Verschlüsselung: Uraltalgorithmen gefährden Millionen Webseiten

Bei Untersuchungen von TLS-Implementierungen ist eine gefährliche Sicherheitslücke entdeckt worden: Freak. In bestimmten Fällen lassen sich Verbindungen mit unsicheren 512-Bit-RSA_Schlüsseln erzwingen. Diese Cipher sind ein Relikt der Kryptoregulierung in den 90ern.

Artikel veröffentlicht am 4. März 2015, 8:01 Uhr, Hanno Böck

Smack heißt ein Forschungsprojekt, bei dem Probleme in TLS-Bibliotheken entdeckt wurden. (Bild: smacktls.com)

Ein Team des französischen Forschungsinstituts Inria hat die sogenannte State Machine von verschiedenen TLS-Implementierungen untersucht. Das Projekt mit dem Titel Smack (State Machine Attack) förderte verschiedene Sicherheitslücken zu Tage. Eine ist besonders gravierend, denn sie erlaubt praktische Angriffe gegen OpenSSL- und Apple-TLS-Clients, wenn die Webseite eine Verbindung mit sogenannten Export-Verschlüsselungsalgorithmen erlaubt. Dieser Angriff wurde Freak getauft.

Relikt aus den Kryptokriegen

Die Export-Verschlüsselungsalgorithmen in TLS sind ein Relikt aus den 90er Jahren. Die USA hatten damals Gesetze, die die Nutzung starker Kryptographie und insbesondere deren Export einschränkten. Die politischen Auseinandersetzungen um derartige Einschränkungen von Verschlüsselungstechnik bezeichnete man auch als Crypto Wars. Mit dem TLS-Vorgänger SSL wurden Algorithmen eingeführt, die absichtlich schwache Schlüssel nutzten. Eigentlich sollten die Export-Cipher heute nirgends mehr zum Einsatz kommen, doch sie werden nach wie vor von aktueller Software unterstützt.

Wie sich bei den Untersuchungen der Inria-Forscher herausstellte, akzeptiert sowohl OpenSSL als auch die TLS-Bibliothek von Apple einen schwachen, temporären 512-Bit-RSA-Schlüssel im Export-Modus. Das funktioniert aufgrund eines Fehlers auch dann, wenn der Client keinen derartigen Schlüssel angefordert hat.

Selbst das wäre nur ein kleines Problem, denn ein Angreifer müsste in diesem Modus den temporären RSA-Schlüssel innerhalb von Sekunden brechen, um die Verbindung praktisch anzugreifen. Obwohl das Knacken von 512-Bit-Schlüsseln nicht allzu schwer ist, dürfte das nur für wenige Angreifer praktikabel sein. Doch es kommt ein weiteres Problem hinzu: Gängige Webserver wie beispielsweise Apache generieren den temporären 512-Bit-Schlüssel nicht live, sondern cachen ihn für die gesamte Laufzeit eines Serverprozesses.

512-Bit-Schlüssel in sieben Stunden knacken

Die Kryptographin Nadia Heninger hat mit dem frei verfügbaren Tool CADO-NFS die Faktorisierung von RSA-Schlüsseln optimiert. Auf einer Amazon-EC2-Instanz lässt sich ein solcher 512-Bit-Schlüssel innerhalb von sieben Stunden knacken. Dadurch wird Freak zu einem praktisch durchführbaren Angriff.

Damit der Angriff funktioniert, muss der Server den entsprechenden uralten RSA-Export-Modus unterstützen. Erschreckenderweise tun das nach wie vor erstaunlich viele Server. Laut Scans der Universität von Michigan sind etwa 37 Prozent der TLS-Server für diesen Angriff verwundbar. Für einen Großteil davon ist das Content Delivery Network Akamai verantwortlich. Besonders ironisch: Auch die Webseite der NSA ist verwundbar.

Koordiniert hat die Veröffentlichung der Kryptograph Matthew Green. In seinem Blog gibt es eine ausführliche Beschreibung des Angriffs. Neben Freak entdeckten die Inria-Forscher weitere Probleme in TLS-Bibliotheken. Die TLS-Bibliothek von Java (JSSE) und die Embedded-Bibliothek CyaSSL erlauben an bestimmten Stellen des TLS-Protokolls, einzelne Nachrichten auszulassen, was ebenfalls zu Sicherheitsproblemen führen kann. Der Bug in JSSE hat die ID CVE-2014-6593 erhalten.

In OpenSSL wurde der Bug mit den RSA-Export-Ciphern als CVE-2015-0204 mit den Updates im Januar behoben. Die aktuelle Version 1.0.2 sowie die jüngsten Fixes der älteren Versionszweige (1.0.1l, 1.0.0q, 0.9.8ze) sind nicht mehr betroffen. Für Apple-Systeme ist noch kein Fix verfügbar.

Staatliche Kryptohintertüren riskant

Für Matthew Green zeigt der Vorfall vor allem eines: Wenn staatliche Regulierungen schwache Verschlüsselung erzwingen, kann das selbst Jahrzehnte später noch zum Problem werden. Das wäre nur eine akademische Geschichtsstunde, doch da in letzter Zeit verschiedene Politiker sowohl in den USA als auch in Europa indirekt Hintertüren in Verschlüsselungsverfahren forderten, ist die Sicherheitslücke auch ein Beitrag zur aktuellen Debatte.