• IT-Karriere:
  • Services:

TLS-Check: Qualys bestraft fehlendes Forward Secrecy

Perfect Forward Secrecy, AEAD und keine Anfälligkeit für Robot sind künftig wichtige Kriterien im SSL-Test von Qualys. Wer diese Kriterien nicht unterstützt, wird ab März schlechter bewertet. Auch Nutzer von Symantec-Zertifikaten werden gewarnt.

Artikel veröffentlicht am ,
SSL Labs vergibt Noten für die TLS-Konfiguration.
SSL Labs vergibt Noten für die TLS-Konfiguration. (Bild: SSLLabs / Screenshot Golem.de)

Der bekannte TLS-Qualitätscheck von Qualys ändert seine Bewertungskriterien zum 1. März. Wessen Webserver-Konfiguration etwa kein Forward Secrecy unterstützt, wird künftig schlechter bewertet. Auch Nutzer von bald ungültig werdenden Symantec-Zertifikaten werden gewarnt.

Stellenmarkt
  1. Johanniter-Unfall-Hilfe e.V. Landesverband Hessen/Rheinland-Pfalz/Saar, Butzbach/Nieder-Weisel
  2. ALDI International Services GmbH & Co. oHG, Mülheim

Wer ab dem 1. März kein Forward Secrecy anbietet, bekommt höchstens die Note B verliehen. Forward Secrecy, auch Perfect Forward Secrecy (PFS) genannt, bezeichnet eine Eigenschaft kryptografischer Verfahren. Diese sind auch dann noch sicher, wenn ein länger verwendeter Schlüssel einem Angreifer bekannt wird. Der RSA-Schlüsselaustausch unterstützt diese Eigenschaft nicht, Qualys rät demnach zur Verwendung des Diffie-Hellman-Schlüsselaustausches mit elliptischen Kurven (ECDHE).

Außerdem sollten sichere Cipher Suites verwendet werden. Nach Angaben von Qualys stellt AEAD (Authenticated Encryption with Associated Data) den einzig sicheren Betriebsmodus in TLS ohne bekannte Schwächen dar. Insbesondere die Alternative CBC (Cipher Block Chaining) sei in der Implementierung für TLS für Timing-Angriffe verwundbar. In TLS 1.3 sind nur noch AEAD-Suites zugelassen. Die Einführung von TLS 1.3 scheitert derzeit allerdings noch an verschiedenen Herstellern. Wer AEAD auf dem Server nicht unterstützt, wird demnach ebenfalls höchstens ein B als Bewertung erhalten.

Anfälligkeit für Robot wird mit F bewertet

Ein F wird künftig bekommen, wessen Konfiguration für den Robot-Angriff anfällig ist. Der Return of Bleichenbacher Oracle Threat lässt über Fehlermeldungen eines Webservers die Entschlüsselung von Daten zu. Der Angriff wurde von Daniel Bleichenbacher erstmals im Jahr 1998 entdeckt, ist aber in Variationen noch heute gegen einige Ziele durchführbar.

Ebenfalls warnen wird Qualys vor TLS-Zertifikaten, die vor Juni 2016 von Symantec ausgestellt wurden. Nach zahlreichen Fehlern im Zertifikatsmanagement und dem Verkauf der Zertifizierungsstelle hat Google angekündigt, dass in Chrome künftig keine alten Zertifikate von Symantec mehr akzeptiert werden. Wer ein solches Zertifikat verwendet, bekommt eine Warnung und ein T als Wertung.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. MSI GeForce RTX 3060 VENTUS 3X OC 12G für 589€)
  2. Heute um 18 Uhr Release der RTX 3060

Nocta 09. Feb 2018

Trotzdem sollten alle Seiten das Maximum anstreben. Im wesentlichen ist es ja kein allzu...


Folgen Sie uns
       


Librem Mini - Fazit

Der Librem Mini punktet mit guter Linux-Unterstützung, freier Firmware und einem abgesicherten Bootprozess.

Librem Mini - Fazit Video aufrufen
    •  /