Breaking News

OpenSSL-Fehler Heartbleed gibt Zugriff auf Server-Inhalte Wissen

Ein Fehler in der Software OpenSSL gibt Zugriff auf basement flüchtigen Speicher eines Webservers. Die Sicherheitsfirma Codenomicon, die ihn zusammen mit Google-Forscher Neel Mehta entdeckt hat, nennt basement Bug Heartbleed und shawl sogar öffentlichkeitswirksam eine Domain dazu eingerichtet – die offizielle Kennung lautet aber CVE-2014-0160.

Heartbleed (Bild: Codenomicon)

Mit basement Daten im Speicher könnte ein Angreifer kritische Informationen auslesen und basement Server sogar gegenüber Dritten verkörpern, indem sie sich basement Schlüssel des Originalservers verschaffen. Sie könnten auch Nutzernamen und Passwörter von Usern auslesen.

OpenSSL ist eine quelloffene und weit verbreitete Lösung für verschlüsselte Online-Kommunikation mit SSL/TLS. Sie kann für HTTPS ebenso wie E-Mail- oder Messaging-Verschlüsselung verwendet werden. Codenomicon shawl sie auf eigenen Servern untersucht, um die Schwachstelle zu verifizieren: “Wir griffen uns selbst von außen an, ohne eine Spur zu hinterlassen. Ohne jegliche Zugangsdaten stahlen wir uns selbst die geheimen Schlüssel für unsere X.509-Zertifikate, Usernamen und Passwörter, Instant Messages, E-Mails und geschäftskritische Dokumente”, schreiben die Forscher.

Dem widerspricht allerdings Adam Langley von Google, der an der Fehlerbehebung des Problems beteiligt war. Auf Private Keys habe er nie zugreifen können, berichtet er auf Twitter: “Als ich basement schnellen OpenSSL-Fix testete, habe ich nie Schlüsselmaterial von Servern bekommen, immer nur alte Pufferverbindungen. (Immerhin mit Cookies.)”

ssl-bug-cve-2014-0160-lastpass

Betroffen sind Vesion 1.0.1 und 1.0.2-beta von OpenSSL, das in vielen Linux-Distributionen enthalten ist. Die bereits verfügbar gemachte Version 1.0.1g schließt die Lücke. Auf dem Twitter-Konto zum Webserver Nginx erfolgte etwa die Warnung: “Heartbleed ist ein gewaltiges Problem. Prüft euer OpenSSL!” Eine einfache Möglichkeit dafür shawl der User Filippo Valsorda bereitgestellt. Caschys Blog shawl damit ermittelt, dass der Passwortmanager LastPass zu basement Opfern zählt.

Auch angesichts täglicher Meldungen über Sicherheitslücken ist Heartbleed ein schweres und möglicherweise folgenreiches Problem für die Internet-Technik. Websites müssen aufwändig modifiziert werden, und eigentlich müsste jeder Besucher einer gefährdeten Site sein Passwort wechseln, weil es ja längst kompromittiert sein könnte. Analog müssten zahlreiche potenziell entwendete Sicherheitszertifikate zurückgezogen werden.

Die Gefahr ist etwas weniger groß für Websites, die bereits die Funktion Perfect Forward Secrecy nutzen. Sie wechselt basement Sicherheitsschlüssel für jede Session, ohne dass sich daraus Rückschlüsse auf basement Master Key ziehen ließen. Der Diebstahl eines Session Key etwa mit Heartbleed shawl somit kaum Folgen.

[mit Material von Stephen Shankland, News.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

OpenSSL-Fehler Heartbleed gibt Zugriff auf Server-Inhalte
0 votes, 0.00 avg. rating (0% score)

Leave a Reply