Abo
  • Services:
Anzeige
OpenSSL: Wichtige Fragen und Antworten zu Heartbleed
(Bild: Screenshot Golem.de)

Gefährdete Zertifikate und Passwörter

Webseitenbetreiber sollen Zertifikate austauschen. Was muss man dabei beachten und wie kooperativ verhalten sich die Zertifizierungsstellen?

Wichtig ist, dass man nicht einfach ein bestehendes Zertifikat erneuert, sondern ein komplett neues Zertifikat mit einem neuen privaten Schlüssel erstellt. Wichtig ist auch zu überprüfen, dass das alte Zertifikat von der entsprechenden Zertifizierungsstelle wirklich zurückgezogen wurde. Das kann man beispielsweise mit dem OCSP-Tool von OpenSSL testen, die Bedienung ist allerdings nicht gerade nutzerfreundlich.

Anzeige

Die Zertifizierungsstellen reagieren offenbar sehr unterschiedlich. Einige Nutzer zeigten sich verärgert über StartSSL. Die Zertifizierungsstelle ist sehr beliebt, weil man dort einfache Zertifikate kostenlos erhält. Doch um ein solches Zertifikat neu zu erstellen, muss man zunächst das alte zurückziehen lassen. Und das kostet pro Zertifikat 24,90 US-Dollar. Zahlenden Kunden erlässt StartSSL offenbar die Kosten. Der Autor dieses Artikels konnte ein Wildcard-Zertifikat kostenlos zurückziehen.

Laut einem Bericht von Heise werden von GlobalSign Zertifikate kostenlos ausgetauscht, Kunden müssen sich dafür im Kundencenter anmelden. Ein von Comodo ausgestelltes Zertifikat konnte vom Autor dieses Artikels ebenfalls kostenlos ersetzt werden. Die Pressestelle der Symantec-Tochter Verisign, der weltweit größten Zertifizierungsstelle, hat uns mitgeteilt, dass ein Austausch von Zertifikaten dort ebenfallskostenlos möglich ist.

Müssen auch Passwörter ersetzt werden?

Es gibt zahlreiche Berichte, wonach mit Hilfe des Heartbleed-Bugs Passwörter von Web-Services ausgelesen werden konnten. Offenbar war hier besonders Yahoo anfällig und hat relativ lange zur Aktualisierung seiner Server gebraucht. Insofern lautet die Antwort: Im Zweifelsfall ja.

Was ist diese Heartbeat-Erweiterung eigentlich?

Heartbeat ist eine Erweiterung für TLS und wurde im IETF-Standard RFC 6520 spezifiziert. Sie ermöglicht es, bei langlebigen TLS-Verbindungen regelmäßig ein sogenanntes Keep-Alive-Signal zu senden, um einen Abbruch der Verbindung zu verhindern. Gängige Anwendungen wie HTTPS-Server benötigen so etwas eigentlich nicht. Aber der Code ist standardmäßig in OpenSSL aktiviert.

Felix von Leitner vom Chaos Computer Club ist der Meinung, dass das Heartbeat-Protokoll unnötig komplex ist und solche Fehler geradezu provoziert.

Wieso passiert so etwas überhaupt und ist C daran Schuld?

Bei Heartbleed wird aufgrund eines Fehlers zu viel Speicher ausgelesen. Eine detaillierte Analyse des C-Codes mit dem Heartbleed-Bug gibt es im Blog des Programmierers Sean Cassidy. Das Problem: Programme, die in der Programmiersprache C geschrieben sind, haben eine relativ simple Speicherverwaltung. Wenn ein Programm Variablen nutzt oder Speicherblöcke via malloc anfordert, werden diese einfach hintereinander im Speicher abgelegt. Wenn jetzt das Programm einen Speicherblock ausliest und dabei zu viele Daten einliest, wird einfach weitergelesen - was auch immer da im Speicher steht.

Es gilt aus diesem Grund als extrem schwierig, in C wirklich sicheren Code zu schreiben. Das ändert aber nichts daran, dass C nach wie vor die mit Abstand wichtigste Programmiersprache überhaupt ist. Praktisch alle Betriebssysteme und wichtigen Basisbibliotheken sind in C geschrieben.

Es gibt eine LLVM-Erweiterung namens Softbound CETS, die versucht, entsprechende Sicherheitslücken in C zu verhindern, indem das Auslesen von Speicherbereichen auf den ihnen zugewiesenen Speicherbereich beschränkt wird. Auf dem 30C3 gab es dazu einen Vortrag von Andreas Bogk vom Chaos Computer Club.

Das OpenBSD-Betriebssystem hat bereits in Ansätzen derartige Schutzmaßnahmen in den Funktionen malloc und mmap. Diese hätten bei Heartbleed greifen müssen, allerdings - darauf weist OpenBSD-Entwickler Theo de Raadt in einer Mail hin - wurden diese von OpenSSL umgangen. OpenSSL nutzt nicht die normalen Speicherverwaltungs-Aufrufe des Betriebssystems, sondern ersetzt sie durch eine eigene Speicherverwaltung.

Wie läuft die Entwicklung von OpenSSL ab?

Obwohl OpenSSL von unzähligen Programmen und großen Unternehmen genutzt wird, hat es nur ein relativ kleines Entwicklerteam. Viele fordern daher, dass das Projekt mehr Unterstützung erhält. So schreibt beispielsweise der Kryptograph Matthew Green: "Während einige der großen Firmen ihre Server patchen, können sie vielleicht überlegen, ob sie den OpenSSL-Entwicklern etwas Bezahlung zukommen lassen, damit diese ihren Job besser erledigen können."

Eine große Firma, die OpenSSL bereits unterstützt, ist Google. Der Suchmaschinenkonzern plant, seinen Browser Chrome von NSS auf OpenSSL umzustellen. Der Google-Angestellte Adam Langley ist bereits jetzt ein aktiver Entwickler bei OpenSSL.

Wie lief die Entdeckung und Veröffentlichung von Heartbleed ab?

Heartbleed wurde unabhängig von Mitarbeitern der finnischen Firma Codenomicon und von Neel Metha vom Google-Sicherheitsteam entdeckt. Beide teilten ihre Ergebnisse den OpenSSL-Entwicklern mit.

Die Veröffentlichung lief offenbar etwas chaotisch ab. Eigentlich war noch eine zweitägige Wartephase zwischen den Beteiligten vereinbart worden, aber irrtümlich wurden bereits Informationen über den Bug im Netz veröffentlicht. Wer dafür verantwortlich war, konnten wir nicht nachvollziehen. Auf der Mailingliste oss-security gibt es zum Veröffentlichungsablauf einen längeren Thread.

Die großen Linux-Distributionen hatten aufgrund des chaotischen Ablaufs vorab von der Veröffentlichung nichts gewusst und konnten somit erst mit einigen Stunden Verspätung reagieren. Offenbar wusste die Firma Cloudflare bereits eine Woche vorher Bescheid und hatte ihre Server bereits abgesichert. Cloudflare ist ein großer Anbieter von Content-Delivery-Netzwerken.

Was bedeutet eigentlich CVE-2014-0160?

Die US-Organisation MITRE vergibt für Sicherheitslücken üblicherweise eine sogenannte CVE-ID, mit der diese eindeutig identifiziert und referenziert werden können. Sie enthalten immer eine Jahreszahl und eine dem jeweiligen Problem zugewiesene Nummer. MITRE ist eine Forschungsorganisation und agiert hauptsächlich im Auftrag der US-Regierung, CVE steht für Common Vulnerabilities and Exposures. Der Heartbleed-Bug hat die ID CVE-2014-0160 erhalten.

Wie kann man testen, ob ein Service oder eine Software von Heartbleed betroffen ist?

Es gibt zahlreiche Webseiten, die das Testen von Servern ermöglichen, teilweise nur für den HTTPS-Port, teilweise auch für andere Services. Auch der beliebte SSL-Test der Firma Qualys prüft inzwischen auf Heartbleed.

Daneben sind auf Github zahlreiche Tests veröffentlicht worden, häufig genutzt ist etwa dieses Python-Testscript. Ein anderes auf Github veröffentlichtes Script kann auch Services mit STARTTLS-Erweiterung prüfen. Auch für Client-Anwendungen gibt es inzwischen Tests in Python und in Ruby.

Nachtrag vom 10. April 2014, 10:00 Uhr

Wir haben im Abschnitt "Was ist mit Android?" eine Information hinzugefügt (Version 4.1.1 betroffen) und den letzten Absatz zu Tests für Client-Applikationen ergänzt.

Nachtrag vom 10. April 2014, 11:19 Uhr

Von Verisign wurde uns mitgeteilt, dass dort ein kostenloser Tausch der Zertifikate ebenfalls möglich ist, wir haben dies im Artikel ergänzt.

Nachtrag vom 10. April 2014, 12:02 Uhr

Wir hatten ursprünglich fälschlicherweise im Abschnitt "Welche Programme benutzen OpenSSL?" geschrieben, dass Opera betroffen sei. Opera nutzt zwar OpenSSL, deaktiviert jedoch die Heartbeat-Funktionalität. Der Text wurde entsprechend angepasst.

 OpenSSL: Wichtige Fragen und Antworten zu Heartbleed

eye home zur Startseite
mnementh 22. Apr 2014

Hahahahahaha ROFL LOL Schön dass einige noch an den Weihnachtsmann glauben.

mnementh 22. Apr 2014

Es gibt verschiedene CSS-Layouts für Fefes Blog und ist die erste Antwort in seiner FAQ...

GodsBoss 19. Apr 2014

Richtig, nicht umsonst schrieb Richard Stallman seinen Artikel Open Source Misses The...

a user 14. Apr 2014

darauf wird man sich sicher nicht einigen, weild as so falsch ist. ich verstehe nicht...

PeterK 14. Apr 2014

Danke für deinen Beitrag. Ich respektiere deine Meinung. Aber nach meinem aktuellen...



Anzeige

Stellenmarkt
  1. Siemens Postal, Parcel & Airport Logistics GmbH, Nürnberg
  2. über Duerenhoff GmbH, Raum Offenbach
  3. Birkenstock GmbH & Co. KG Services, Neustadt (Wied)
  4. Sky Deutschland GmbH, Unterföhring bei München


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. 229,99€

Folgen Sie uns
       


  1. Staingate

    Austauschprogramm für fleckige Macbooks wird verlängert

  2. Digitale Infrastruktur

    Ralph Dommermuth kritisiert deutsche Netzpolitik

  3. Elektroauto

    VW will weitere Milliarden in Elektromobilität investieren

  4. Elektroauto

    Walmart will den Tesla-Truck

  5. Die Woche im Video

    Ausgefuchst, abgezockt und abgefahren

  6. Siri-Lautsprecher

    Apple versemmelt den Homepod-Start

  7. Open Routing

    Facebook gibt interne Plattform für Backbone-Routing frei

  8. Übernahme

    Vivendi lässt Ubisoft ein halbes Jahr in Ruhe

  9. Boston Dynamics

    Humanoider Roboter Atlas macht Salto rückwärts

  10. Projekthoster

    Github zeigt Sicherheitswarnungen für Projektabhängigkeiten



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Universal Paperclips: Mit ein paar Sexdezillionen Büroklammern die Welt erobern
Universal Paperclips
Mit ein paar Sexdezillionen Büroklammern die Welt erobern
  1. Disney Marvel Heroes wird geschlossen
  2. Starcraft 2 Blizzard lästert über Pay-to-Win in Star Wars Battlefront 2
  3. Free to Play World of Tanks bringt pro Nutzer und Monat 3,30 Dollar ein

Star Wars Battlefront 2 im Test: Filmreife Sternenkrieger
Star Wars Battlefront 2 im Test
Filmreife Sternenkrieger
  1. Star Wars EA entfernt Mikrotransaktionen aus Battlefront 2
  2. Electronic Arts Community empört über freischaltbare Helden in Battlefront 2
  3. Star Wars Mächtiger Zusatzinhalt für Battlefront 2 angekündigt

Coffee Lake vs. Ryzen: Was CPU-Multitasking mit Spielen macht
Coffee Lake vs. Ryzen
Was CPU-Multitasking mit Spielen macht
  1. Custom Foundry Intel will 10-nm-Smartphone-SoCs ab 2018 produzieren
  2. ARM-Prozessoren Macom verkauft Applied Micro
  3. Apple A11 Bionic KI-Hardware ist so groß wie mehrere CPU-Kerne

  1. Die Gesellschaft hat Schuld

    Schnippelschnappel | 05:11

  2. Re: Der Akku wird zu schnell geladen

    gehtjanx | 04:54

  3. warum wischt ihr nicht einfach alles weg?

    gehtjanx | 04:50

  4. Re: So viel zu der Behauptung, VW sei E- und...

    tomatentee | 04:40

  5. Re: Auf die Reihenfolge kommt es an

    feierabend | 04:15


  1. 17:14

  2. 13:36

  3. 12:22

  4. 10:48

  5. 09:02

  6. 19:05

  7. 17:08

  8. 16:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel