenden
  2. DEKRA SE, Stuttgart

Bei Primefaces können verschlüsselte Befehle an ein Interface geschickt werden. Doch die Verschlüsselung hat eine ganze Reihe von Problemen. Zunächst einmal nutzt sie, wenn nicht anders angegeben, ein Standardpasswort. Doch auch wenn man das Passwort ändert, hilft das nichts. Denn die Verschlüsselung nutzt keine Authentifizierung.

Uralte Verschlüsselung, Standardpasswort, fehlende Authentifizierung

Hier kommt das Padding Oracle ins Spiel. Der Server antwortet mit unterschiedlichen HTTP-Codes, je nachdem ob die entschlüsselte Nachricht ein korrektes Padding enthält oder nicht. Damit lassen sich Daten entschlüsseln. Die Grundidee dieses Angriffs hatte 2002 der Kryptograph Sergey Vaudenay erstmals beschrieben.

Zudem nutzt das Ganze eine Verschlüsselung mit dem DES-Algorithmus. Dieser stammt aus den 70ern und lässt sich allein aufgrund der kurzen Schlüssellänge von 56 bit mit einem simplen Brute-Force-Angriff, also dem Ausprobieren aller Schlüssel, knacken. Das ist mit entsprechender Rechenpower in einigen Stunden machbar.

Doch ein Angriff auf DES ist im Fall von Primefaces gar nicht nötig, denn das Padding Oracle bietet einen schnelleren Weg. Damit lassen sich nicht nur Daten entschlüsseln, sondern auch neue Daten verschlüsseln. Mit einigen Hundert Anfragen an den Server kann man somit einen entsprechend verschlüsselten Befehl vorbereiten.

Angriff mit öffentlich verfügbaren Tools durchführbar

Mit einem öffentlich verfügbaren Tool namens Padbuster kann man den Angriff durchführen. Im Blogpost der Firma Minded Security gibt es dazu eine detaillierte Anleitung.

Der Angriff funktioniert nicht immer, da man den Inhalt des ersten Datenblocks nicht kontrollieren kann. Doch nach einigen Versuchen gelang es uns, einen harmlosen Testcode auszuführen, der einen HTTP-Header einfügt. Da der Server den entsprechenden HTTP-Header in seiner Antwort mit ausgab, konnten wir uns sicher sein, dass die Sicherheitslücke tatsächlich vorhanden und praktisch ausnutzbar ist.

 BeA: Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet
  1.  
  2. 1
  3. 2


Anzeige
Hardware-Angebote
  1. 45,99€
  2. (u. a. Fractal Design Meshfy Light Tint 69,90€)

treba 28. Feb 2019

Volle Zustimmung, coole Aktion!

Proctrap 15. Apr 2018

nö, wird einfach für sicher erklärt durch senken des Standards

IchBinFanboyVon... 15. Apr 2018

Schon mal mit nem Jurist über IT Sicherheit oder Datenschutz gesprochen? Mache ich...

Anonymer Nutzer 14. Apr 2018

Die Schlüssel an alle Instanzen zu verteilen ist so ein grober und ganz enorm dümmer...

eddie8 13. Apr 2018

Antwort: "Bitte haben Sie Verständnis, dass der beA-Support nur dann tätig werden kann...


Folgen Sie uns
       


Kingdom Hearts 3 - Test

Das Actionspiel Kingdom Hearts 3 von Square Enix bietet schöne und stimmige Abenteuer in vielen unterschiedlichen Welten von Disney.

Kingdom Hearts 3 - Test Video aufrufen
Sechs Airpods-Konkurrenten im Test: Apple hat nicht die Längsten
Sechs Airpods-Konkurrenten im Test
Apple hat nicht die Längsten

Nach dem Klangsieger und dem Bedienungssieger haben wir im dritten Test den kabellosen Bluetooth-Hörstöpsel mit der weitaus besten Akkulaufzeit gefunden. Etwas war aber wieder nicht dabei: die perfekten True Wireless In-Ears.
Ein Test von Ingo Pakalski


    Galaxy S10+ im Test: Top und teuer
    Galaxy S10+ im Test
    Top und teuer

    Mit dem Galaxy S10+ bringt Samsung erstmals eine Dreifachkamera in eines seiner Top-Smartphones. Die Entwicklung, die mit dem Galaxy A7 begann, hat sich gelohnt: Das Galaxy S10+ macht sehr gute Bilder, beim Preis müssen wir aber schlucken.
    Ein Test von Tobias Költzsch

    1. Samsung Gesichtsentsperrung des Galaxy S10 lässt sich austricksen
    2. Samsung Galaxy S10 Europäer erhalten weiter langsameren Prozessor
    3. Galaxy S10 im Hands on Samsung bringt vier neue Galaxy-S10-Modelle

    Trüberbrook im Test: Provinzielles Abenteuer
    Trüberbrook im Test
    Provinzielles Abenteuer

    Neuartiges Produktionsverfahren, prominente Sprecher: Das bereits vor seiner Veröffentlichung für den Deutschen Computerspielpreis nominierte Adventure Trüberbrook bietet trotz solcher Auffälligkeiten nur ein allzu braves Abenteuer in der deutschen Provinz der 60er Jahre.
    Von Peter Steinlechner

    1. Quellcode Al Lowe verkauft Disketten mit Larry 1 auf Ebay
    2. Wet Dreams Don't Dry im Test Leisure Suit Larry im Land der Hipster
    3. Life is Strange 2 im Test Interaktiver Road-Movie-Mystery-Thriller

      •  /