Abo
  • Services:
Anzeige
Die Poodle-Sicherheitslücke hat das Ende von SSL Version 3 besiegelt.
Die Poodle-Sicherheitslücke hat das Ende von SSL Version 3 besiegelt. (Bild: Living in Monrovia/Wikimedia Commons/CC by-sa 2.0)

Verschlüsselung: SSL Version 3 soll endgültig verschwinden

Die Poodle-Sicherheitslücke hat das Ende von SSL Version 3 besiegelt.
Die Poodle-Sicherheitslücke hat das Ende von SSL Version 3 besiegelt. (Bild: Living in Monrovia/Wikimedia Commons/CC by-sa 2.0)

Seit der Poodle-Attacke ist klar, dass das uralte Protokoll SSL 3 nicht mehr sicher ist. Mit RFC 7568 gibt es jetzt ein offizielles Dokument, das den Einsatz des ursprünglich von Netscape entwickelten Verschlüsselungsprotokolls verbietet.

Anzeige

SSL Version 3 soll endgültig aus dem Internet verschwinden. Das sieht ein jetzt von der Internet Engineering Task Force (IETF) verabschiedetes Dokument vor. RFC 7568 schreibt dazu eindeutig, dass das alte Protokoll weder von Clients beim Verbindungsaufbau angeboten noch von Servern akzeptiert werden sollte. Geschrieben wurde die Empfehlung von Mitarbeitern von Mozilla, Google und dem französischen Forschungsinstitut Inria.

Poodle-Lücke besiegelt Ende

Im vergangenen Jahr hatten Google-Sicherheitsforscher die sogenannte Poodle-Lücke im alten SSL-Protokoll gefunden. Während es bei anderen Lücken wie Beast oder Lucky Thirteen in der Vergangenheit gelang, durch entsprechende Workarounds eine Ausnutzung dieser Sicherheitslücken zu vermeiden, gab es bei Poodle keine einfache derartige Möglichkeit. Deshalb war klar, dass das Protokoll aus dem Netz verschwinden sollte, viele Webseiten und Programme haben das alte Protokoll bereits abgeschaltet.

Das SSL-Protokoll wurde in den 90er Jahren von Netscape entwickelt. Der Nachfolger von SSL ist das TLS-Protokoll. Die Namensgebung und die Versionen sind verwirrend. Eine Version 1 von SSL gab es nur intern bei Netscape, veröffentlicht wurde es 1995 als Version 2. Diese Version gilt schon lange als unsicher, kurz danach wurde 1996 der Nachfolger Version 3 veröffentlicht. Später wurde das Protokoll in TLS umbenannt und von der IETF weiterentwickelt. Dabei fing die Versionierung wieder von vorne an. TLS gibt es in den Versionen 1.0, 1.1 und 1.2. Zu empfehlen ist aus heutiger Sicht nur noch die Version 1.2.

Neben der Poodle-Lücke listet RFC 7568 eine Reihe von weiteren Gründen, die für die Abschaffung von SSL 3 sprechen. Das Protokoll kennt noch keine Erweiterungen, diverse moderne Funktionen stehen daher nicht zur Verfügung.

Probleme mit alten Geräten

Obwohl das Protokoll inzwischen 19 Jahre alt und der Nachfolger TLS 1.0 ebenfalls bereits seit 16 Jahren verfügbar ist, führte die Abschaffung zu einigen Problemen. So hatten Microsoft und Nokia noch 2011 ein High-End-Smartphone herausgebracht, dessen Mailprogramm ausschließlich SSL 3 unterstützt. Da das entsprechende Betriebssystem Windows Phone 7 nicht mehr unterstützt wird, gibt es von Microsoft kein Update. Auch AVM hat noch vor wenigen Jahren auf der Fritzbox den Mailsupport ausschließlich über SSL 3 betrieben, entsprechende Router können heute die POP3-Funktionen mit den meisten Mailanbietern nicht mehr nutzen, Updates gab es keine. Zum Zeitpunkt, als diese Geräte veröffentlicht wurden, war SSL 3 bereits völlig veraltet.

Dieses Problem dürfte auch in Zukunft auftauchen. Vieles spricht dafür, dass auch das TLS-1.0-Protokoll irgendwann abgeschafft werden sollte. Zwar gibt es TLS 1.1 schon seit 2006 und TLS 1.2 seit 2008, doch nach wie vor sind viele Geräte im Einsatz, die nur das inzwischen ebenfalls veraltete TLS 1.0 unterstützen.


eye home zur Startseite
rostwolke 28. Jun 2015

Die einzelnen Seiten ziehen schon nach, falls beispielsweise Chrome oder Firefox beim...

Nibbels 28. Jun 2015

Naja, das ist völlig klar wie das läuft. Wenn man etwas nicht tun muss, macht man es...

RipClaw 26. Jun 2015

In den Standardeinstellung von aktueller Software ist SSLv3 in der Regel noch aktiviert...

martinr 26. Jun 2015

Es ist traurig dass sich die IETF herablässt ein Dokument mit derart viel irreführenden...



Anzeige

Stellenmarkt
  1. Deutsche Bundesbank, Düsseldorf
  2. OMICRON electronics GmbH, Klaus (Österreich)
  3. DEKRA SE, Stuttgart
  4. ESG Elektroniksystem- und Logistik-GmbH, Fürstenfeldbruck


Anzeige
Hardware-Angebote
  1. auf Kameras und Objektive
  2. ab 474,76€

Folgen Sie uns
       


  1. Komplett-PC

    In Nvidias Battleboxen steckt AMDs Ryzen

  2. Internet

    Cloudflare macht IPv6 parallel zu IPv4 jetzt Pflicht

  3. Square Enix

    Neustart für das Final Fantasy 7 Remake

  4. Agesa 1006

    Ryzen unterstützt DDR4-4000

  5. Telekom Austria

    Nokia erreicht 850 MBit/s im LTE-Netz

  6. Star Trek Bridge Crew im Test

    Festgetackert im Holodeck

  7. Quantenalgorithmen

    "Morgen könnte ein Physiker die Quantenmechanik widerlegen"

  8. Astra

    ZDF bleibt bis zum Jahr 2020 per Satellit in SD verfügbar

  9. Kubic

    Opensuse startet Projekt für Container-Plattform

  10. Frühstart

    Kabelnetzbetreiber findet keine Modems für Docsis 3.1



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Razer Core im Test: Grafikbox + Ultrabook = Gaming-System
Razer Core im Test
Grafikbox + Ultrabook = Gaming-System
  1. Gaming-Notebook Razer will das Blade per GTX 1070 aufrüsten
  2. Razer Lancehead Symmetrische 16.000-dpi-Maus läuft ohne Cloud-Zwang
  3. 17,3-Zoll-Notebook Razer aktualisiert das Blade Pro mit THX-Zertifizierung

Matebook X und E im Hands on: Huawei kann auch Notebooks
Matebook X und E im Hands on
Huawei kann auch Notebooks
  1. Matebook X Huawei stellt erstes Notebook vor
  2. Trotz eigener Geräte Huawei-Chef sieht keinen Sinn in Smartwatches
  3. Huawei Matebook Erste Infos zu kommenden Huawei-Notebooks aufgetaucht

Debatte nach Wanna Cry: Sicherheitslücken veröffentlichen oder zurückhacken?
Debatte nach Wanna Cry
Sicherheitslücken veröffentlichen oder zurückhacken?
  1. Android-Apps Rechtemissbrauch ermöglicht unsichtbare Tastaturmitschnitte
  2. Sicherheitslücke Fehlerhaft konfiguriertes Git-Verzeichnis bei Redcoon
  3. Hotelketten Buchungssystem Sabre kompromittiert Zahlungsdaten

  1. Re: Widerlegen?

    motzerator | 00:57

  2. Re: 2020!? Und die Personalien?

    packansack | 00:48

  3. Re: Mobilfunk + Festnetz-Anschluss meiner Eltern

    LordGurke | 00:47

  4. Könnte Akamai auch gerne machen

    LordGurke | 00:44

  5. Re: FF Remakes für Switch

    packansack | 00:38


  1. 18:08

  2. 17:37

  3. 16:55

  4. 16:46

  5. 16:06

  6. 16:00

  7. 14:21

  8. 13:56


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel