OpenSSL-Fehler Heartbleed gibt Zugriff auf Server-Inhalte

Ein Fehler in der Software OpenSSL gibt Zugriff auf den flüchtigen Speicher eines Webservers. Die Sicherheitsfirma Codenomicon, die ihn zusammen mit Google-Forscher Neel Mehta entdeckt hat, nennt den Bug Heartbleed und hat sogar öffentlichkeitswirksam eine Domain dazu eingerichtet – die offizielle Kennung lautet aber CVE-2014-0160.

Mit den Daten im Speicher könnte ein Angreifer kritische Informationen auslesen und den Server sogar gegenüber Dritten verkörpern, indem sie sich den Schlüssel des Originalservers verschaffen. Sie könnten auch Nutzernamen und Passwörter von Usern auslesen.

OpenSSL ist eine quelloffene und weit verbreitete Lösung für verschlüsselte Online-Kommunikation mit SSL/TLS. Sie kann für HTTPS ebenso wie E-Mail- oder Messaging-Verschlüsselung verwendet werden. Codenomicon hat sie auf eigenen Servern untersucht, um die Schwachstelle zu verifizieren: „Wir griffen uns selbst von außen an, ohne eine Spur zu hinterlassen. Ohne jegliche Zugangsdaten stahlen wir uns selbst die geheimen Schlüssel für unsere X.509-Zertifikate, Usernamen und Passwörter, Instant Messages, E-Mails und geschäftskritische Dokumente“, schreiben die Forscher.

Dem widerspricht allerdings Adam Langley von Google, der an der Fehlerbehebung des Problems beteiligt war. Auf Private Keys habe er nie zugreifen können, berichtet er auf Twitter: „Als ich den schnellen OpenSSL-Fix testete, habe ich nie Schlüsselmaterial von Servern bekommen, immer nur alte Pufferverbindungen. (Immerhin mit Cookies.)“

Betroffen sind Version 1.0.1 und 1.0.2-beta von OpenSSL, das in vielen Linux-Distributionen enthalten ist. Die bereits verfügbar gemachte Version 1.0.1g schließt die Lücke. Auf dem Twitter-Konto zum Webserver Nginx erfolgte etwa die Warnung: „Heartbleed ist ein gewaltiges Problem. Prüft euer OpenSSL!“ Eine einfache Möglichkeit dafür hat der User Filippo Valsorda bereitgestellt. Caschys Blog hat damit ermittelt, dass der Passwortmanager LastPass zu den Opfern zählt.

Auch angesichts täglicher Meldungen über Sicherheitslücken ist Heartbleed ein schweres und möglicherweise folgenreiches Problem für die Internet-Technik. Websites müssen aufwändig modifiziert werden, und eigentlich müsste jeder Besucher einer gefährdeten Site sein Passwort wechseln, weil es ja längst kompromittiert sein könnte. Analog müssten zahlreiche potenziell entwendete Sicherheitszertifikate zurückgezogen werden.

Die Gefahr ist etwas weniger groß für Websites, die bereits die Funktion Perfect Forward Secrecy nutzen. Sie wechselt den Sicherheitsschlüssel für jede Session, ohne dass sich daraus Rückschlüsse auf den Master Key ziehen ließen. Der Diebstahl eines Session Key etwa mit Heartbleed hat somit kaum Folgen.

[mit Material von Stephen Shankland, News.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Florian Kalenda

Seit dem Palm Vx mit Klapp-Tastatur war Florian mit keinem elektronischen Gerät mehr vollkommen zufrieden. Er nutzt derzeit privat Android, Blackberry, iOS, Ubuntu und Windows 7. Die Themen Internetpolitik und China interessieren ihn besonders.

Recent Posts

Beta 3 von Android 15: Google stellt neue Sicherheitsfunktionen vor

Android 15 erreicht den Meilenstein Platform Stability. Die neue OS-Version verbessert die Implementierung von Passkeys…

13 Stunden ago

Apple entwickelt Hochsicherheits-OS für seine KI-Rechenzentren

Es soll die Grundlage für die Sicherheitsfunktion Private Compute Cloud bilden. Diese wiederum soll die…

14 Stunden ago

Google schließt schwerwiegende Sicherheitslöcher in Chrome

Sie stecken unter anderem in der JavaScript Engine V8. Betroffen sind Chrome für Windows, macOS…

21 Stunden ago

Cyberkriminelle umgehen Sicherheitsvorkehrungen mit Powershell-Skripten

Nutzer werden per Social Engineering dazu verleitet, Schadcode in die Windows PowerShell einzugeben. Die Skripte…

2 Tagen ago

In 3 von 4 Büros wird noch gefaxt

Laut Bitkom-Umfrage faxt ein Viertel der Unternehmen häufig oder sehr häufig. Grund ist vor allem…

3 Tagen ago

Salesforce baut KI-Angebot aus

Mehrere neue Copilot-Lösungen sollen Marketiers und Händlern helfen, ihre Kunden kanalübergreifend anzusprechen.

3 Tagen ago