Abo
  • Services:
Anzeige
Der AES-Schlüssel von einigen Cisco-Switches ist in allen Geräten identisch.
Der AES-Schlüssel von einigen Cisco-Switches ist in allen Geräten identisch. (Bild: Hanno Böck)

Linuxtag-Keynote: Lehren aus Heartbleed und ein Schlüssel von Cisco

Felix 'FX' Lindner und Gregor Kopf von Recurity Labs blicken zurück auf Heartbleed und andere Sicherheitslücken in Verschlüsselungssoftware - und veröffentlichen nebenbei einen fest eingestellten Schlüssel von zahlreichen Cisco-Produkten.

Anzeige

"Das ist nicht lustig (auch wenn's so aussieht). Das ist Crypto!!! Die brauchen wir noch" - mit dieser Nachricht auf den Folien begrüßten Felix 'FX' Lindner und sein Kollege Gregor Kopf von der IT-Sicherheitsfirma Recurity Labs die Besucher des Linuxtages.

Lindner und Kopf wagten einen Rückblick auf Heartbleed, die Goto-Fail-Lücke von Apple und zahlreiche andere Sicherheitsprobleme der vergangenen Monate. Außerdem zogen sie einige Schlussfolgerungen für die künftige Entwicklung von Verschlüsselungssoftware. Wie schwer es ist, Kryptographie korrekt zu implementieren, werde häufig unterschätzt, sagte Lindner. Deshalb sei für die meisten auch der wichtigste Hinweis, dass sie Kryptographiecode überhaupt nicht selbst schreiben sollen.

Der Heartbleed-Bug in OpenSSL ist für Lindner ein gutes Beispiel dafür, dass die kritischsten Sicherheitskomponenten oft am schlechtesten finanziert sind. Erst nach dem Heartbleed-Bug hatten sich einige Größen der IT-Branche dazu durchgerungen, die Entwicklung von OpenSSL in großem Maßstab mitzufinanzieren.

Allerdings, so Lindner, fingen die Probleme von Verschlüsselungssoftware bereits bei den Standards an. Die Zertifikatsinfrastruktur von TLS beispielsweise basiert auf einem Protokoll namens X.509, welches wiederum eine Codierung namens ASN.1 nutzt. ASN.1 selbst ist schon ein extrem komplexes Protokoll, das darauf aufbauende X.509 hat das Problem, dass es an manchen Stellen nicht eindeutig spezifiziert ist. Beide Protokolle stammen aus den 80er Jahren und wurden von der ITU (International Telecommunication Union) spezifiziert.

Auch in den Programmiersprachen C und C++ sehen Lindner und Kopf ein grundsätzliches Problem. C-Code ohne Buffer Overflows oder andere Fehler in der Speicherverwaltung zu schreiben, sei fast unmöglich. Deswegen solle sicherheitskritischer Code in Programmiersprachen geschrieben werden, die derartige Speicherprobleme von vornherein verhindern.

Zudem wiesen beide darauf hin, dass gravierende Fehler in Kryptographiesoftware kein Problem quelloffener Software seien. Seit mehreren Jahren versuche er, Cisco auf ein Problem in ihren Enterprise-Produkten hinzuweisen, sagte Lindner. Diese hätten zum Teil statische AES-Schlüssel und Initialisierungsvektoren, die in allen Devices dieselben sind. Cisco hat schon mehrfach fälschlicherweise behauptet, dass das Problem behoben sei. Zum Abschluss des Talks präsentierten Lindner und Kopf daher den privaten Schlüssel, der beispielsweise in den Cisco Nexus 1000v Switches fest einprogrammiert ist.


eye home zur Startseite
bernd71 12. Mai 2014

C in Bibliotheken ist ja auch beliebt da man diese in vielen Umgebungen einsetzen kann...

dschinn1001 11. Mai 2014

... das ist ne uralte geschichte ... und fing schon damals mit dos an bzw. vos ... im 19...

Teut 11. Mai 2014

Das ist doch schon fast public Knowledge das Cisco mit der NSA zusammen arbeitet. Die...

TraxMAX 10. Mai 2014

Wenn man sich an RAII hält, die STL-Container verwendet, sowie wenn nötig Smart-Pointer...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart-Feuerbach
  2. Deutsche Hypothekenbank (Actien-Gesellschaft), Hannover
  3. über Hays AG, Hamburg
  4. infoteam Software AG, Bubenreuth bei Erlangen


Anzeige
Hardware-Angebote
  1. bis zu 25% sparen

Folgen Sie uns
       


  1. Autonomes Fahren

    Singapur kündigt fahrerlose Busse an

  2. Coinhive

    Kryptominingskript in Chat-Widget entdeckt

  3. Monster Hunter World angespielt

    Die Nahrungskettensimulation

  4. Rechtsunsicherheit bei Cookies

    EU warnt vor Verzögerung von ePrivacy-Verordnung

  5. Schleswig-Holstein

    Bundesland hat bereits 32 Prozent echte Glasfaserabdeckung

  6. Tesla Semi

    Teslas Truck gibt es ab 150.000 US-Dollar

  7. Mobilfunk

    Netzqualität in der Bahn weiter nicht ausreichend

  8. Bake in Space

    Bloß keine Krümel auf der ISS

  9. Sicherheitslücke

    Fortinet vergisst, Admin-Passwort zu prüfen

  10. Angry Birds

    Rovio verbucht Quartalsverlust nach Börsenstart



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Montagewerk in Tilburg: Wo Tesla seine E-Autos für Europa produziert
Montagewerk in Tilburg
Wo Tesla seine E-Autos für Europa produziert
  1. Elektroauto Walmart will den Tesla-Truck
  2. Elektrosportwagen Tesla Roadster 2 beschleunigt in 2 Sekunden auf Tempo 100
  3. Elektromobilität Tesla Truck soll in 30 Minuten 630 km Reichweite laden

Fitbit Ionic im Test: Die (noch) nicht ganz so smarte Sportuhr
Fitbit Ionic im Test
Die (noch) nicht ganz so smarte Sportuhr
  1. Verbraucherschutz Sportuhr-Hersteller gehen unsportlich mit Daten um
  2. Wii Remote Nintendo muss 10 Millionen US-Dollar in Patentstreit zahlen
  3. Ionic Fitbit stellt Smartwatch mit Vier-Tage-Akku vor

E-Golf im Praxistest: Und lädt und lädt und lädt
E-Golf im Praxistest
Und lädt und lädt und lädt
  1. Garmin Vivoactive 3 im Test Bananaware fürs Handgelenk
  2. Microsoft Sonar überprüft kostenlos Webseiten auf Fehler
  3. Inspiron 5675 im Test Dells Ryzen-Gaming-PC reicht mindestens bis 2020

  1. Re: 24/32

    esqe | 07:05

  2. Re: Entwickler kündigen

    GodsBoss | 06:56

  3. Re: Nicht jammern, sondern machen

    esqe | 06:54

  4. Re: Interessant was Golem da so lapidar als...

    Lasse Bierstrom | 06:51

  5. Re: Wer bei Drillisch abschließt....

    Mett | 06:34


  1. 17:56

  2. 15:50

  3. 15:32

  4. 14:52

  5. 14:43

  6. 12:50

  7. 12:35

  8. 12:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel