Abo
  • Services:
Anzeige
Panne bei der Serverinstallation: Viele Hetzner-Server nutzen identische Ed25519-SSH-Keys.
Panne bei der Serverinstallation: Viele Hetzner-Server nutzen identische Ed25519-SSH-Keys. (Bild: Hetzner)

Ed25519: Mehrfach genutzte SSH-Keys auf Hetzner-Servern

Panne bei der Serverinstallation: Viele Hetzner-Server nutzen identische Ed25519-SSH-Keys.
Panne bei der Serverinstallation: Viele Hetzner-Server nutzen identische Ed25519-SSH-Keys. (Bild: Hetzner)

Auf den Installationsimages für Server der Firma Hetzner fanden sich für mehrere Monate vorinstallierte SSH-Keys. Die betroffenen Server sind somit für Man-in-the-Middle-Angriffe anfällig.

Kunden des Webhosters Hetzner, die im vergangenen Jahr einen Root-Server installiert haben, sollten ihre SSH-Keys prüfen. Wie Hetzner in seinem Wiki mitteilt, gab es einen Fehler in der Installationsroutine, der dazu führte, dass bei der Neuinstallation von Systemen ein SSH-Key mit dem Algorithmus Ed25519 vorinstalliert war. Das führt nun dazu, dass zahlreiche Systeme denselben Key verwenden - ein gravierendes Sicherheitsrisiko.

Anzeige

Laut Hetzner tritt das Problem seit dem 10. April 2015 auf. Entdeckt hat es Thomas Arendsen Hein von der Firma Intevation. Hein hatte beobachtet, dass zwei von ihm bestellte Server mit vorinstalliertem Debian Jessie denselben Host-Key für Ed25519 verwendeten. Anschließend fand er weitere Systeme mit demselben Problem.

Im Hetzner-Wiki sind die Fingerprints der jeweiligen Keys aufgeführt. Betroffen sind demnach verschiedene Versionen von CentOS, Debian, Opensuse und Ubuntu. Kunden, deren Server von dem Problem betroffen sind, hat Hetzner per Mail informiert.

Skript durchsucht System nach verwundbaren Keys

Wir haben ein Skript bereitgestellt, welches das System nach verwundbaren Keys durchsucht. Es prüft den systemweiten Host-Key und alle Keys, die sich in den known_hosts-Dateien befinden, also die Keys von Servern, mit denen sich ein Nutzer in der Vergangenheit verbunden hat.

Der Ed25519-Algorithmus wurde Anfang 2014 in OpenSSH aufgenommen. Es handelt sich um ein relativ neues Signaturverfahren, das auf der elliptischen Kurve Curve25519 basiert. Entwickelt wurde es von Dan Bernstein, Niels Duif, Tanja Lange, Peter Schwabe und Bo-Yin Yang. Offenbar war das Hetzner-Installationssystem auf die neuen Keys nicht eingestellt und hat diese von den Installationsimages nicht automatisch entfernt.

Nutzer, die einen der gemeinsamen SSH-Host-Keys verwenden, sind damit anfällig für Man-in-the-Middle-Angriffe. Hetzner schreibt, dass derartige Angriffe im eigenen Netz durch die Routingkonfiguration verhindert werden. Dennoch sind Angriffe natürlich durch Angreifer in anderen Netzen denkbar, etwa wenn sich ein Angreifer im selben WLAN-Netz befindet. Betroffene Nutzer sollten umgehend ihre Ed25519-Host-Keys austauschen, eine Anleitung dafür hat Hetzner bereitgestellt.


eye home zur Startseite
Robian 04. Jan 2016

Genau, deswegen habe ich ja auch nachgefragt. Experte!

43zsec 04. Jan 2016

Moin, meint Ihr eventuell im selben VLAN? Gruesse 43zsec

picaschaf 01. Jan 2016

ED25519 nutzt SHA256 zur Keyerzeugung, also schon in Ordnung. Aber wenn man schon aus...

Golressy 01. Jan 2016

Sowas war vor vielen Jahren auch bei meinem vserver in den Voreinstellungs-Images. Es...

Heinzel 01. Jan 2016

Ich benutze nie die Images vom Hoster. Ich installier das Zeug lieber selbst. Die Images...



Anzeige

Stellenmarkt
  1. T-Systems International GmbH, Bonn
  2. Bertrandt Technikum GmbH, Ehningen bei Stuttgart
  3. T-Systems International GmbH, Berlin
  4. CSL Behring GmbH, Marburg


Anzeige
Spiele-Angebote
  1. 29,99€
  2. 27,99€
  3. 4,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Fixed Wireless

    Verizon startet einen der weltweit größten 5G-Endkundentests

  2. Klage eingereicht

    Google wirft Uber Diebstahl von Lidar-Technik vor

  3. Speicherleck

    Cloudflare verteilt private Daten übers Internet

  4. Apple

    Magicgrips machen die Magic Mouse breit

  5. Aufsteckbar

    Kugelkamera für Android-Smartphones filmt 360-Grad-Videos

  6. Panamera Turbo S E-Hybrid

    Porsche kombiniert V8-Motor und E-Antrieb

  7. Matrix Voice

    Preiswerter mit Spracherkennung experimentieren

  8. LTE

    Telekom führt Narrowband-IoT-Netz in Deutschland ein

  9. Deep Learning

    Wenn die KI besser prügelt als Menschen

  10. Firepower 2100

    Cisco stellt Firewall für KMU-Bereich vor



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Galaxy-A-Serie vs. P8 Lite (2017): Samsungs und Huaweis Kampf um die Mittelklasse
Galaxy-A-Serie vs. P8 Lite (2017)
Samsungs und Huaweis Kampf um die Mittelklasse
  1. Wettbewerbsverstoß Google soll Tizen behindert haben
  2. Strafverfahren De-facto-Chef von Samsung wegen Korruption verhaftet
  3. Samsung Preisliches Niveau der QLED-Fernseher in der Nähe der OLEDs

Fire TV Stick 2 mit Alexa im Hands on: Amazons attraktiver Einstieg in die Streaming-Welt
Fire TV Stick 2 mit Alexa im Hands on
Amazons attraktiver Einstieg in die Streaming-Welt
  1. Fernsehstreaming Fire-TV-App von Waipu TV bietet alle Kanäle kostenlos
  2. Fire TV Amazon bringt Downloader-App wieder zurück
  3. Amazon Downloader-App aus dem Fire-TV-Store entfernt

Intel C2000: Weiter Unklarheit zur Häufung von NAS-Ausfällen
Intel C2000
Weiter Unklarheit zur Häufung von NAS-Ausfällen
  1. Super Bowl Lady Gaga singt unter einer Flagge aus Drohnen
  2. Lake Crest Intels Terminator-Chip mit Terabyte-Bandbreite
  3. Compute Card Intel plant Rechnermodul mit USB Type C

  1. Re: C für Webtechnik ist sowas wie Socke für Sex

    Schattenwerk | 11:13

  2. Re: Warum nicht gleich eine richtige Mouse?

    Peter Brülls | 11:12

  3. Re: besser: Toyota Yaris Hybrid

    gadthrawn | 11:08

  4. Re: Reale Switch-Kosten

    KlOis | 11:07

  5. Re: Darum gehts denen doch gar nicht...

    Belgarion2001 | 11:07


  1. 11:09

  2. 10:51

  3. 10:45

  4. 09:38

  5. 07:23

  6. 07:14

  7. 17:37

  8. 17:26


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel