• IT-Karriere:
  • Services:

Downgrade-Schutz sorgt für Probleme mit Enterprise-Geräten

Weiterhin gibt es ein Problem mit sogenannten TLS-Interception-Devices und einem Schutzmechanismus vor Downgrade-Angriffen. Im TLS-Handshake wird ein Zufallswert übertragen. Server, die TLS 1.3 unterstützen, sollen bei Verbindungen mit alten TLS-Versionen die letzten acht Bytes auf einen speziellen, im Standard definierten Wert setzen. Wenn ein Client diese Bytes sieht und selber eigentlich TLS 1.3 unterstützt, weiß er dadurch, dass beim Handshake etwas schiefgelaufen ist, weil eigentlich eine Verbindung mit TLS 1.3 hätte aufgebaut werden sollen.

Stellenmarkt
  1. Landis+Gyr GmbH, Nürnberg
  2. Schwarz Dienstleistung KG, Raum Neckarsulm

Ein Problem tritt nun bei bestimmten Geräten auf, die TLS-Verbindungen aufbrechen und somit quasi als Man in the Middle agieren. Solche Geräte sind generell sehr umstritten, wenn sie korrekt implementiert sind, sollten sie aber zumindest nicht zu Verbindungsproblemen führen.

Einige Hersteller kamen auf die Idee, den Zufallswert des Servers einfach weiterzureichen, statt für die Verbindung zum Client einen eigenen, neuen Zufallswert zu erzeugen. Nun tritt folgendes Problem auf: Wenn das Gerät in der Mitte kein TLS 1.3 kann, Client und Server aber schon, sendet der Server das Downgrade-Protection-Signal und es kommt beim Client an. Der Client hat aber mit dem Gerät nur eine TLS-1.2-Verbindung aufgebaut und erkennt daher einen Downgrade-Angriff. Die Verbindung schlägt fehl.

Cisco bietet Update an, Palo Alto Networks noch nicht

Das Chrome-Team konnte zwei Hersteller identifizieren, die diesen Fehler machen: Cisco und Palo Alto Networks. Chrome hatte das Problem an Cisco bereits im Dezember 2017 gemeldet, im August wurde dann ein Update veröffentlicht. Nutzer von entsprechenden Cisco-Produkten sollten dieses Update schnell installieren - oder alternativ die TLS-Interception-Funktion ganz abschalten.

Palo Alto Networks hat bisher noch kein Update veröffentlicht, es soll Ende November erscheinen. Möglicherweise gibt es weitere Geräte mit ähnlichen Fehlern, die bisher nicht identifiziert wurden.

Chrome wird aufgrund dieser Probleme den Downgrade-Check zeitweise deaktivieren. Laut Benjamin gibt es zwar einen weiteren Check im Rahmen der Finished-Message, der auch vor Downgrade-Angriffen schützt, doch das Chrome-Team sieht den Check mit dem Server-Zufallswert trotzdem als wichtiges Sicherheitsfeature an. Mittelfristig will Chrome den Check daher wieder anschalten.

Versionsintoleranz, scheinbar intelligente Trafficanalyse und eine NSA-Hintertüre

Diese Probleme reihen sich ein in eine ganze Reihe von Bugs, die dafür gesorgt haben, dass die Auslieferung von TLS 1.3 erschwert wurde. So gibt es zahlreiche Geräte, die bei einer Verbindung mit einer ihnen nicht bekannten neuen TLS-Version schlicht die Verbindung abbrechen, statt eine Verbindung mit einer älteren TLS-Version aufzubauen. Diese sogenannte Versionsintoleranz hat dazu geführt, dass TLS 1.3 sich zunächst auch als TLS 1.2 meldet, die eigentliche Version wird dann in einer Erweiterung mitgeteilt.

Zudem sorgte kurioserweise eine vermutlich von der NSA entwickelte Erweiterung, die Teil einer groß angelegten Operation zur Kompromittierung eines Zufallszahlengenerators war, dafür, dass Verbindungen mit einigen Canon-Druckern fehlschlugen.

TLS-Interception-Geräte von Blue Coat und zahlreiche Middleboxen, die versuchen, TLS-Verbindungen scheinbar intelligent zu analysieren, kamen zudem nicht damit klar, dass TLS-1.3-Pakete deutlich anders aussehen als die Vorgänger. Daher hat man TLS 1.3 so umgebaut, dass es seinem Vorgänger 1.2 möglichst ähnlich sieht, und dafür teilweise Nonsens-Nachrichten ins Protokoll eingebaut, die schlicht ignoriert werden.

In all diesen Fällen handelt es sich um Fehler der jeweiligen Hersteller. Nichts davon wäre nötig gewesen, wenn alte TLS-Versionen korrekt implementiert worden wäre.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Verschlüsselung: TLS 1.3 mit Startschwierigkeiten
  1.  
  2. 1
  3. 2


Anzeige
Spiele-Angebote
  1. (-28%) 42,99€
  2. (-79%) 21,00€
  3. (-80%) 7,99€

Anonymer Nutzer 15. Okt 2018

Das lässt sich dem Bewertungsskript grade.py entnehmen, welches auf der Seite verlinkt...

torrbox 14. Okt 2018

Kaum eine Software hat immer die neusten Ciphers und Features. Ok bald können es nginx...

tschaefer 13. Okt 2018

und ich wundere mich seit Monaten, dass das Internet stottert und der Browser hier da mal...

Sharra 13. Okt 2018

Da diese Middleware sowieso entgegen jeglicher Vernunft die Verschlüsselung einfach...

Anonymer Nutzer 13. Okt 2018

Zum Router: Da hast du wohl recht, aber besagte Features brauche/benutze ich nicht. DD...


Folgen Sie uns
       


Ninm Its OK - Test

Der It's OK von Ninm ist ein tragbarer Kassettenspieler mit eingebautem Bluetooth-Transmitter. Insgesamt ist das Gerät eine Enttäuschung, bessere Modelle gibt es auf dem Gebrauchtmarkt.

Ninm Its OK - Test Video aufrufen
Frauen in der Technik: Von wegen keine Vorbilder!
Frauen in der Technik
Von wegen keine Vorbilder!

Technik, also auch Computertechnik, war schon immer ein männlich dominiertes Feld. Das heißt aber nicht, dass es in der Geschichte keine bedeutenden Programmiererinnen gab. Besonders das Militär zeigte reges Interesse an den Fähigkeiten von Frauen.
Von Valerie Lux

  1. Bewerber für IT-Jobs Unzureichend qualifiziert, zu wenig erfahren oder zu teuer
  2. Männer und Frauen in der IT Gibt es wirklich Chancengleichheit in Deutschland?
  3. HR-Analytics Weshalb Mitarbeiter kündigen

Leistungsschutzrecht: Drei Wörter sollen ...
Leistungsschutzrecht
Drei Wörter sollen ...

Der Vorschlag der Bundesregierung für das neue Leistungsschutzrecht stößt auf Widerstand bei den Verlegerverbänden. Überschriften mit mehr als drei Wörtern und Vorschaubilder sollen lizenzpfichtig sein. Dabei wenden die Verlage einen sehr auffälligen Argumentationstrick an.
Eine Analyse von Friedhelm Greis

  1. Leistungsschutzrecht Memes sollen nur noch 128 mal 128 Pixel groß sein
  2. Leistungsschutzrecht Französische Verlage reichen Beschwerde gegen Google ein
  3. Leistungsschutzrecht Französische Medien beschweren sich über Google

Mythic Quest: Spielentwickler im Schniedelstress
Mythic Quest
Spielentwickler im Schniedelstress

Zweideutige Zweckentfremdung von Ingame-Extras, dazu Ärger mit Hackern und Onlinenazis: Die Apple-TV-Serie Mythic Quest bietet einen interessanten, allerdings nur stellenweise humorvollen Einblick in die Spielebrache.
Eine Rezension von Peter Steinlechner

  1. Apple TV TVOS 13 mit Mehrbenutzer-Option erschienen

    •  /