Abo
  • Services:
Anzeige
Poodle wurde die jetzt entdeckte SSL-Sicherheitslücke getauft.
Poodle wurde die jetzt entdeckte SSL-Sicherheitslücke getauft. (Bild: Luly/Wikimedia Commons/CC by 2.0)

SSLv3: Kaspersky-Software hebelt Schutz vor Poodle-Lücke aus

Poodle wurde die jetzt entdeckte SSL-Sicherheitslücke getauft.
Poodle wurde die jetzt entdeckte SSL-Sicherheitslücke getauft. (Bild: Luly/Wikimedia Commons/CC by 2.0)

Das Paket Kaspersky Internet Security kann auch bei Browsern, die unsichere Verbindungen per SSLv3 nicht unterstützen, das veraltete Protokoll dennoch aktivieren. Patchen will das der Hersteller erst 2015, es gibt aber schon jetzt eine einfache Lösung.

Anzeige

Selbst wenn ein Browser wie der aktuelle Firefox 34 und die nächste Version 40 von Chrome SSLv3 nicht mehr nutzt, kann darüber dennoch eine Verbindung hergestellt werden. Dies berichtet Heise Online, nachdem ein Leser die Redaktion darauf aufmerksam gemacht hatte. Die Kollegen konnten das Problem nachstellen, es liegt daran, wie Kaspersky Internet Security funktioniert.

Das Programm arbeitete wie ein Man-in-the-middle: Ist die Funktion "Sichere Verbindungen untersuchen" in der Kaspersky-Software eingeschaltet, so kommuniziert der Browser nicht mehr direkt mit einem Server, sondern mit dem vermeintlichen Schutzprogramm. Dieses stellt selbst dann eine SSLv3-Verbindung her, auch wenn dieses Protokoll im Browser ausgeschaltet ist.

Das ist problematisch, weil die Verbindung dann über die Poodle-Lücke angreifbar ist. Eine vermeintlich verschlüsselte SSL-Verbindung ist durch Poodle angreifbar, deshalb entfernen die Browserhersteller derzeit auch das veraltete SSLv3 aus ihren Programmen. Die Kaspersky-Software fügt diese Funktion nun unnötigerweise wieder hinzu.

Der russische Antivirenhersteller bestätigte Heise Online das Problem und will sein Produkt patchen - aber erst im ersten Quartal 2015. Im Supportforum von Kaspersky heißt es sogar, ein Rechner sei nur durch Poodle angreifbar, wenn er ohnehin schon kompromittiert sei. Und eine Man-in-the-Middle-Attacke würde das Kaspersky-Programm sowieso abfangen - ein schwaches Sicherheitsversprechen.

Wer Kaspersky Internet Security also bis zu einem Patch weiterhin einsetzen will, sollte die Option "Sichere Verbindungen untersuchen" vorerst abschalten und seinem Browser SSLv3-Verbindungen verbieten.


eye home zur Startseite
xmaniac 09. Dez 2014

Wann war das, in den 90ern oder 00er Jahre? Nenn doch mal einen halbwegs aktuellen...



Anzeige

Stellenmarkt
  1. Vaisala GmbH, Hamburg, Bonn (Home-Office möglich)
  2. MediaMarktSaturn IT Solutions, München
  3. Bertrandt Services GmbH, Köln
  4. Robert Bosch GmbH, Plochingen


Anzeige
Blu-ray-Angebote
  1. (u. a. John Wick, The Hateful 8, Die Bestimmung, Fifty Shades of Grey, London Has Fallen)
  2. (u. a. Legend of Tarzan, Mad Max: Fury Road, Der Hobbit, Gravity)
  3. 65,00€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Super Mario Run

    Nintendo bleibt trotz Enttäuschung beim Bezahlmodell

  2. Samsung

    Galaxy Note 7 wird per Update endgültig lahmgelegt

  3. The Ringed City

    From Software zeigt Abschluss von Dark Souls 3 im Trailer

  4. Dieter Lauinger

    Minister fordert Gesetz gegen Hasskommentare noch vor Wahl

  5. Die Woche im Video

    Cebit wird heiß, Android wird neu, Aliens werden gesprächig

  6. Mobilfunkausrüster

    Welche Frequenzen für 5G in Deutschland diskutiert werden

  7. XMPP

    Bundesnetzagentur will hundert Jabber-Clients regulieren

  8. Synlight

    Wie der Wasserstoff aus dem Sonnenlicht kommen soll

  9. Pietsmiet

    "Alle Twitch-Kanäle sind kostenpflichtiger Rundfunk"

  10. Apache-Lizenz 2.0

    OpenSSL plant Lizenzwechsel an der Community vorbei



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Mobile-Games-Auslese: Würfelkrieger und Kartendiebe für mobile Spieler
Mobile-Games-Auslese
Würfelkrieger und Kartendiebe für mobile Spieler

Hannover: Die Sommer-Cebit wird teuer
Hannover
Die Sommer-Cebit wird teuer
  1. Hannover Pavillons für die Sommer-Cebit sind schon ausgebucht
  2. Ab 2018 Cebit findet künftig im Sommer statt
  3. Modell 32UD99 LGs erster HDR-Monitor mit USB-C kommt nach Deutschland

Live-Linux: Knoppix 8.0 bringt moderne Technik für neue Hardware
Live-Linux
Knoppix 8.0 bringt moderne Technik für neue Hardware

  1. Re: Betonköpfe

    ChMu | 22:51

  2. So sieht es aus!

    PhilippFrank | 22:50

  3. Re: Ich würde momentan nicht im Geizmarkt...

    sniner | 22:50

  4. Re: P2W

    LH | 22:49

  5. Re: Denkt er er hätte eine Sonderposition?

    Yeeeeeeeeha | 22:36


  1. 15:20

  2. 14:13

  3. 12:52

  4. 12:39

  5. 09:03

  6. 17:45

  7. 17:32

  8. 17:11


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel