Abo
  • Services:

OSCI-Transport: Schwachstellen könnten Behördenkommunikation gefährden

Zwei Schwachstellen in einem Programm der öffentlichen Verwaltung können unter Umständen dazu genutzt werden, die rechtssichere Signatur und Verschlüsselung von Behördenkommunikation zu umgehen. Ein Patch steht zwar zur Verfügung, wird aber nur langsam eingespielt.

Artikel veröffentlicht am ,
Schwachstellen in Softwarebibliothek machten Behörden möglicherweise angreifbar.
Schwachstellen in Softwarebibliothek machten Behörden möglicherweise angreifbar. (Bild: Yuri Samoilov / Flickr/CC-BY 2.0)

Die IT-Beratungsfirma SEC Consult meldet Schwachstellen in dem in der deutschen öffentlichen Verwaltung weit verbreiteten OSCI-Transportprotokoll. Mit diesem Programm können Behörden verschlüsselte und rechtssicher signierte Nachrichten untereinander oder auch mit externen Stellen austauschen.

Stellenmarkt
  1. Bundesanstalt für Straßenwesen, Bergisch Gladbach
  2. OC Oerlikon, München, Remscheid

Den Angaben zufolge soll es Angreifern über eine External Entity Injection (XXE) und eine Padding Oracle Attacke unter bestimmten Voraussetzungen möglich gewesen sein, sensible Server-Informationen auszuspähen, sowie gegebenenfalls signierte und verschlüsselte Nachrichten zu manipulieren oder zu entschlüsseln. Sowohl das Bundesamt für Sicherheit in der Informationstechnik (BSI) als auch die für die Software zuständige Koordinierungsstelle für IT-Standards (KoSIT) von Bund und Ländern haben die Schwachstellen bestätigt.

"Mehrere Schwachstellen in der OSCI-Transport-Bibliothek ermöglichen einem entfernten, einfach authentisierten Angreifer das Ausspähen sensitiver Informationen über das System eines Kommunikationspartners, als Man-in-the-Middle auch das Ausspähen sensitiver Informationen aus verschlüsselter Kommunikation, die Manipulation von signierten Transportdaten ohne Einfluss auf die Gültigkeit der Signatur und möglicherweise einen Denial-of-Service-Angriff", schreibt das BSI in einem Advisory (CB-K17/1100).

Alles nicht so schlimm?

Der externe Software-Dienstleister Governikus KG, der OSCI-Transport im Auftrag der KoSIT programmiert und betreut, widerspricht dagegen Meldungen, es habe ein sicherheitsrelevantes Problem mit der Bibliothek gegeben. "Das Advisory [von SEC Consult] stimmt so nicht", sagte eine Pressesprecherin von Governikus im Gespräch mit Golem.de. "Es gibt kein Problem in der deutschen E-Government-Infrastruktur." Die von den Entdeckern getestete Situation sei "kein Szenario, das in der Praxis so angewendet wird". Die beschriebenen Angriffe seien vollkommen theoretischer Natur und die von Governikus bereitgestellten Patches lediglich aus Vorsorge erstellt worden.

Man sei gleich nach Bekanntwerden der Ergebnisse Anfang 2017 mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI), der Koordinierungsstelle für IT-Standards (KoSIT) und den betroffenen Behörden in einen offenen Austausch getreten. Alle Teilnehmer seien "sehr entspannt" gewesen und hätten das Problem als gering eingeschätzt. Laut SEC Consult hat es zwischen dem 16. Januar und dem 30. Juni in der Tat einen mehrfachen Austausch zwischen den Entdeckern der Schwachstelle, dem BSI und anderen Behörden gegeben. Dabei sei die Notwendigkeit, die Schwachstellen zu schließen, zu keinem Zeitpunkt in Frage gestellt worden.

Ungepatchte Version noch immer in Benutzung

Seit der Entdeckung der Schwachstellen sind fast sechs Monate vergangen und die fehlerbereinigte Version 1.7.1 der Bibliothek steht bereits seit März zur Verfügung. Obwohl die zuständige KoSIT explizit empfiehlt, die gepatchte Version einzuspielen, ist die alte Version 1.6.1 offenbar noch immer im Gebrauch. Laut Hersteller Governikus ist OSCI-Transport in Deutschland in 20 Behörden im Einsatz und möglicherweise hätte bisher lediglich die Hälfte den Patch eingespielt. Belastbare Zahlen gebe es aber wegen der dezentralen Verwaltungsstruktur nicht, sagte die Pressesprecherin.

Die Softwarebibliothek wird unter anderem im Bundesinnenministerium, den Meldeämtern und den Justizbehörden von Bund, Ländern und Kommunen verwendet. Die niedrige Patchrate könnte ein Hinweis darauf sein, dass die Schwachstelle nicht von allen Beteiligten ernst genommen wird. Oder auch dafür, dass eine manuelle und dezentrale Update-Verwaltung nur langsam funktioniert.

Der Hersteller Governikus denkt aller offiziellen Beschwichtigungen zum Trotz offenbar dennoch über Konsequenzen nach: Man überlege derzeit, externe Code-Audits für OSCI-Transport einzuführen, um solche Vorfälle in Zukunft zu verhindern.

Nachtrag vom 4. Juli 2017, 17:09 Uhr

Governikus hat inzwischen eine Presseerklärung veröffentlicht. Darin unterstreicht das Unternehmen seine Position, derzufolge die von SEC Consult vorgenommenen Tests "nicht in einer gemäß Einsatzempfehlungen aufgebauten Infrastruktur durchgeführt wurden." Das getestete Szenario entspreche keinem dem Unternehmen bekannten Einsatzszenario. "Es besteht unserer Meinung nach keine Veranlassung, aus den identifizierten und zwischenzeitlich behobenen möglichen Schwachstellen auf eine Gefährdung der deutschen E-Government-Infrastruktur zu schließen", so Governikus.



Anzeige
Top-Angebote
  1. (u. a. Far Cry New Dawn 22,49€, Assassin's Creed Odyssey 29,99€)
  2. 62,90€
  3. 34,99€
  4. (u. a. Gartengeräte von Bosch, Saug- und Wischroboter)

chefin 05. Jul 2017

Weils keine Rolle spielt wie alt etwas ist solange es funktioniert. Auch die Gefahr, das...


Folgen Sie uns
       


VR-Brille Varjo VR-1 ausprobiert

Das VR-Headset VR-1 von Varjo stellt den zentralen Bereich des Displays sehr scharf dar, wodurch auch feine Details erkennbar sind.

VR-Brille Varjo VR-1 ausprobiert Video aufrufen
XPS 13 (9380) im Test: Dell macht's ohne Frosch und Spiegel
XPS 13 (9380) im Test
Dell macht's ohne Frosch und Spiegel

Und wir dachten, die Kamera wandert nach oben und das war es - aber nein: Dell hat uns überrascht und das XPS 13 (9380) dort verbessert, wo wir es nicht erwartet hätten, wohl aber erhofft haben.
Ein Test von Marc Sauter und Sebastian Grüner

  1. Mit Ubuntu Dell XPS 13 mit Whiskey Lake als Developer Edition verfügbar
  2. XPS 13 (9380) Dell verabschiedet sich von Froschkamera

Display-Technik: So funktionieren Micro-LEDs
Display-Technik
So funktionieren Micro-LEDs

Nach Flüssigkristallanzeigen (LCD) mit Hintergrundbeleuchtung und OLED-Bildschirmen sind Micro-LEDs der nächste Schritt: Apple arbeitet daran für Smartwatches und Samsung hat bereits einen Fernseher vorgestellt. Die Technik hat viele Vorteile, ist aber aufwendig in der Fertigung.
Von Mike Wobker

  1. AU Optronics Apple soll Wechsel von OLEDs zu Micro-LEDs vorbereiten

Einfuhrsteuern: Wie teuer wird ein Raspberry Pi beim harten Brexit?
Einfuhrsteuern
Wie teuer wird ein Raspberry Pi beim harten Brexit?

Bei einem No-Deal-Brexit könnten viele britische Produkte teurer und schwerer lieferbar werden - auch der populäre Bastelrechner Raspberry Pi. Mit genauen Prognosen tun sich deutsche Elektronikhändler derzeit schwer, doch decken sie sich schon vorsorglich mit den Komponenten ein.
Ein Bericht von Friedhelm Greis

  1. UK und Gibraltar EU-Domains durch Brexit doch wieder in Gefahr

    •  /