Abo
  • Services:
Anzeige
Die Drown-Lücke wird nicht so schnell gepatcht wie Heartbleed.
Die Drown-Lücke wird nicht so schnell gepatcht wie Heartbleed. (Bild: Sarah Madden/CC0 1.0)

Security: Drown gefährdet weiterhin zahlreiche Webdienste

Die Drown-Lücke wird nicht so schnell gepatcht wie Heartbleed.
Die Drown-Lücke wird nicht so schnell gepatcht wie Heartbleed. (Bild: Sarah Madden/CC0 1.0)

Wie schnell patchen Serverbetreiber die Drown-Sicherheitslücke? Offenbar zu langsam, sagen mehrere Sicherheitsfirmen. Bei Heartbleed lief es deutlich besser.

Betreiber zahlreicher Webdienste und Cloudhoster haben es bislang offenbar versäumt, ihre Dienste gegen den TLS-Angriff Drown zu patchen. Dieser nutzt eine bekannte Attacke auf TLS aus dem Jahr 1998. Bei Entdeckung der Sicherheitslücke Anfang März 2016 waren rund ein Drittel aller Server anfällig.

Anzeige

Server sind verwundbar, wenn sie weiterhin SSLv2 zulassen. Dabei muss die Verbindung nicht einmal mit diesem Protokoll hergestellt werden, die alleinige Existenz von SSLv2 etwa als Fallback-Modus reicht aus. Der Einsatz des uralten Protokolls wurde mit dem RFC 6176 eigentlich verboten, doch offenbar halten sich viele Betreiber nicht daran.

Verwundbare Cloud-Dienste gingen nur um 5 Prozent zurück

Die Sicherheitsfirma Skyhigh Networks schreibt jetzt, sie hätten bei Veröffentlichung von Drown 653 verwundbare Cloud-Dienste gefunden. Diese Anzahl sei jedoch seitdem nur um 5,1 Prozent zurückgegangen. Nach der Veröffentlichung von Heartbleed habe sich die Rate verwundbarer Cloud-Dienste innerhalb einer Woche um rund 92,7 Prozent reduziert. Auch die Sicherheitsfirma Netskope schreibt, dass die Patchrate bei Software-as-a-Service-Anbietern deutlich geringer sei als noch bei Heartbleed.

Drown ist deutlich komplizierter auszunutzen als Heartbleed, auch die öffentliche Aufmerksamkeit für die Sicherheitslücke ist nicht so groß wie im vorletzten Jahr. Beides dürfte dazu beitragen, dass die Patch-Rate so niedrig ist.

Sebastian Schinzel, Professor an der Fachhochschule Münster und einer der Drown-Entdecker, zeigte sich im Gespräch mit Threatpost verwundert: "Drown ist eigentlich einfacher zu patchen als Heartbleed. Dort mussten die Systeme komplett heruntergefahren werden." Vermutlich werde ein Teil der Server noch länger verwundbar bleiben. "Heartbleed und Logjam sind nach wie vor da. Drown wird dem gleichen Pfad folgen. Lassen Sie uns annehmen, dass zurzeit etwa 33 Prozent der Server anfällig sind und in einem Monat nur noch 3 Prozent. Diese 3 Prozent werden bleiben, bis die Hardware stirbt." Mit den Zugriffen auf die Seite test.drownattack.com sei das Team aber generell zufrieden.


eye home zur Startseite
Vielfalt 11. Mär 2016

Wieso wird das hier nicht erwähnt?

der-dicky 11. Mär 2016

Not sure if good troll or wired user.



Anzeige

Stellenmarkt
  1. Bundeskriminalamt, Berlin, Meckenheim bei Bonn, Wiesbaden
  2. Giesecke+Devrient Currency Technology GmbH, München
  3. it.sec GmbH & Co. KG, Ulm, ?Berlin, Ludwigsburg, ?Hamburg (Home-Office)
  4. Daimler AG, Berlin


Anzeige
Top-Angebote
  1. 149,90€
  2. 77,00€ inkl. Versand im Idealo-Preisvergleich
  3. (heute u. a. Logitech Gaming-Produkte, Philips-TVs, Garmin-Produkte, Philips Hue Starter Set, Filme...

Folgen Sie uns
       


  1. Glasfaser

    M-net hat genauso viele FTTB/H-Kunden wie die Telekom

  2. 240 Kilometer

    1&1 Versatel erweitert Glasfasernetz in Norddeutschland

  3. MobileCoin

    Neue Cryptowährung von Signal-Erfinder Marlinspike

  4. Soziales Netzwerk

    Facebook geht gegen Engagement-Bait-Beiträge vor

  5. Call of Duty

    Infinity Ward eröffnet Niederlassung in Polen

  6. SuperMUC-NG

    Münchner Supercomputer wird einer der schnellsten weltweit

  7. Ralf Kleber

    Amazon plant Ladengeschäfte in Deutschland

  8. Firefox

    Mozilla verärgert Nutzer mit ungefragter Addon-Installation

  9. Knights Mill

    Intel hat drei Xeon Phi für Deep Learning

  10. Windows 10

    Kritische Lücke in vorinstalliertem Passwortmanager



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Star Wars - Die letzten Jedi: Viel Luke und zu viel Unfug
Star Wars - Die letzten Jedi
Viel Luke und zu viel Unfug
  1. Star Wars Jedi Challenges im Test Lichtschwertwirbeln im Wohnzimmer
  2. Star Wars Neue Trilogie ohne Skywalker und Darth Vader angekündigt
  3. Electronic Arts Entwicklungsneustart für Star Wars Ragtag

360-Grad-Kameras im Vergleich: Alles so schön rund hier
360-Grad-Kameras im Vergleich
Alles so schön rund hier
  1. USB-C DxO zeigt Ansteckkamera für Android-Smartphones
  2. G1 X Mark III Erste Kompaktkamera mit APS-C-Sensor von Canon
  3. Ozo Nokia hat keine Lust mehr auf VR-Hardware

E-Ticket Deutschland bei der BVG: Bewegungspunkt am Straßenstrich
E-Ticket Deutschland bei der BVG
Bewegungspunkt am Straßenstrich
  1. Handy-Ticket in Berlin BVG will Check-in/Be-out-System in Bussen testen
  2. VBB Schwarzfahrer trotz Handy-Ticket

  1. Re: An die Experten: Macht ein Aufrüsten Sinn?

    Eop | 19:17

  2. Re: Crapware als Finanzierungsmodell

    Arsenal | 19:10

  3. Re: Dringende Aufforderung, meine Beiträge auch...

    Der Held vom... | 19:06

  4. Re: In Bayern gehen die Uhren halt anders

    Sharra | 19:03

  5. Re: Hat eventuell Sinn ...

    Dungeon Master | 19:01


  1. 18:24

  2. 17:49

  3. 17:36

  4. 17:05

  5. 16:01

  6. 15:42

  7. 15:08

  8. 13:35


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel