TLS

Das BSI hat Mindeststandards für sichere SSL-/TLS-Verbindungen herausgegeben. Bislang hält sich keine einzige Behörde daran - nicht einmal das BSI selbst. Die Empfehlungen enthalten außerdem sachlich falsche Informationen.

Das BSI fordert, in den Regierungsstellen TLS 1.2 mit Perfect Forward Secrecy einzusetzen. Bis alles umgestellt ist, ginge auch noch übergangsweise TLS 1.0, wenn Maßnahmen gegen bekannte Angriffe ergriffen würden.

Neuere Versionen des TLS-Standards verbessern die Verschlüsselung und verhindern bestimmte Angriffe. Das nützt aber praktisch nichts, denn ein aktiver Angreifer kann die Nutzung eines älteren TLS-Standards erzwingen.

Die Geheimdienstskandale führen dazu, dass die Menschen in Deutschland Big Data oft ablehnen. Nutzer sozialer Netzwerke sind zu 58 Prozent gegen das Aggregieren und Analysieren von Kundendaten.

Der Zufallsgenerator von OpenSSL liefert unter bestimmten Umständen bei mehreren Aufrufen identische Werte, wenn er aus mehreren parallel ablaufenden Prozessen desselben Programms aufgerufen wird.

Ein Experte von Kaspersky Lab erzählt im Gespräch mit Golem.de, welche Möglichkeiten Geheimdienste haben, um SSL anzugreifen.

Beim Aufbau von TLS-Verbindungen kann Firefox künftig Informationen über die Gültigkeit eines Zertifikats mitliefern. Das sogenannte OCSP Stapling wird damit von allen großen Browsern unterstützt, aber bei den Servern gibt es noch Probleme.

Die TLS-Schnittstelle von Windows lädt automatisch fehlende Zertifizierungsstellen nach. Das sowieso schon kritisierte System der TLS-Zertifizierung wird dadurch noch unsicherer.

Normalerweise ist verschlüsselte Kommunikation nur sicher, solange die benutzten Schlüssel geheim bleiben. Anders ist das mit einer cleveren Technologie, die auf dem Diffie-Hellman-Verfahren basiert. Die Möglichkeit hierfür ist in TLS vorhanden, aber Browser und Server müssen sie auch nutzen.

Ein Team um den Kryptografen Dan Bernstein präsentiert neue Sicherheitsprobleme in der von TLS genutzten RC4-Stromverschlüsselung. Praktisch umsetzbar ist der Angriff nur in seltenen Fällen, die Autoren rechnen aber damit, dass er künftig noch verbessert wird.

Apple hat eine Sicherheitslücke in seinem App Store beseitigt, über die Google-Mitarbeiter Elie Bursztein das Unternehmen bereits im Juli 2012 informierte. Durch fehlende Verschlüsselung war es unter anderem möglich, Passwörter zu stehlen und Apps auf Kosten der Nutzer auf ihren Geräten zu installieren.

Forscher der Royal Holloway University in London haben eine Möglichkeit gefunden, um die im Web genutzten Verschlüsselungsverfahren SSL, TLS und DTLS auszuhebeln. Betroffen sind praktisch alle Implementierungen.

Mit dem plattformübergreifenden Instant Messenger Hike werden Nachrichten auf Android- und iOS-Geräten jetzt mit einer 128-Bit-SSL-Verschlüsselung im WLAN übertragen. Windows-Phone-Nutzer senden vorerst im Klartext weiter.

Wissenschaftler haben 13.500 kostenlose Android-Apps aus dem Play Store auf ihren Umgang mit verschlüsselten Daten untersucht. Die Ergebnisse sollen zeigen, dass manche Apps es mit der Sicherheit der Nutzerdaten nicht so genau nehmen.

Eine neue Top Level Domain soll eine komplette Sicherheitsstruktur bieten, von HTTPS bis hin zu DNSSec. Der Domainname wurde bereits bei der Icann beantragt, die gesamte Infrastruktur soll bis Mitte 2013 funktionieren.

Ein bereits verfügbares Update schließt eine Sicherheitslücke in OpenSSL. Durch fehlerhaftes Auslesen von Zertifikaten durch den ASN1-Parser entsteht ein Speicherfehler, über den womöglich Code eingeschleust werden kann.

Mit False Start wollte Google SSL-Verbindungen beschleunigen. Dies wird mit Chrome 20 nur noch für sehr wenige Webseiten unterstützt, jene mit der TLS-Erweiterung NPN.

Bereits im Oktober 2011 hat Google die Suche unter google.com auf SSL umgestellt, so dass angemeldete Nutzer automatisch über eine verschlüsselte Verbindung darauf zugreifen. Ab sofort stellt Google auch seine internationalen Domains auf SSL um.

Twitter stellt komplett auf HTTPS um, um seine Nutzer besser zu schützen. Wer das explizit nicht will, kann es aber abstellen.

Adam Langley aus Googles Sicherheitsteam kündigt in seinem privaten Blog an, dass Googles Browser Chrome bei SSL künftig nicht bei der CA anfragen wird, ob ein Zertifikat zurückgezogen wurde. Das erhöhe die Sicherheit nicht und dauere dadurch unnötig lang.

Über eine Pflichtmitteilung, die eigentlich nur Börsianer interessiert, ist jetzt herausgekommen, dass Verisign im Jahr 2010 angegriffen wurde und bei dem Angriff Daten entwendet wurden. Die SSL-Infrastruktur sei aber nicht kompromittiert worden, versicherte Symantec eilig.

2011 war gerade aus der Perspektive der Internetsicherheit ein besonders anstrengendes und nerviges Jahr. Nie zuvor wurde in so kurzer Folge eine Firma nach der anderen gehackt, Passwörter gestohlen, Zertifikate gefälscht und Kreditkartennummern entwendet.

Entwickler von Google schlagen einen einfachen Mechanismus vor, um Browserzertifikate vor Diebstahl zu schützen: Der Browser soll bei jeder SSL-Verbindung nachsehen, ob das Zertifikat noch gilt.

Wikileaks will wieder Dokumente annehmen. Eine neu gestaltete Plattform soll die Sicherheit und Anonymität der Nutzer, die Dokumente einreichen, besser gewährleisten. In Australien ist Wikileaks mit einem renommierten Journalistenpreis ausgezeichnet worden.

Google erweitert die SSL-Verschlüsselung von Diensten wie Google Mail, Docs, Google+ und der SSL-Suche um "Forward Secrecy". Damit soll Angreifern die Entschlüsselung der heute abgewickelten Kommunikation in der Zukunft, mit dann höherer Rechenleistung, erschwert werden.

Das ProFTPD-Team hat mit der Veröffentlichung der Versionen 1.3.4 und 1.3.3g eine kritische Sicherheitslücke geschlossen, über die ein Angreifer Code in den betroffenen Server einschleusen konnte.

Ein neues Programm für DoS-Angriffe sorgt in der Securityszene für Gesprächsstoff. Da es Lücken im SSL-System angreift, sollen auch mittelgroße Webserver mit einem einzigen PC lahmgelegt werden können.

Diginotar hat einen Insolvenzantrag gestellt. Dem niederländischen Sicherheitsunternehmen war es zuvor untersagt worden, neue elektronische Signaturen auszustellen.

Die beiden Sicherheitsforscher Juliano Rizzo und Thai Duong wollen Ende der Woche auf der Ekoparty Security Conference einen Angriff auf SSL/TLS vorstellen, mit dem sich die verschlüsselte Kommunikation mit Webseiten abhören lässt.

Das niederländische Unternehmen Diginotar darf künftig auch keine elektronischen Signaturen mehr ausstellen. Bisher ausgestellte Signaturen werden ungültig.

Die Vasco-Tochter Diginotar hat das Vertrauen einer weiteren Firma verloren. Nun patcht auch Apple die Root-Zertifikate aus seinen Betriebssystemen, allerdings nur bei Lion und Snow Leopard.

Google hat iranischen Nutzer nahegelegt, die Einstellungen ihrer Gmail-Konten zu überprüfen und danach ihre Passwörter zu ändern. Auch andere Google-Apps, etwa Docs, könnten durch die gefälschten Zertifikate von Diginotar betroffen sein.

Die Auswirkungen der gehackten Diginotar-Zertifikate sind vor allem in den Niederlanden zu spüren: Dort raten Innenminister und Gerichte, zu Papier und Stift, Fax und Post zu greifen.

Microsoft hat Patches für sämtliche Windows-Versionen veröffentlicht, die die Root-Zertifikate von Diginotar entfernen. Etliche große Linux-Distributionen stellen entsprechende Updates bereit. Ein Patch für Mac OS X ist noch nicht verfügbar.

Der Einbruch in die Server des niederländischen Zertifikatsanbieters Diginotar hat weitreichendere Folgen als bisher bekannt, meldet die niederländische Regierung. Und ein erstes Zwischengutachten belegt grobe Fehler von Diginotar.

Die Niederlande werden künftig keine SSL-Zertifikate von Diginotar ausstellen lassen. Besucher der Regierungswebseiten werden gewarnt, dass sie nicht mehr sicher seien. Auch Mozilla hat die Zertifikate entfernt - permanent.

Rund 250 Zertifikate sperren die Entwickler von Google Browser Chrome in Reaktion auf das gefälschte SSL-Zertifikat von Diginotar. Das Ausmaß des Sicherheitsproblems könnte also deutlich größer sein als bisher angenommen.

Update Der jüngste SSL-Vorfall hat weitreichende Konsequenzen. Mit einem gefälschten Google-Zertifikat sind Man-in-the-Middle-Angriffe auf Google-Nutzer möglich. Microsoft und Mozilla reagieren mit drastischen Schritten und entziehen der Ausgabestelle des gefälschten Zertifikats ihr Vertrauen.

Nach einem Hackerangriff hat der Zertifizierungsdienstleister StartSSL seine Dienste vorübergehend eingestellt und stellt keine SSL-Zertifikate mehr aus. Besitzer eines bereits ausgestellten Zertifikats sollen nicht betroffen sein.

Beim brasilianischen Comodo-Partner Comodo BR ist eingebrochen worden. SSL-Zertifikate sollen aber nicht gefährdet sein. Comodo teilte mit, die Angreifer hätten keinen Zugriff auf die Datenbanken gehabt.

KDE-Entwickler Richard Moore stellt ein Konzept vor, bei dem die SSL-Zertifikate von Webseiten auf Veränderung seit dem letzten Besuch hin überprüft werden.

Mit "SSL False Start" will Google mit SSL verschlüsselte Verbindungen schneller machen. Bereits vor einem Jahr schlugen einige Google-Mitarbeiter die Technik vor, mittlerweile hat Google sie in Chrome integriert und die für den SSL-Handshake nötige Zeit um 30 Prozent reduziert.

Microsoft hat ein Sicherheitsupdate für Smartphones mit Windows Phone 7 veröffentlicht. Das Update klassifiziert die neun bei Comodo entwendeten SSL-Zertifikate nicht länger als vertrauenswürdig.