• IT-Karriere:
  • Services:

Sicherheitslücken in Kaspersky-Software

Bereits 2015 berichtete Golem.de darüber, dass die Kaspersky-Software dank HTTPS-Interception dafür sorgte, dass Nutzer weiterhin für die Monate davor entdeckte Freak-Sicherheitslücke verwundbar waren. Erst kürzlich fand Tavis Ormandy von Googles Project Zero heraus, dass in dieser Kaspersky-Funktion eine noch viel schlimmere Sicherheitslücke steckte: Praktisch reduzierte sie die Sicherheit von RSA-Keys auf lächerliche 32 Bit.

Hochwertiger TLS-Stack durch Minderwertigen ersetzt

Stellenmarkt
  1. Deutsche Rentenversicherung Bund, Berlin
  2. Sozialservice-Gesellschaft des Bayerischen Roten Kreuzes GmbH, München

Browserhersteller verwenden üblicherweise viel Energie darauf, dass ihre TLS-Stacks sehr sicher sind, und implementieren viele moderne Features, um Angriffen zu widerstehen. Auch sind sie oft vorne mit dabei, wenn es darum geht, in Standardisierungsgremien bessere Sicherheitsmechanismen zu entwickeln. Von den Herstellern der meisten TLS-Interception-Lösungen sieht man praktisch nie ein derartiges Engagement. Daher überrascht die Situation auch nicht: Wer eine HTTPS-Interception-Lösung einsetzt, ersetzt in aller Regel einen sehr hochwertigen TLS-Stack durch einen Minderwertigen.

Die Autoren der jetzt veröffentlichten Studie kommen zu dem Schluss, dass eine sehr grundsätzliche Diskussion über HTTPS-Interception notwendig ist. So schreiben sie, dass es in der Security-Community keinen Konsens darüber gibt, ob HTTPS-Interception überhaupt akzeptabel ist. In ihrer Kritik sind sie aber noch vergleichsweise zurückhaltend.

Der wichtigste Grund, weshalb Sicherheitsprodukte überhaupt verschlüsselte Verbindungen mitlesen, ist das Erkennen von Angriffen und Malware. Doch die Malwareerkennung steht generell gerade unter Beschuss. Viele namhafte IT-Sicherheitsexperten haben sich in jüngster Zeit sehr kritisch über Antiviren-Programme geäußert und halten den gesamten Ansatz für verfehlt. Dass mittels HTTPS-Interception ein bestehender, gut funktionierender Sicherheitsmechanismus wie TLS durch sogenannte Sicherheitssoftware ausgehebelt wird, dürfte diese Diskussion weiter befeuern.

Der Autor dieses Texts hat auf dem Chaos Communication Camp 2015 einen Vortrag zum Thema mit dem Titel TLS Interception considered harmful gehalten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Bis zu zehn Prozent der Verbindungen betroffen
  1.  
  2. 1
  3. 2
  4. 3


Anzeige
Top-Angebote
  1. 30,00€ (bei ubi.com)
  2. (u. a. Nintendo Switch für 270€, Gigabyte GeForce RTX 2070 Super Gaming OC für 479,00€, Zotac...
  3. (u. a. Deadpool, Logan - The Wolverine, James Bond - Spectre, Titanic 3D)
  4. 379,00€ (Vergleichspreis ab 478,07€)

FreiGeistler 10. Feb 2017

Lieber Virus Total Uploader im "Senden an", habe eine Krücke von Laptop. Firefox warnt...

TrollNo1 10. Feb 2017

Hier könnte Ihre Werbung stehen!

ArcherV 10. Feb 2017

'zilla


Folgen Sie uns
       


Ninm Its OK - Test

Der It's OK von Ninm ist ein tragbarer Kassettenspieler mit eingebautem Bluetooth-Transmitter. Insgesamt ist das Gerät eine Enttäuschung, bessere Modelle gibt es auf dem Gebrauchtmarkt.

Ninm Its OK - Test Video aufrufen
Radeon RX 5600 XT im Test: AMDs Schneller als erwartet-Grafikkarte
Radeon RX 5600 XT im Test
AMDs "Schneller als erwartet"-Grafikkarte

Für 300 Euro ist die Radeon RX 5600 XT interessant - trotz Konkurrenz durch Nvidia und AMD selbst. Wie sehr die Navi-Grafikkarte empfehlenswert ist, hängt davon ab, ob Nutzer sich einen Flash-Vorgang zutrauen.
Ein Test von Marc Sauter

  1. Grafikkarte AMD bringt RX 5600 XT im Januar
  2. Grafikkarte Radeon RX 5600 XT hat 2.304 Shader und 6 GByte Speicher
  3. Radeon RX 5500 XT (8GB) im Test Selbst mehr Speicher hilft AMD nicht

Shitrix: Das Citrix-Desaster
Shitrix
Das Citrix-Desaster

Eine Sicherheitslücke in Geräten der Firma Citrix zeigt in erschreckender Weise, wie schlecht es um die IT-Sicherheit in Behörden steht. Es fehlt an den absoluten Grundlagen.
Ein IMHO von Hanno Böck

  1. Perl-Injection Citrix-Geräte mit schwerer Sicherheitslücke und ohne Update

Ryzen Mobile 4000 (Renoir): Lasst die Ära der schrottigen AMD-Notebooks enden!
Ryzen Mobile 4000 (Renoir)
Lasst die Ära der schrottigen AMD-Notebooks enden!

Seit vielen Jahren gibt es kaum Premium-Geräte mit AMD-Chips und selbst bei vermeintlich identischer Ausstattung fehlen Eigenschaften wie eine beleuchtete Tastatur oder Thunderbolt 3. Schluss damit!
Ein IMHO von Marc Sauter

  1. HEDT-Prozessor 64-kerniger Threadripper schlägt 20.000-Dollar-Xeons
  2. Ryzen Mobile 4000 AMDs Renoir hat acht 7-nm-Kerne für Ultrabooks
  3. Zen+ AMD verkauft Ryzen 5 1600 mit flotteren CPU-Kernen

    •  /