Original-URL des Artikels: https://www.golem.de/news/cybersicherheit-nsa-soll-heartbleed-bug-jahrelang-genutzt-haben-1404-105823.html    Veröffentlicht: 11.04.2014 22:26    Kurz-URL: https://glm.io/105823

Cybersicherheit

NSA soll Heartbleed-Bug jahrelang genutzt haben

Die National Security Agency soll nach einem Medienbericht zwei Jahre lang den Heartbleed-Bug von OpenSSL gekannt und regelmäßig genutzt haben, um Informationen zu sammeln. Die NSA bestreitet das, während eine Bürgerrechtsorganisation erste Hinweise gefunden haben will.

Die NSA soll den OpenSSL-Bug, der es ermöglicht, eigentlich private Keys von Servern auszulesen und damit die Verschlüsselung zu kompromittieren, jahrelang gekannt und auch aktiv ausgenutzt haben. Das berichtet die Nachrichtenagentur Bloomberg unter Berufung auf zwei nicht namentlich genannte Quellen.

Die Entscheidung der NSA, den Fehler nicht öffentlich zu machen, um nationale Sicherheitsinteressen zu verfolgen, dürfte wiederum dafür sorgen, dass die Debatte um die Rolle des US-Geheimdienstes in der Cybersicherheit neu aufflammt.

Offiziell wurde die Sicherheitslücke unabhängig voneinander von einem Team der finnischen Sicherheitsfirma Codenomicon und dem Sicherheitsteam von Google entdeckt. Schon ganz zu beginn der Affaire hieß es, dass die Entdecker fürchteten, dass weitere Personen die Sicherheitslücke schon früher entdeckt haben und sie bereits ausnutzen. Auf Serverseite gibt es keine Möglichkeit, eine Attacke zu erkennen, die in der Vergangenheit stattgefunden hat. Offenbar wurden einige Betreiber von Internetservices aber vorab von dem Problem informiert.

Die Entdeckung der Sicherheitslücke führte zu hektischen Updates auf Servern, Zertifikatserneuerungen und den Aufruf auch von Massenmedien an Privatpersonen und Unternehmen, ihre Passwörter zu ändern. Zahllose Administratoren mussten Serverkompontenten und sogar Netzwerkinfrastrukturgeräte in Windeseile aktualisieren.

NSA bestreitet Wissen über Heartbleed vor April

Die NSA bestreitet offiziell, von dem Bug vor April 2014 etwas gewusst zu haben. Das teilte der Geheimdienst über Twitter mit. Hätte man früher davon gewusst, hätte man sich an die Verantwortlichen für OpenSSL gewendet.

US-Präsident Barack Obama war in seiner Rede vom 17. Januar 2014 nicht auf Anregungen einer Regierungskommission eingegangen, die einen neuen Umgang mit Backdoors und Verschlüsselungsstandards gefordert hatte. Nach Ansicht von Sicherheitsexperten geht es dabei nicht um die Frage, ob die NSA spionieren dürfe oder nicht. Man stehe vor der Wahl, ob die Kommunikationsinfrastruktur im Kern angreifbar sei oder in sich für ihre Nutzer Sicherheit biete. Mehr als 50 Kryptographie-Experten aus den USA hatten in einem offenen Brief Ende Januar 2014 davor gewarnt, wegen Spionageinteressen die Sicherheitsstandards der Kommunikation zu untergraben.

Nach einem älteren Bericht der US-Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) gibt es Hinweise, dass der Heartbleed-Bug in OpenSSL bereits vor vielen Monaten praktisch ausgenutzt wurde. Ein Systemadministrator hat demnach in seinen Logs Hinweise auf den Fehler gefunden. Die EFF mutmaßt, dass es sich dabei um einen Angriff durch Geheimdienste handelte.

Nachtrag vom 11. April 2014, 23:00 Uhr

Die NSA bestreitet offiziell, von dem Bug vor April 2014 etwas gewusst zu haben. Das teilte der Geheimdienst über Twitter mit. Der Text wurde entsprechend angepasst.  (ad)


Verwandte Artikel:
Überwachung: Wikipedia darf nun doch die NSA verklagen   
(24.05.2017, https://glm.io/128001 )
Executive Order: Trump fordert viele Cybersecurity-Berichte an   
(12.05.2017, https://glm.io/127798 )
BND-Gesetz: Journalisten klagen gegen Überwachung   
(30.01.2018, https://glm.io/132478 )
JoltandBleed: Oracle veröffentlicht Notfallpatch für Universitäts-Software   
(20.11.2017, https://glm.io/131238 )
ROBOT-Angriff: Arbeitsagentur nutzt uralte Cisco-Geräte   
(09.03.2018, https://glm.io/133258 )

© 1997–2019 Golem.de, https://www.golem.de/