Abo
  • Services:
Anzeige
Der Triple-Handshake-Angriff ermöglicht böswilligen Servern, sich als Nutzer auszugeben.
Der Triple-Handshake-Angriff ermöglicht böswilligen Servern, sich als Nutzer auszugeben. (Bild: Secure-resumption.com)

TLS: Sicherheitslücke bei Client-Authentifizierung

Erneut gibt es Probleme mit dem TLS-Protokoll. Mit der Triple-Handshake-Attacke kann ein bösartiger HTTPS-Server einem weiteren Server vorgaukeln, er hätte das Zertifikat eines Nutzers. Die meisten Anwender sind von dem Angriff vermutlich nicht betroffen.

Anzeige

Ein Team von Forschern hat eine Reihe von subtilen Problemen im TLS-Protokoll entdeckt. Ein mögliches Angriffsszenario des Triple-Handshake-Angriffs besteht darin, dass ein HTTPS-Webserver, zu dem ein Nutzer mit einem Client-Zertifikat eine verschlüsselte Verbindung aufbaut, sich einem anderen Webserver gegenüber als Nutzer mit dem Zertifikat ausgeben kann.

Das von den Autoren beschriebene Angriffsszenario auf HTTPS betrifft lediglich Nutzer, die sich gegenüber Webseiten mit einem Client-Zertifikat authentifizieren. Nur wenige Webseiten machen von einer derartigen Möglichkeit Gebrauch und die meisten Internetnutzer haben überhaupt kein Client-Zertifikat. Auch andere auf TLS aufbauende Protokolle, bei denen sich der Nutzer authentifiziert, könnten von dem Problem betroffen sein, die Autoren erwähnen PEAP, SASL und Channel ID.

Das Problem tritt im Zusammenhang mit der sogenannten Renegotiation von TLS auf. Damit kann eine TLS-Verbindung zwischendurch neu ausgehandelt und Parameter der Verbindung geändert werden. Die Renegotiation galt schon in der Vergangenheit als problematisch, bereits 2009 gab es eine Sicherheitslücke in TLS, die eine Veränderung am Protokoll nötig machte. Was hier zum Problem wird: Bei der Renegotiation kann der Server sein Zertifikat wechseln - und bisher prüften Browser in so einem Fall nicht, ob das neue Zertifikat auch für den entsprechenden Server gültig ist. Die Autoren schlagen allen Entwicklern von HTTPS-Clients vor, diese Prüfung nachzurüsten.

Der Chrome-Entwickler Adam Langley hat auf seinem Blog einen Test bereitgestellt, mit dem Anwender prüfen können, ob ihr Browser bereits eine entsprechende Zertifikatsprüfung durchführt. Langley hat in seinen Blogeintrag ein Bild eingebunden, das zunächst eine Verbindung mit einem korrekten Zertifikat aufbaut und dann per Renegotiation auf ein ungültiges Zertifikat wechselt. Ein Browser, der das Zertifikat bei jeder Renegotiation prüft, sollte das entsprechende Bild also nicht anzeigen. Bereits im Vorfeld der Veröffentlichung haben die Autoren des Angriffs verschiedene Browserhersteller kontaktiert und auf das Problem hingewiesen, in unseren Tests waren Chrome, Firefox und Opera bereits geschützt. Der Internet Explorer ist aktuell noch verwundbar.

Für die grundlegenden Probleme des TLS-Protokolls schlagen die Autoren eine Erweiterung vor, diese soll auf dem zurzeit stattfindenden Treffen der IETF am Dienstag vorgestellt und diskutiert werden.

Die Probleme wurden im Rahmen eines Forschungsprojekts entdeckt, bei dem die Forscher versuchen, die Sicherheit von TLS unter bestimmten Annahmen zu beweisen. Beteiligt sind daran das französischen Forschungsinstitut Inria (Institut national de recherche en informatique et en automatique) und einige Mitarbeiter der Forschungsabteilung von Microsoft.


eye home zur Startseite
0xDEADC0DE 04. Mär 2014

Die würde gar nicht erst zustande kommen, da man selten vollen Einblick bei CS hat. Aus...

Smaxx 04. Mär 2014

Mein IE11 (Windows 8.1) zeigt es auch nicht an. Ruft man die Bild-URL direkt auf, gibt es...



Anzeige

Stellenmarkt
  1. Bosch SoftTec GmbH, Hildesheim
  2. McFIT Global Group GmbH, Berlin
  3. T-Systems International GmbH, München, Leinfelden-Echterdingen
  4. operational services GmbH & Co. KG, Frankfurt am Main, München, Nürnberg, Wolfsburg


Anzeige
Top-Angebote
  1. 26,99€ (Aktionsrabatt nur gültig bei Bezahlung mit paysafecard)
  2. ab 34,95€ im PCGH-Preisvergleich
  3. ab 17,97€

Folgen Sie uns
       


  1. Apple

    App schaltet Touch Bar des Macbook Pro ab

  2. Deutscher Computerspielpreis

    Portal Knights ist das "Beste Deutsche Spiel" 2017

  3. Sledgehammer Games

    Call of Duty WW2 und die Befreiung von Europa

  4. Elektroauto

    VW testet E-Trucks

  5. Telekom

    IP-Umstellung wird auch bei Geschäftskunden durchgesetzt

  6. Linux-Hardening

    Grsecurity nicht mehr für alle verfügbar

  7. Spracheingabe

    Nuki-Smart-Lock lässt sich mit Alexa öffnen

  8. Mediendienste-Richtlinie

    Youtuber sollen keine Schleichwerbung mehr machen dürfen

  9. Hannover Messe und Cebit

    Die Deutsche Bahn ärgert Messebesucher

  10. LTE

    Australien setzt auf Fixed Wireless mit 1 GBit/s



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Creators Update im Test: Erhöhter Reifegrad für Windows 10
Creators Update im Test
Erhöhter Reifegrad für Windows 10
  1. Microsoft Zwei große Updates pro Jahr für Windows 10
  2. Creators Update Game Mode macht Spiele runder und Windows 10 ruckelig
  3. Windows 10 Version 17xx-2 Stromsparmodus kommt für die nächste Windows-Version

Miniatur Wunderland: Schiffe versenken die schönsten Pläne
Miniatur Wunderland
Schiffe versenken die schönsten Pläne
  1. Transport Üo, der fahrbare Ball
  2. Transport Sea Bubbles testet foilendes Elektroboot
  3. Verkehr Eine Ampel mit Kamera und Gesichtserkennung

Garmin Fenix 5 im Test: Die Minimap am Handgelenk
Garmin Fenix 5 im Test
Die Minimap am Handgelenk

  1. Re: Dann auch wieder mit offiziellem Linux Support?

    Apfelbrot | 07:01

  2. Re: Die Telekom nimmt das Telefonnetz einer...

    kaymvoit | 06:54

  3. Re: T-Com Voip kränkelt bis heute...

    moppi | 06:38

  4. Re: wenige Minuten Ladezeit

    _Pluto1010_ | 06:36

  5. Re: Also wir sind wider beim klassischen...

    ArcherV | 06:36


  1. 07:12

  2. 23:39

  3. 20:59

  4. 18:20

  5. 18:20

  6. 18:05

  7. 17:46

  8. 17:20


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel