Abo
  • Services:

OpenSSL: Fataler Fehler im kaum verwendeten Krypto-Modul

Das OpenSSL-Team hat einen fatalen Fehler in der Umsetzung eines Verschlüsselungsalgorithmus entdeckt. Er betrifft ausgerechnet das ins Verruf geratene Dual_EC_DRBG. Da der betroffene Standard kaum Verwendung findet, wird er nicht repariert.

Artikel veröffentlicht am ,
OpenSSL hat einen Bug, der aber nicht auffällt und unschädlich gemacht wird.
OpenSSL hat einen Bug, der aber nicht auffällt und unschädlich gemacht wird. (Bild: OpenSSL)

Im FIPS Object Module v2.0 enthält Dual_EC_DRBG einen Fehler. Er führt dazu, dass bei der Verwendung des Zufallszahlenstandards OpenSSL abstürzt. Da das Nist (National Institute of Standards and Technology) den Zufallsgenerator bereits zurückgezogen hat, wird der Fehler nicht mehr behoben. Es wäre aber ein enormer Aufwand, Dual_EC_DRBG aus dem Modul zu entfernen. Deshalb wird lediglich die Verwendung aus dem restlichen OpenSSL-Code entfernt.

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart
  2. Haufe Group, Stuttgart

Dual_EC_DRBG war nach den Enthüllungen von Edward Snowden in Verruf geraten. Es verwendet elliptische Kurven zur Erzeugung von Zufallszahlen. Aus den NSA-Unterlagen geht hervor, dass der US-Geheimdienst nicht nur an dem Standard mitgearbeitet, sondern ihn selbst entwickelt hat. Daher wird eine Hintertür in dem Standard vermutet. Das Nist, das die Verschlüsselungsregeln für US-Behörden und US-Regierungseinrichtungen festlegt, zog daraufhin den Standard zurück.

Unentdeckter Fehler

Es fragt sich, warum der Fehler bislang nicht entdeckt wurde. Zum einen wird klar, dass kaum jemand Dual_EC_DRBG nutzt. Allerdings fiel der Fehler auch nicht bei den zahlreichen Algorithmusprüfungen des Cryptographic Algorithm Validation Program (CAVP) auf, die die Software regelmäßig durchläuft. Hunderte seien es gewesen, schreiben die Entwickler in dem Security Alert.

Das Testverfahren reiche nicht aus, um Fehler zu finden, die bei der Verwendung entstehen, schreibt Steve Marquess von der OpenSSL Software Foundation. Da sich die Ergebnisse zwischen der artifiziellen Umgebung und unter normalen Umständen zwangsweise unterscheiden, haben die Entwickler bis auf einmal darauf verzichtet. Damals führte diese Diskrepanz dazu, dass die Verifizierung zurückgezogen werden musste. Da das ganze Cryptographic Module Validation Program (CMVP) aber Änderungen verabscheue, wollten die Entwickler bislang kein neues Testverfahren entwickeln.



Anzeige
Blu-ray-Angebote
  1. (u. a. John Wick, Sicario, Deepwater Horizon, Die große Asterix Edition, Die Tribute von Panem)

ursgoem8 22. Dez 2013

Viele sehen halt immer noch OpenSource eher als Freeware.


Folgen Sie uns
       


iOS 12 angesehen

Das neue iOS 12 bietet Nutzern die Möglichkeit, die Bildschirmzeit besser kontrollieren und einteilen zu können. Auch Siri könnte durch die Kurzbefehle interessanter als bisher werden.

iOS 12 angesehen Video aufrufen
Gigabit: 5G-Planungen gehen völlig an den Nutzern vorbei
Gigabit
5G-Planungen gehen völlig an den Nutzern vorbei

Fast täglich hören wir Erklärungen aus der Telekommunikationsbranche, was 5G erfüllen müsse und warum sonst das Ende der Welt drohe. Wir haben die Konzerngruppen nach Interessenlage kartografiert.
Ein IMHO von Achim Sawall

  1. Fixed Wireless Access Nokia bringt mehrere 100 MBit/s mit LTE ins Festnetz
  2. Funklöcher Telekom bietet freiwillig hohe 5G-Netzabdeckung an
  3. 5G Telekom hat ihr Mobilfunknetz mit Glasfaser versorgt

Probefahrt mit Tesla Model 3: Wie auf Schienen übers Golden Gate
Probefahrt mit Tesla Model 3
Wie auf Schienen übers Golden Gate

Die Produktion des Tesla Model 3 für den europäischen Markt wird gerade vorbereitet. Golem.de hat einen Tag in und um San Francisco getestet, was Käufer von dem Elektroauto erwarten können.
Ein Erfahrungsbericht von Friedhelm Greis

  1. 1.000 Autos pro Tag Tesla baut das hunderttausendste Model 3
  2. Goodwood Festival of Speed Tesla bringt Model 3 erstmals offiziell nach Europa
  3. Elektroauto Produktionsziel des Tesla Model 3 erreicht

Shine 3: Neuer Tolino-Reader bringt mehr Lesekomfort
Shine 3
Neuer Tolino-Reader bringt mehr Lesekomfort

Die Tolino-Allianz bringt das Nachfolgemodell des Shine 2 HD auf den Markt. Das Shine 3 erhält mehr Ausstattungsdetails aus der E-Book-Reader-Oberklasse. Vor allem beim Lesen macht sich das positiv bemerkbar.
Ein Hands on von Ingo Pakalski

  1. E-Book-Reader Update macht Tolino-Geräte unbrauchbar

    •  /