Abo
  • Services:
Anzeige
Der Heartbleed-Bug ist offenbar auch in Routern vorhanden.
Der Heartbleed-Bug ist offenbar auch in Routern vorhanden. (Bild: EFF)

Security: Heartbleed in WLAN-Routern gefunden

Der Heartbleed-Fehler ist offenbar noch in zahlreichen WLAN-Routern vorhanden, genauer im Authentifizierungsprotokoll EAP. Das berichtet der Sicherheitsexperte Luis Grangeia.

Anzeige

In einem Proof-of-Concept hat der portugiesische Sicherheitsexperte Luis Grangeia den Beweis erbracht, dass der Heartbleed-Fehler noch in zahlreichen WLAN-Routern vorhanden ist. Denn das Authentifizierungsprotokoll EAP (Extensible Authentication Protocol) nutzt OpenSSL. Router mit älteren Versionen der Verschlüsselungssoftware wären demnach anfällig. Noch ist unklar, wie viele Geräte von dem Fehler betroffen sind.

Grangeia taufte seinen Angriff Cupid. Damit ließe sich aus Routern mit EAP-basierter Authentifizierung etwa der private Schlüssel auslesen. Der über den Heartbleed-Bug auslesbare Speicher könne aber auch Zertifikate oder weitere Zugangsdaten für den Angreifer offenbaren.

Proof-of-Concept

Sowohl EAP-PEAP, EAP-TTLS als auch EAR-TLS nutzen OpenSSL und sind somit anfällig für den Heartbleed-Bug. Mit Cupid lässt sich ermitteln, ob die Authentifizierung eines Routers einer noch unsicheren Version von OpenSSL zugrunde liegt. Dazu muss auf einem Linux-Rechner ein von Grangeia bereitgestellter Patch für die Verifizierungssoftware Wpa-Supplicant und Hostapd angewendet werden. Anschließend lässt sich mit einem Netzwerksniffer wie Wireshark überprüfen, ob etwa Zugangsdaten im Datenverkehr auftauchen.

Grangeia kann nach eigenen Angaben nicht sagen, in wie vielen Router noch Firmware mit unsicheren Versionen von OpenSSL läuft. Seine Forschung zeigt auf, dass der Heartbeat-Bug nicht nur auf Servern im Internet verbreitet war, sondern er auch andere Hardware unsicher machen könnte. Die Authentifizierung über EAP wird beispielsweise auch in Netzwerkdruckern oder VoIP-Telefonen genutzt.


eye home zur Startseite
red creep 02. Jun 2014

Klar. Deswegen können auch nur teure Produkte gut sein. Der hohe Verkaufspreis...



Anzeige

Stellenmarkt
  1. Rohde & Schwarz GmbH & Co. KG, München
  2. Salzgitter Mannesmann Handel GmbH, Düsseldorf
  3. Comline AG, Dortmund
  4. AKDB, München


Anzeige
Spiele-Angebote
  1. 8,49€
  2. 19,49€
  3. 9,99€

Folgen Sie uns
       


  1. Fahrdienst

    London stoppt Uber, Protest wächst

  2. Facebook

    Mark Zuckerberg lenkt im Streit mit Investoren ein

  3. Merged-Reality-Headset

    Intel stellt Project Alloy ein

  4. Teardown

    Glasrückseite des iPhone 8 kann zum Problem werden

  5. E-Mail

    Adobe veröffentlicht versehentlich privaten PGP-Key im Blog

  6. Die Woche im Video

    Schwachstellen, wohin man schaut

  7. UAV

    Matternet startet Drohnenlieferdienst in der Schweiz

  8. Joint Venture

    Microsoft und Facebook verlegen Seekabel mit 160 Terabit/s

  9. Remote Forensics

    BKA kann eigenen Staatstrojaner nicht einsetzen

  10. Datenbank

    Börsengang von MongoDB soll 100 Millionen US-Dollar bringen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Bundestagswahl 2017: Viagra, Datenbankpasswörter und uralte Sicherheitslücken
Bundestagswahl 2017
Viagra, Datenbankpasswörter und uralte Sicherheitslücken
  1. Zitis Wer Sicherheitslücken findet, darf sie behalten
  2. Merkel im Bundestag "Wir wollen nicht im Technikmuseum enden"
  3. TV-Duell Merkel-Schulz Die Digitalisierung schafft es nur ins Schlusswort

Olympus Tough TG5 vs. Nikon Coolpix W300: Die Schlechtwetter-Kameras
Olympus Tough TG5 vs. Nikon Coolpix W300
Die Schlechtwetter-Kameras
  1. Mobilestudio Pro 16 im Test Wacom nennt 2,2-Kilogramm-Grafiktablet "mobil"
  2. HP Z8 Workstation Mit 3 TByte RAM und 56 CPU-Kernen komplexe Bilder rendern
  3. Meeting Owl KI-Eule erkennt Teilnehmer in Meetings

E-Paper-Tablet im Test: Mit Remarkable machen digitale Notizen Spaß
E-Paper-Tablet im Test
Mit Remarkable machen digitale Notizen Spaß
  1. Smartphone Yotaphone 3 kommt mit großem E-Paper-Display
  2. Display E-Ink-Hülle für das iPhone 7

  1. Re: Der starke Kleber

    ArcherV | 10:36

  2. Re: und die anderen 9?

    ArcherV | 10:34

  3. Re: 197 MBit/s über vodafone.de Speedtest - 30...

    DerDy | 10:24

  4. Re: Mein Fire TV kann halt noch kein H.265

    Sicaine | 10:16

  5. Re: Aber PGP ist schuld ...

    Pete Sabacker | 10:14


  1. 15:37

  2. 15:08

  3. 14:28

  4. 13:28

  5. 11:03

  6. 09:03

  7. 17:43

  8. 17:25


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel