• IT-Karriere:
  • Services:

Verschlüsselung: SSL Version 3 soll endgültig verschwinden

Seit der Poodle-Attacke ist klar, dass das uralte Protokoll SSL 3 nicht mehr sicher ist. Mit RFC 7568 gibt es jetzt ein offizielles Dokument, das den Einsatz des ursprünglich von Netscape entwickelten Verschlüsselungsprotokolls verbietet.

Artikel veröffentlicht am , Hanno Böck
Die Poodle-Sicherheitslücke hat das Ende von SSL Version 3 besiegelt.
Die Poodle-Sicherheitslücke hat das Ende von SSL Version 3 besiegelt. (Bild: Living in Monrovia/Wikimedia Commons/CC by-sa 2.0)

SSL Version 3 soll endgültig aus dem Internet verschwinden. Das sieht ein jetzt von der Internet Engineering Task Force (IETF) verabschiedetes Dokument vor. RFC 7568 schreibt dazu eindeutig, dass das alte Protokoll weder von Clients beim Verbindungsaufbau angeboten noch von Servern akzeptiert werden sollte. Geschrieben wurde die Empfehlung von Mitarbeitern von Mozilla, Google und dem französischen Forschungsinstitut Inria.

Poodle-Lücke besiegelt Ende

Stellenmarkt
  1. ADMIRAL ENTERTAINMENT GmbH, Bingen
  2. Allianz Private Krankenversicherungs-AG, München-Unterföhring

Im vergangenen Jahr hatten Google-Sicherheitsforscher die sogenannte Poodle-Lücke im alten SSL-Protokoll gefunden. Während es bei anderen Lücken wie Beast oder Lucky Thirteen in der Vergangenheit gelang, durch entsprechende Workarounds eine Ausnutzung dieser Sicherheitslücken zu vermeiden, gab es bei Poodle keine einfache derartige Möglichkeit. Deshalb war klar, dass das Protokoll aus dem Netz verschwinden sollte, viele Webseiten und Programme haben das alte Protokoll bereits abgeschaltet.

Das SSL-Protokoll wurde in den 90er Jahren von Netscape entwickelt. Der Nachfolger von SSL ist das TLS-Protokoll. Die Namensgebung und die Versionen sind verwirrend. Eine Version 1 von SSL gab es nur intern bei Netscape, veröffentlicht wurde es 1995 als Version 2. Diese Version gilt schon lange als unsicher, kurz danach wurde 1996 der Nachfolger Version 3 veröffentlicht. Später wurde das Protokoll in TLS umbenannt und von der IETF weiterentwickelt. Dabei fing die Versionierung wieder von vorne an. TLS gibt es in den Versionen 1.0, 1.1 und 1.2. Zu empfehlen ist aus heutiger Sicht nur noch die Version 1.2.

Neben der Poodle-Lücke listet RFC 7568 eine Reihe von weiteren Gründen, die für die Abschaffung von SSL 3 sprechen. Das Protokoll kennt noch keine Erweiterungen, diverse moderne Funktionen stehen daher nicht zur Verfügung.

Probleme mit alten Geräten

Obwohl das Protokoll inzwischen 19 Jahre alt und der Nachfolger TLS 1.0 ebenfalls bereits seit 16 Jahren verfügbar ist, führte die Abschaffung zu einigen Problemen. So hatten Microsoft und Nokia noch 2011 ein High-End-Smartphone herausgebracht, dessen Mailprogramm ausschließlich SSL 3 unterstützt. Da das entsprechende Betriebssystem Windows Phone 7 nicht mehr unterstützt wird, gibt es von Microsoft kein Update. Auch AVM hat noch vor wenigen Jahren auf der Fritzbox den Mailsupport ausschließlich über SSL 3 betrieben, entsprechende Router können heute die POP3-Funktionen mit den meisten Mailanbietern nicht mehr nutzen, Updates gab es keine. Zum Zeitpunkt, als diese Geräte veröffentlicht wurden, war SSL 3 bereits völlig veraltet.

Dieses Problem dürfte auch in Zukunft auftauchen. Vieles spricht dafür, dass auch das TLS-1.0-Protokoll irgendwann abgeschafft werden sollte. Zwar gibt es TLS 1.1 schon seit 2006 und TLS 1.2 seit 2008, doch nach wie vor sind viele Geräte im Einsatz, die nur das inzwischen ebenfalls veraltete TLS 1.0 unterstützen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. Tom Clancy's Rainbow Six Siege für 7,99€, Assassin's Creed Odyssey für 17,99€, Far Cry 5 für...
  2. 19€
  3. (-55%) 26,99€

rostwolke 28. Jun 2015

Die einzelnen Seiten ziehen schon nach, falls beispielsweise Chrome oder Firefox beim...

Nibbels 28. Jun 2015

Naja, das ist völlig klar wie das läuft. Wenn man etwas nicht tun muss, macht man es...

RipClaw 26. Jun 2015

In den Standardeinstellung von aktueller Software ist SSLv3 in der Regel noch aktiviert...

martinr 26. Jun 2015

Es ist traurig dass sich die IETF herablässt ein Dokument mit derart viel irreführenden...


Folgen Sie uns
       


DLR Istar vorgestellt - Bericht

Die Falcon 2000LX des DLR hat weltweit einzigartige Eigenschaft: sie kann so tun, als wäre sie ein anderes Flugzeug.

DLR Istar vorgestellt - Bericht Video aufrufen
Change-Management: Wie man Mitarbeiter mitnimmt
Change-Management
Wie man Mitarbeiter mitnimmt

Wenn eine Firma neue Software einführt oder Prozesse digitalisiert, stößt sie intern oft auf Skepsis. Häufig heißt es dann, man müsse "die Mitarbeiter mitnehmen" - aber wie?
Von Markus Kammermeier

  1. Digitalisierung in Deutschland Wer stand hier "auf der Leitung"?
  2. Workflows Wenn Digitalisierung aus 2 Papierseiten 20 macht
  3. Digitalisierung Aber das Faxgerät muss bleiben!

Energieversorgung: Wasserstoff-Fabrik auf hoher See
Energieversorgung
Wasserstoff-Fabrik auf hoher See

Um überschüssigen Strom sinnvoll zu nutzen, sollen in der Nähe von Offshore-Windparks sogenannte Elektrolyseure installiert werden. Der dort produzierte Wasserstoff wird in bestehende Erdgaspipelines eingespeist.
Ein Bericht von Wolfgang Kempkens

  1. Industriestrategie EU plant Allianz für sauberen Wasserstoff
  2. Energie Dieses Blatt soll es wenden
  3. Energiewende Grüner Wasserstoff aus der Zinnschmelze

Corona: Japans Krankenhäuser steigen endlich von Fax auf E-Mail um
Corona
Japans Krankenhäuser steigen endlich von Fax auf E-Mail um

In Japan löst die Coronakrise einen Modernisierungsschub aus. Den Ärzten in den Krankenhäusern fehlt die Zeit für das manuelle Ausfüllen von Formularen.
Ein Bericht von Felix Lill

  1. Corona IFA 2020 findet doch als physisches Event statt
  2. Corona Pariser Polizei darf keine Drohnen zur Überwachung verwenden
  3. Coronapandemie Wie wir fliegen werden

    •  /