Abo
  • Services:

TLS/GCM: Gefahr durch doppelte Nonces

Moderne TLS-Verbindungen nutzen üblicherweise das AES-GCM-Verschlüsselungsverfahren. Das benötigt einen sogenannten Nonce-Wert, der sich nicht wiederholen darf. Ansonsten ist die Sicherheit dahin.

Artikel veröffentlicht am , Hanno Böck
Fremder Javascript-Code auf der dänischen Webseite von Visa - ein Angriff auf die fehlerhafte GCM-Verschlüsselung
Fremder Javascript-Code auf der dänischen Webseite von Visa - ein Angriff auf die fehlerhafte GCM-Verschlüsselung (Bild: Screenshot)

Die AES-Verschlüsselung im sogenannten Galois/Counter-Mode (GCM) hat sich für TLS-Verbindungen weitgehend durchgesetzt. Der Grund dafür ist, dass alle anderen Verschlüsselungsmodi, die von TLS unterstützt werden, in der Vergangenheit zahlreiche Sicherheitslücken hatten. Doch auch GCM ist nicht frei von Problemen. In einem Forschungsprojekt, an dem auch der Autor dieses Artikels beteiligt war, wurden Probleme bei der Generierung des sogenannten Nonce-Wertes untersucht. Eine Reihe von Webservern nutzt sich wiederholende Nonce-Werte, eine gravierende Sicherheitslücke. Betroffen sind unter anderem Webseiten des Kreditkartenkonzerns Visa.

Nonce-Wert muss einmalig sein

Inhalt:
  1. TLS/GCM: Gefahr durch doppelte Nonces
  2. Forbidden Attack

Eine Verschlüsselung mit dem GCM-Verfahren nutzt einen sogenannten Initialisierungsvektor, der zwölf Bytes lang ist. Vier Bytes davon sind durch das Protokoll vorgegeben, die übrigen acht Bytes muss die jeweilige TLS-Implementierung setzen. Wichtig dabei: Es handelt sich um einen sogenannten Nonce-Wert. Das bedeutet, dass dieser Wert für jede Verschlüsselungsoperation einmalig sein muss. Werden zwei Verschlüsselungsoperationen mit demselben Key und demselben Nonce durchgeführt, ist die Sicherheit des GCM-Verfahrens nicht mehr gewährleistet.

Die TLS-Spezifikation gibt leider keinerlei Hinweise, wie ein Nonce sicher generiert werden soll. Auf diesen Mangel der Spezifikation hat 2014 der Google-Entwickler Adam Langley hingewiesen. Langleys Blogpost war der Anlass für dieses Forschungsprojekt.

Im Grunde ist es kein Problem, einen sicheren Nonce zu erstellen: Am einfachsten ist es, einen Zähler zu verwenden. Sprich: Bei jeder weiteren Verschlüsselung wird der vorherige Nonce-Wert um eins erhöht. Ob man dabei mit einem zufälligen Wert oder mit Null anfängt, ist egal - beides ist sicher.

Stellenmarkt
  1. Auvesy GmbH, Landau in der Pfalz
  2. AKDB, Regensburg

Wie sich allerdings herausstellte, gibt es einige TLS-Implementierungen, bei denen die Nonce-Generierung fehlerhaft implementiert ist. Mittels eines internetweiten Scans fanden sich 184 HTTPS-Server, bei denen der Nonce nach wenigen Verschlüsselungen bereits wiederholt wird. Einige Server nutzten dabei permanent einen Nullwert als Nonce, andere schickten zwei identische Werte und zählten anschließend hoch, wieder andere nutzten zuerst eine Zufallszahl und für alle weiteren Verschlüsselungen einen Nullwert.

Visa-Server verwundbar

Zwar ist die Zahl der betroffenen Server nicht besonders hoch, doch darunter fanden sich einige prominente Namen. Betroffen waren und sind etwa eine Reihe von Webseiten des Kreditkartenkonzerns Visa. Im Januar wurde Visa über diese Sicherheitslücke informiert, es gab jedoch keine Reaktion.

Es gestaltete sich als schwierig, herauszufinden, welche Hersteller für die fehlerhaften TLS-Implementierungen verantwortlich sind. Viele betroffene Serverbetreiber beantworteten Mailanfragen nicht. Über Kontakte, die das österreichische Cert herstellte, konnten wir jedoch herausfinden, dass ein Serverbetreiber Geräte des Herstellers Radware nutzte. Radware hat inzwischen ein Firmwareupdate bereitgestellt.

Forbidden Attack 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. 3,49€
  2. 6,66€
  3. 9,99€
  4. (u. a. Diablo 3 Ultimate Evil Edition, Gear Club Unlimited, HP-Notebooks)

Moe479 21. Mai 2016

naja, wenn sicherheit allein durch nichtwissen gewährleistet wird, dann ist das securety...

longthinker 20. Mai 2016

Was ist denn das für ein seltsamer Einwand? Sicherheit ist bei VISA ausschließlich direkt...

v2nc 20. Mai 2016

Haha hab mich schäbig gelacht

hannob (golem.de) 20. Mai 2016

Wir haben uns das natürlich auch gefragt. Zumindest für die zwei identischen Werte (die...


Folgen Sie uns
       


Saugen oder Glitzern in Vampyr - Livestream

Es geht hoch her in London anno 1918, wie die Golem.de-Redakteure Christoph und Michael am eigenen, nach Blut lächzenden Körper erfahren.

Saugen oder Glitzern in Vampyr - Livestream Video aufrufen
Shift6m-Smartphone im Hands on: Nachhaltigkeit geht auch bezahlbar und ansehnlich
Shift6m-Smartphone im Hands on
Nachhaltigkeit geht auch bezahlbar und ansehnlich

Cebit 2018 Das deutsche Unternehmen Shift baut Smartphones, die mit dem Hintergedanken der Nachhaltigkeit entstehen. Das bedeutet für die Entwickler: faire Bezahlung der Werksarbeiter, wiederverwertbare Materialien und leicht zu öffnende Hardware. Außerdem gibt es auf jedes Gerät ein Rückgabepfand - interessant.
Von Oliver Nickel


    K-Byte: Byton fährt ein irres Tempo
    K-Byte
    Byton fährt ein irres Tempo

    Das Startup Byton zeigt zur Eröffnung der Elektronikmesse CES Asia in Shanghai das Modell K-Byte. Die elektrische Limousine basiert auf der Plattform des SUV, der vor fünf Monaten auf der CES in Las Vegas vorgestellt wurde. Unter deutscher Führung nimmt der Elektroautohersteller in China mächtig Fahrt auf.
    Ein Bericht von Dirk Kunde

    1. KYMCO Elektroroller mit Tauschakku-Infrastruktur
    2. Elektromobilität Niu stellt zwei neue Elektromotorroller vor
    3. 22Motor Flow Elektroroller soll vor Schlaglöchern warnen

    Hacker: Was ist eigentlich ein Exploit?
    Hacker
    Was ist eigentlich ein Exploit?

    In Hollywoodfilmen haben Hacker mit Sturmmasken ein ganzes Arsenal von Zero-Day-Exploits, und auch sonst scheinen die kleinen Programme mehr und mehr als zentraler Begriff der IT-Sicherheit verstanden zu werden. Der Hacker Thomas Dullien hingegen versucht sich an einem theoretischen Modell eines Exploits.
    Von Hauke Gierow

    1. IoT Foscam beseitigt Exploit-Kette in Kameras
    2. Project Capillary Google verschlüsselt Pushbenachrichtigungen Ende-zu-Ende
    3. My Heritage DNA-Dienst bestätigt Datenleck von 92 Millionen Accounts

      •  /