• IT-Karriere:
  • Services:

Sicherheitslücken in Kaspersky-Software

Bereits 2015 berichtete Golem.de darüber, dass die Kaspersky-Software dank HTTPS-Interception dafür sorgte, dass Nutzer weiterhin für die Monate davor entdeckte Freak-Sicherheitslücke verwundbar waren. Erst kürzlich fand Tavis Ormandy von Googles Project Zero heraus, dass in dieser Kaspersky-Funktion eine noch viel schlimmere Sicherheitslücke steckte: Praktisch reduzierte sie die Sicherheit von RSA-Keys auf lächerliche 32 Bit.

Hochwertiger TLS-Stack durch Minderwertigen ersetzt

Stellenmarkt
  1. Friedrich PICARD GmbH & Co. KG, Bochum
  2. Universität Hamburg, Hamburg

Browserhersteller verwenden üblicherweise viel Energie darauf, dass ihre TLS-Stacks sehr sicher sind, und implementieren viele moderne Features, um Angriffen zu widerstehen. Auch sind sie oft vorne mit dabei, wenn es darum geht, in Standardisierungsgremien bessere Sicherheitsmechanismen zu entwickeln. Von den Herstellern der meisten TLS-Interception-Lösungen sieht man praktisch nie ein derartiges Engagement. Daher überrascht die Situation auch nicht: Wer eine HTTPS-Interception-Lösung einsetzt, ersetzt in aller Regel einen sehr hochwertigen TLS-Stack durch einen Minderwertigen.

Die Autoren der jetzt veröffentlichten Studie kommen zu dem Schluss, dass eine sehr grundsätzliche Diskussion über HTTPS-Interception notwendig ist. So schreiben sie, dass es in der Security-Community keinen Konsens darüber gibt, ob HTTPS-Interception überhaupt akzeptabel ist. In ihrer Kritik sind sie aber noch vergleichsweise zurückhaltend.

Der wichtigste Grund, weshalb Sicherheitsprodukte überhaupt verschlüsselte Verbindungen mitlesen, ist das Erkennen von Angriffen und Malware. Doch die Malwareerkennung steht generell gerade unter Beschuss. Viele namhafte IT-Sicherheitsexperten haben sich in jüngster Zeit sehr kritisch über Antiviren-Programme geäußert und halten den gesamten Ansatz für verfehlt. Dass mittels HTTPS-Interception ein bestehender, gut funktionierender Sicherheitsmechanismus wie TLS durch sogenannte Sicherheitssoftware ausgehebelt wird, dürfte diese Diskussion weiter befeuern.

Der Autor dieses Texts hat auf dem Chaos Communication Camp 2015 einen Vortrag zum Thema mit dem Titel TLS Interception considered harmful gehalten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Bis zu zehn Prozent der Verbindungen betroffen
  1.  
  2. 1
  3. 2
  4. 3


Anzeige
Spiele-Angebote
  1. 17,99€
  2. 31,49€
  3. (-78%) 2,15€
  4. 31,99€

FreiGeistler 10. Feb 2017

Lieber Virus Total Uploader im "Senden an", habe eine Krücke von Laptop. Firefox warnt...

TrollNo1 10. Feb 2017

Hier könnte Ihre Werbung stehen!

ArcherV 10. Feb 2017

'zilla


Folgen Sie uns
       


Tesla baut Gigafactory in Brandenburg - Bericht

Wald weg, Wasser weg, Tesla da? Wir haben Grünheide besucht.

Tesla baut Gigafactory in Brandenburg - Bericht Video aufrufen
Maneater im Test: Bissiger Blödsinn
Maneater im Test
Bissiger Blödsinn

Wer schon immer als Bullenhai auf Menschenjagd gehen wollte - hier entlang schwimmen bitte. Maneater legt aber auch die Flosse in die Wunde.
Ein Test von Marc Sauter

  1. Mount and Blade 2 angespielt Der König ist tot, lang lebe der Bannerlord
  2. Arkade Blaster 3D-Shooter mit der Plastikkanone spielen
  3. Wolcen im Test Düster, lootig, wuchtig!

Corona: Japans Krankenhäuser steigen endlich von Fax auf E-Mail um
Corona
Japans Krankenhäuser steigen endlich von Fax auf E-Mail um

In Japan löst die Coronakrise einen Modernisierungsschub aus. Den Ärzten in den Krankenhäusern fehlt die Zeit für das manuelle Ausfüllen von Formularen.
Ein Bericht von Felix Lill

  1. Corona IFA 2020 findet doch als physisches Event statt
  2. Corona Pariser Polizei darf keine Drohnen zur Überwachung verwenden
  3. Pakete DPD-Standort wegen Corona-Infektionen geschlossen

Big Blue Button: Wie CCC-Urgesteine gegen Teams und Zoom kämpfen
Big Blue Button
Wie CCC-Urgesteine gegen Teams und Zoom kämpfen

Ein Verein aus dem Umfeld des CCC zeigt in Berlin, wie sich Schulen mit Open Source digitalisieren lassen. Schüler, Eltern und Lehrer sind begeistert.
Ein Bericht von Friedhelm Greis

  1. Mint-Allianz Wir bleiben schlau! Wir bleiben unwissend!
  2. Programmieren lernen Informatik-Apps für Kinder sind oft zu komplex

    •  /