Abo
  • Services:
Anzeige
OpenSSL hat einen Bug, der aber nicht auffällt und unschädlich gemacht wird.
OpenSSL hat einen Bug, der aber nicht auffällt und unschädlich gemacht wird. (Bild: OpenSSL)

OpenSSL Fataler Fehler im kaum verwendeten Krypto-Modul

Das OpenSSL-Team hat einen fatalen Fehler in der Umsetzung eines Verschlüsselungsalgorithmus entdeckt. Er betrifft ausgerechnet das ins Verruf geratene Dual_EC_DRBG. Da der betroffene Standard kaum Verwendung findet, wird er nicht repariert.

Anzeige

Im FIPS Object Module v2.0 enthält Dual_EC_DRBG einen Fehler. Er führt dazu, dass bei der Verwendung des Zufallszahlenstandards OpenSSL abstürzt. Da das Nist (National Institute of Standards and Technology) den Zufallsgenerator bereits zurückgezogen hat, wird der Fehler nicht mehr behoben. Es wäre aber ein enormer Aufwand, Dual_EC_DRBG aus dem Modul zu entfernen. Deshalb wird lediglich die Verwendung aus dem restlichen OpenSSL-Code entfernt.

Dual_EC_DRBG war nach den Enthüllungen von Edward Snowden in Verruf geraten. Es verwendet elliptische Kurven zur Erzeugung von Zufallszahlen. Aus den NSA-Unterlagen geht hervor, dass der US-Geheimdienst nicht nur an dem Standard mitgearbeitet, sondern ihn selbst entwickelt hat. Daher wird eine Hintertür in dem Standard vermutet. Das Nist, das die Verschlüsselungsregeln für US-Behörden und US-Regierungseinrichtungen festlegt, zog daraufhin den Standard zurück.

Unentdeckter Fehler

Es fragt sich, warum der Fehler bislang nicht entdeckt wurde. Zum einen wird klar, dass kaum jemand Dual_EC_DRBG nutzt. Allerdings fiel der Fehler auch nicht bei den zahlreichen Algorithmusprüfungen des Cryptographic Algorithm Validation Program (CAVP) auf, die die Software regelmäßig durchläuft. Hunderte seien es gewesen, schreiben die Entwickler in dem Security Alert.

Das Testverfahren reiche nicht aus, um Fehler zu finden, die bei der Verwendung entstehen, schreibt Steve Marquess von der OpenSSL Software Foundation. Da sich die Ergebnisse zwischen der artifiziellen Umgebung und unter normalen Umständen zwangsweise unterscheiden, haben die Entwickler bis auf einmal darauf verzichtet. Damals führte diese Diskrepanz dazu, dass die Verifizierung zurückgezogen werden musste. Da das ganze Cryptographic Module Validation Program (CMVP) aber Änderungen verabscheue, wollten die Entwickler bislang kein neues Testverfahren entwickeln.


eye home zur Startseite
ursgoem8 22. Dez 2013

Viele sehen halt immer noch OpenSource eher als Freeware.



Anzeige

Stellenmarkt
  1. SFC Energy AG, Brunnthal bei München
  2. Zweckverband Kommunale Datenverarbeitung Region Stuttgart, Stuttgart
  3. MBDA Deutschland, Schrobenhausen
  4. azh Abrechnungs- und IT-Dienstleistungszentrum für Heilberufe GmbH, Aschheim Raum München


Anzeige
Hardware-Angebote
  1. 65,89€ (Bestpreis!)
  2. 249,29€ (Vergleichspreis 305€)

Folgen Sie uns
       


  1. Bundesverkehrsministerium

    Dobrindt finanziert weitere Projekte zum autonomen Fahren

  2. Mobile

    Razer soll Smartphone für Gamer planen

  3. Snail Games

    Dark and Light stürmt Steam

  4. IETF

    Netzwerker wollen Quic-Pakete tracken

  5. Surface Diagnostic Toolkit

    Surface-Tool kommt in den Windows Store

  6. Bürgermeister

    Telekom und Unitymedia verweigern Open-Access-FTTH

  7. Layton's Mystery Journey im Test

    Katrielle, fast ganz der Papa

  8. Kabel und DSL

    Vodafone gewinnt 100.000 neue Festnetzkunden

  9. New Technologies Group

    Intel macht Wearables-Sparte dicht

  10. Elektromobilität

    Staatliche Finanzhilfen elektrisieren Norwegen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Kryptowährungen: Bitcoin steht vor grundlegenden Änderungen
Kryptowährungen
Bitcoin steht vor grundlegenden Änderungen
  1. Kryptowährungen Massiver Diebstahl von Ether
  2. Link11 DDoS-Angriffe nehmen wegen IoT-Botnetzen weiter zu
  3. Kryptowährung Bitcoin notiert auf neuem Rekordhoch

Indiegames Rundschau: Meisterdiebe, Anti- und Arcadehelden
Indiegames Rundschau
Meisterdiebe, Anti- und Arcadehelden
  1. Jump So was wie Netflix für Indiegames
  2. Indiegames-Rundschau Weltraumabenteuer und Strandurlaub
  3. Indiegames-Rundschau Familienflüche, Albträume und Nostalgie

IETF Webpackage: Wie das Offline-Internet auf SD-Karte kommen könnte
IETF Webpackage
Wie das Offline-Internet auf SD-Karte kommen könnte
  1. IETF DNS wird sicher, aber erst später
  2. IETF 5G braucht das Internet - auch ohne Internet
  3. IETF DNS über HTTPS ist besser als DNS

  1. Re: Verkaufscharts

    colon | 18:36

  2. Re: Ein bisschen ironisch ist das schon

    Stefan99 | 18:35

  3. Re: 18¤ für ein mobiles Mädchenspiel?

    bstea | 18:34

  4. Re: Gamer Smartphone?

    Schmadin | 18:33

  5. Re: Ach die Gemeinde...

    forenuser | 18:31


  1. 16:55

  2. 16:33

  3. 16:10

  4. 15:56

  5. 15:21

  6. 14:10

  7. 14:00

  8. 12:38


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel