Sicherheitslücke: GnuTLS setzt Session-Keys auf null

Eine gravierende Sicherheitslücke in GnuTLS führt dazu, dass TLS-1.2-Verbindungen nachträglich entschlüsselt werden können.

Artikel veröffentlicht am ,
Eine gravierende Sicherheitslücke in GnuTLS führt dazu, dass man in vielen Fällen sogar alten Datenverkehr entschlüsseln kann.
Eine gravierende Sicherheitslücke in GnuTLS führt dazu, dass man in vielen Fällen sogar alten Datenverkehr entschlüsseln kann. (Bild: Modifiziertes GnuTLS-Logo)

Eine große Sicherheitslücke ist in der GnuTLS-Bibliothek entdeckt worden. Diese führt dazu, dass Verbindungen mit TLS 1.2 oder älteren Versionen in den meisten Fällen nachträglich entschlüsselt werden können. Bei TLS 1.3 sind Man-in-the-Middle-Angriffe möglich.

Stellenmarkt
  1. Team Lead Software Development (m/f/d)
    ALLPLAN GmbH, München
  2. Web-Entwickler (m/w/d) für den Bereich Vorhersagen
    emsys grid services GmbH, Oldenburg
Detailsuche

Entdeckt wurde das Problem von Fiona Klute, der Entwicklerin des Apache-Moduls von GnuTLS. Die Ursache des Problems ist die sogenannte Session Resumption von TLS. Dabei kann eine Verbindung mit Schlüsselmaterial aus einer früheren Verbindung durchgeführt und der kostspieligen Handshake eingespart werden.

Schlüssel war effektiv auf null gesetzt

Das Problem: Bei GnuTLS war der Schlüssel für diese Session Resumption aufgrund eines Bugs auf null gesetzt. In älteren TLS-Versionen ist dieser Fehler dann ein Totalschaden: Angreifer können eine TLS-Verbindung, die Session Resumption nutzt, komplett entschlüsseln.

In TLS 1.3 wurde der Handshake neu gestaltet und auch im Fall einer Wiederaufnahme von vorherigen Verbindungen wird neues Schlüsselmaterial verwendet. Das verhindert in diesem Fall eine nachträgliche Entschlüsselung von Daten, ein aktiver Angriff durch einen Man in the Middle bleibt aber möglich.

Golem Akademie
  1. Scrum Product Owner: Vorbereitung auf den PSPO I (Scrum.org): virtueller Zwei-Tage-Workshop
    24.–25. November 2021, virtuell
  2. Kubernetes Dive-in-Workshop: virtueller Vier-Halbtage-Workshop
    25.–28. Januar 2022, Virtuell
Weitere IT-Trainings

GnuTLS hat die Sicherheitslücke in Version 3.6.14 geschlossen. Betroffen sind alle Versionen ab 3.6.4, der Fehler hat die Kennung CVE-2020-13777 erhalten. Mit der neuen GnuTLS-Version wird außerdem ein Problem behoben, das zu Fehlern bei der Zertifikatsvalidierung führte, wenn abgelaufene Zertifikate in der Zertifikatskette vorhanden sind.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Amazon, Apple, Google
Die EU macht ernst mit der Plattformregulierung

Die stärkere Regulierung von großen IT-Plattformen rückt näher. Die EU-Mitgliedstaaten unterstützen weitgehend die Pläne der EU-Kommission.
Ein Bericht von Friedhelm Greis

Amazon, Apple, Google: Die EU macht ernst mit der Plattformregulierung
Artikel
  1. .Net, Games, Displayport: Gute und kostenlose PC-Spiele bei Amazon Prime
    .Net, Games, Displayport
    Gute und kostenlose PC-Spiele bei Amazon Prime

    Sonst noch was? Was am 28. Oktober 2021 neben den großen Meldungen sonst noch passiert ist, in aller Kürze.

  2. S9U fürs Homeoffice: Samsung stellt 49-Zoll-Ultrawide-Monitor mit KVM-Switch vor
    S9U fürs Homeoffice
    Samsung stellt 49-Zoll-Ultrawide-Monitor mit KVM-Switch vor

    Der S9U ist Samsungs neuer 32:9-Bildschirm. Er integriert USB-C mit 90 Watt Power Delivery und einen KVM-Switch. Das Panel schafft 120 Hz.

  3. XTurismo: Fliegendes Jetski aus Japan für knapp 600.000 Euro
    XTurismo
    Fliegendes Jetski aus Japan für knapp 600.000 Euro

    Wo auch immer man sie fliegen dürfen wird, Multikopter für den Personentransport sind im Kommen. Dieses Flugobjekt stammt aus Japan.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • WD Black SN750 1TB 89,90€ • Acer 27" FHD 165Hz 191,59€ • PS5 Digital + 2. Dualsense + 100€-Amazon-Gutschein mit o2-Vertrag sofort lieferbar • Switch OLED + Metroid Dread 399€ • Kingston 1TB PCIe 69,90€ • GTA Trilogy Definitive 59,99€ • Alternate (u. a. Apacer 960GB SATA 82,90€) [Werbung]
    •  /