Ein Fehler in der Software OpenSSL gibt Zugriff auf den flüchtigen Speicher eines Webservers. Die Sicherheitsfirma Codenomicon, die ihn zusammen mit Google-Forscher Neel Mehta entdeckt hat, nennt den Bug Heartbleed und hat sogar öffentlichkeitswirksam eine Domain dazu eingerichtet – die offizielle Kennung lautet aber CVE-2014-0160.
Mit den Daten im Speicher könnte ein Angreifer kritische Informationen auslesen und den Server sogar gegenüber Dritten verkörpern, indem sie sich den Schlüssel des Originalservers verschaffen. Sie könnten auch Nutzernamen und Passwörter von Usern auslesen.
OpenSSL ist eine quelloffene und weit verbreitete Lösung für verschlüsselte Online-Kommunikation mit SSL/TLS. Sie kann für HTTPS ebenso wie E-Mail- oder Messaging-Verschlüsselung verwendet werden. Codenomicon hat sie auf eigenen Servern untersucht, um die Schwachstelle zu verifizieren: „Wir griffen uns selbst von außen an, ohne eine Spur zu hinterlassen. Ohne jegliche Zugangsdaten stahlen wir uns selbst die geheimen Schlüssel für unsere X.509-Zertifikate, Usernamen und Passwörter, Instant Messages, E-Mails und geschäftskritische Dokumente“, schreiben die Forscher.
Dem widerspricht allerdings Adam Langley von Google, der an der Fehlerbehebung des Problems beteiligt war. Auf Private Keys habe er nie zugreifen können, berichtet er auf Twitter: „Als ich den schnellen OpenSSL-Fix testete, habe ich nie Schlüsselmaterial von Servern bekommen, immer nur alte Pufferverbindungen. (Immerhin mit Cookies.)“
Betroffen sind Version 1.0.1 und 1.0.2-beta von OpenSSL, das in vielen Linux-Distributionen enthalten ist. Die bereits verfügbar gemachte Version 1.0.1g schließt die Lücke. Auf dem Twitter-Konto zum Webserver Nginx erfolgte etwa die Warnung: „Heartbleed ist ein gewaltiges Problem. Prüft euer OpenSSL!“ Eine einfache Möglichkeit dafür hat der User Filippo Valsorda bereitgestellt. Caschys Blog hat damit ermittelt, dass der Passwortmanager LastPass zu den Opfern zählt.
Auch angesichts täglicher Meldungen über Sicherheitslücken ist Heartbleed ein schweres und möglicherweise folgenreiches Problem für die Internet-Technik. Websites müssen aufwändig modifiziert werden, und eigentlich müsste jeder Besucher einer gefährdeten Site sein Passwort wechseln, weil es ja längst kompromittiert sein könnte. Analog müssten zahlreiche potenziell entwendete Sicherheitszertifikate zurückgezogen werden.
Die Gefahr ist etwas weniger groß für Websites, die bereits die Funktion Perfect Forward Secrecy nutzen. Sie wechselt den Sicherheitsschlüssel für jede Session, ohne dass sich daraus Rückschlüsse auf den Master Key ziehen ließen. Der Diebstahl eines Session Key etwa mit Heartbleed hat somit kaum Folgen.
[mit Material von Stephen Shankland, News.com]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Salesforce forciert den Ausbau seiner Industry Clouds. Mit ihrem Prozesswissen könnten deutsche IT-Dienstleister davon profitieren.
Bisher unbekannter Bedrohungsakteur versucht über gefälschte IP Scanner Software-Domänen Zugriff auf IT-Umgebungen zu erlangen.
Der Bericht zeigt bereits nutzbare Angriffsanwendungen und bewertet die Risiken, die davon ausgehen.
Deutsche sehen Finanzwesen und IT im Zentrum der KI-Transformation. Justiz und Militär hingegen werden deutlich…
Cubbit ist das weltweit erste Unternehmen, das Cloud-Objektspeicher anbietet. Es wurde 2016 gegründet und bedient…
Unbefugte können Schadcode einschleusen und ausführen. Auslöser ist eine fehlerhafte Implementierung einer Android-Funktion.
