ROBOT-Angriff: Arbeitsagentur nutzt uralte Cisco-Geräte

Die Webseiten der Arbeitsagentur waren für den ROBOT-Angriff auf TLS verwundbar. Damit hätte ein Angreifer Datenverkehr entschlüsseln können. Verantwortlich dafür waren vermutlich uralte Cisco-Loadbalancer.

Artikel veröffentlicht am , Hanno Böck
Note F für jobboerse.arbeitsagentur.de
Note F für jobboerse.arbeitsagentur.de (Bild: Screenshot)

Die Webseite der Bundesagentur für Arbeit war bis vor kurzem in Sachen TLS-Sicherheit nicht gerade vorbildlich. In einem Tweet wies der IT-Sicherheitsexperte Thorsten Schröder darauf hin, dass die Webseite beim SSL-Labs-Test die schlechteste Bewertung F erhielt.

Stellenmarkt
  1. Full Stack Java Software Developer (m/w/d)
    NOVENTI Health SE, Lübeck (Home-Office möglich)
  2. Digitalkoordinator/in (w/m/d)
    Stadt NÜRNBERG, Nürnberg
Detailsuche

Der Grund dafür: Die Webseite war für den ROBOT-Angriff auf RSA verwundbar. Da die Webseite zudem ausschließlich alte Cipher mit RSA-Verschlüsselung und ohne Forward Secrecy unterstützte, war dies besonders kritisch. Konkret hätte ein Angreifer damit sämtlichen verschlüsselten Datenverkehr zu der Webseite entschlüsseln können.

Der ROBOT-Angriff ist dann möglich, wenn eine Webseite auf verschiedene Fehler bei der RSA-Entschlüsselung unterschiedlich reagiert. Anhand des Verhaltens der Seite lässt sich somit eine sehr zuverlässige Zuordnung zu einem bestimmten Gerät herleiten. Die Webseite der Arbeitsagentur nutzte dabei vermutlich einen Loadbalancer aus der ACE-Serie der Firma Cisco. Für diese Loadbalancer gibt es keine Sicherheitsupdates mehr. Cisco hat bereits 2013 die Unterstützung eingestellt.

Arbeitsagentur hat einige Probleme behoben

Wir hatten die Arbeitsagentur um eine Stellungnahme gebeten. Die Haupt-Webseite unter www.arbeitsagentur.de ist demnach inzwischen nicht mehr verwundbar, offenbar wurde das betreffende Gerät nach unserer Anfrage ersetzt. Laut der Arbeitsagentur lag das Problem bei einem externen Dienstleister.

Golem Akademie
  1. Terraform mit AWS: virtueller Zwei-Tage-Workshop
    14.–15. Dezember 2021, Virtuell
  2. Webentwicklung mit React and Typescript: virtueller Fünf-Halbtage-Workshop
    6.–10. Dezember 2021, Virtuell
Weitere IT-Trainings

Weiterhin verwundbar sind jedoch zahlreiche Subdomains. Darunter sind auch Webseiten, auf denen Zugangsdaten übertragen werden, beispielsweise jobboerse.arbeitsagentur.de. Laut der Pressespecherin der Arbeitsagentur sollen diese in Kürze auch umgestellt werden.

Zur verwendeten Hardware wollte sich die Sprecherin nicht äußern. Da man täglich mit Hackerangriffen aus aller Welt zu kämpfen habe, könne man solche Informationen nicht preisgeben, da diese den Angreifern helfen könnten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Wemax Go Pro
Mini-Projektor für Reisen strahlt 120-Zoll-Bild an die Wand

Der Wemax Go Pro setzt auf Lasertechnik von Xiaomi. Der Beamer ist klein und kompakt, soll aber ein großes Bild an die Wand strahlen können.

Wemax Go Pro: Mini-Projektor für Reisen strahlt 120-Zoll-Bild an die Wand
Artikel
  1. Snapdragon 8cx Gen 3: Geleaktes Qualcomm-SoC erreicht das Niveau von AMD und Intel
    Snapdragon 8cx Gen 3
    Geleaktes Qualcomm-SoC erreicht das Niveau von AMD und Intel

    In Geekbench wurde der Qualcomm Snapdragon 8cx Gen 3 gesichtet. Er kann sich mit Intel- und AMD-CPUs messen, mit Apples M1 aber wohl nicht.

  2. Doppelbildschirm: Kickstarterprojekt Slide brauchte 6 Jahre bis zum Erfolg
    Doppelbildschirm
    Kickstarterprojekt Slide brauchte 6 Jahre bis zum Erfolg

    Das Kickstarter-Projekt Slidenjoy kann nach 6 Jahren seinen Doppelbildschirm Slide für Notebooks ausliefern.

  3. MS Satoshi: Die abstruse Geschichte des Bitcoin-Kreuzfahrtschiffs
    MS Satoshi
    Die abstruse Geschichte des Bitcoin-Kreuzfahrtschiffs

    Kryptogeld-Enthusiasten kauften ein Kreuzfahrtschiff und wollten es zum schwimmenden Freiheitsparadies machen. Allerdings scheiterten sie an jeder einzelnen Stelle.
    Von Elke Wittich

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Black Friday Wochenende • WD Blue SN550 2 TB ab 149€ • LG UltraGear 34GP950G-B 999€ • SanDisk Ultra 3D 500 GB M.2 44€ • Boxsets (u. a. Game of Thrones Blu-ray 79,97€) • Samsung Galaxy S21 128GB 777€ • Premium-Laptops • Cooler Master V850 Platinum 189,90€ • Astro Gaming Headsets [Werbung]
    •  /