Abo
  • Services:

Geister aus der Vergangenheit loswerden

Der Gost-Standard hat einen durchaus treffenden Namen, denn es handelt sich um einen Geist aus der Vergangenheit: Er ist ein Verschlüsselungsstandard aus der Sowjetunion, den die Russische Föderation bis heute mit Updates und neuen Varianten versorgt. Für X.509-Zertifikate kann man Gost bereits benutzen, die entsprechende TLS-Spezifikation existiert nur als Entwurf und wurde nie verabschiedet. Das hält OpenSSL jedoch nicht davon ab, die entsprechenden Algorithmen zu implementieren. Von ihnen geht glücklicherweise keine allzu große Gefahr aus: In der Standardeinstellung sind diese Codeteile zwar vorhanden, werden aber für TLS-Verbindungen nicht genutzt.

Stellenmarkt
  1. Allianz Private Krankenversicherungs-AG, München
  2. Robert Bosch GmbH, Stuttgart

Geradezu bizarr mutet angesichts der TLS-Featuritis an, dass es sinnvolle Erweiterungen oftmals sehr schwer haben. Seit über einem Jahr diskutiert die TLS-Arbeitsgruppe über einen Entwurf von Peter Gutmann, der die Sicherheit des CBC-Modus in TLS erhöhen würde. Die Reihenfolge von Authentifizierung (MAC) und Verschlüsselung soll dabei von MAC-then-encrypt auf die bessere Variante Encrypt-then-MAC geändert werden. Encrypt-then-MAC ist absolut sinnvoll und eine direkte Konsequenz aus der Lucky-Thirteen-Attacke, die nur möglich war, weil TLS auf die unsichere Kombination MAC-then-encrypt setzt. Trotzdem bekam Gutmann einigen Gegenwind bei seinen Bemühungen um die Standardisierung.

Der TLS-Standard ist zu komplex geworden

Das OpenBSD-Team hat gerade mit einer Aufräumaktion im OpenSSL-Code angefangen. Dabei ist ihm viel Glück zu wünschen, und es bleibt zu hoffen, dass ein Großteil dieser Änderungen von den OpenSSL-Entwicklern übernommen wird. Die TLS-Arbeitsgruppe wird vermutlich in Kürze den unsicheren Verschlüsselungsalgorithmus RC4 aufgeben. Für TLS 1.3 ist geplant, auf die Kompression, die Renegotiation-Erweiterung und alle Cipher ohne Forward Secrecy zu verzichten. Das wäre immerhin ein Anfang.

Es wird Zeit für eine große Entrümpelungsaktion im TLS-Standard. Das Protokoll ist längst viel zu komplex geworden. In den RFCs sind noch einige Features versteckt, die niemand benötigt. Wir sollten diese abschalten, bevor der nächste Heartbleed-Bug darin entdeckt wird.

IMHO ist der Kommentar von Golem.de. IMHO = In My Humble Opinion (Meiner bescheidenen Meinung nach)

 IMHO - Heartbleed und die Folgen: TLS entrümpeln
  1.  
  2. 1
  3. 2


Anzeige
Spiele-Angebote
  1. 9,99€
  2. 23,99€
  3. (-20%) 47,99€

Dopeusk18 22. Apr 2014

Soweit stimmte ich dir zu, bisauf das Verfallsdatum. Es macht durchaus sinn, du kannst z...

nicoledos 19. Apr 2014

RFCs sind dafür da, Standards zu definieren. Wer eine bestimmte Technologie umsetzen...

hannob (golem.de) 19. Apr 2014

Ich hab jetzt noch keinen XML-Parser geschrieben, aber ich bezweifle das ganz stark. Nur...

hannob (golem.de) 19. Apr 2014

"weniger Gerümpel" trifft es. Aber SSH ist auch nicht ganz unproblematisch. Wenn man...

marolu 18. Apr 2014

... lesen "will".


Folgen Sie uns
       


Youtube Music - angeschaut

Wir haben uns das neue Youtube Music angeschaut. Davon gibt es eine kostenlose Version mit Werbeeinblendungen und zwei Abomodelle. Youtube Music Premium ist quasi der Nachfolger von Googles Play Musik. Das Monatsabo für Youtube Music Premium kostet 9,99 Euro.

Youtube Music - angeschaut Video aufrufen
Windenergie: Wie umweltfreundlich sind Offshore-Windparks?
Windenergie
Wie umweltfreundlich sind Offshore-Windparks?

Windturbinen auf hoher See liefern verlässlich grünen Strom. Frei von Umwelteinflüssen sind sie aber nicht. Während die eine Tierart profitiert, leidet die andere. Doch Abhilfe ist in Sicht.
Ein Bericht von Daniel Hautmann

  1. Hywind Scotland Windkraft Ahoi

Raumfahrt: Großbritannien will wieder in den Weltraum
Raumfahrt
Großbritannien will wieder in den Weltraum

Die Briten wollen eigene Raketen bauen und von Großbritannien aus starten. Ein Teil des Geldes dafür kommt auch von Investoren und staatlichen Investitionsfonds aus Deutschland.
Von Frank Wunderlich-Pfeiffer

  1. Esa Sonnensystemforschung ohne Plutonium
  2. Jaxa Japanische Sonde Hayabusa 2 erreicht den Asteroiden Ryugu
  3. Mission Horizons @Astro_Alex fliegt wieder

Segelschiff: Das Vindskip steckt in der Flaute
Segelschiff
Das Vindskip steckt in der Flaute

Hochseeschiffe gelten als große Umweltverschmutzer. Neue saubere Antriebe sind gefragt. Der Norweger Terje Lade hat ein futuristisches Segelschiff entwickelt. Doch solch ein neuartiges Konzept umzusetzen, ist nicht so einfach.
Ein Bericht von Werner Pluta

  1. Energy Observer Toyota unterstützt Weltumrundung von Brennstoffzellenschiff
  2. Hyseas III Schottische Werft baut Hochseefähre mit Brennstoffzelle
  3. Kreuzschifffahrt Wie Brennstoffzellen Schiffe sauberer machen

    •  /