Autor des in den letzten Tagen als Heartbleed bekannt gewordenen Fehlers in OpenSSL ist der Programmierer Robin Seggelmann. Er hat gegenüber der britischen Tageszeitung Guardian eingeräumt, „die nötige Validierung versehentlich unterlassen“ zu haben, als er den fehlerhaften Code an Silvester 2011 einführte.
Der Programmcode war dazu gedacht, eine Funktion namens Heartbeat zu realisieren: Ein Client und ein Server übermitteln dabei zufällige Daten, um so ihre Verbindung mit Transport Layer Security (TLS) zu bestätigen. Das Problem: Wenn ein Angreifer die Paketgröße größer angibt als tatsächlich der Fall, füllt der Server das Paket mit Daten aus seinem Speicher auf, bevor er es zurückschickt.
Der Code wurde am 31. Dezember 2011 um 23.59 Uhr eingereicht. Seggelmann besteht im Interview mit dem Guardian jedoch darauf, dass dieser Zeitpunkt – eine Minute vor dem Jahreswechsel – nichts mit dem Fehler zu tun hatte.
Seggelmann kann nicht allein für Heartbleed verantwortlich gemacht werden – schließlich durchlief der OpenSSL-Code die üblichen Prüfungen durch andere Community-Mitglieder. Obwohl dabei nichts gefunden wurde, betont Seggelmann, dass das Problem überhaupt je entdeckt wurde, zeige schon den Wert von im Quellcode zugänglichen Programmen.
Die von der Sicherheitsfirma Codenomicon und Google-Forscher Neel Mehta entdeckte Sicherheitslücke in OpenSSL CVE-2014-0160 besteht seit gut zwei Jahren. Dadurch ist Zugriff auf den flüchtigen Speicher eines Webservers möglich, wodurch ein Angreifer sensible Informationen wie Zugangsdaten abgreifen könnte.
Ob die in Anlehnung an die Heartbeat-Erweiterung von TLS/DTLS (RFC 6520) genannte Heardbleed-Lücke auch tatsächlich ausgenutzt wurde, kann derzeit niemand mit Sicherheit sagen. Fest steht aber, dass OpenSSL von gut zwei Dritteln aller Webseiten, die SSL zur Verschlüsselung einsetzen, verwendet wird. Allerdings bedeutet dies nicht, dass automatisch alle Server angreifbar waren. Denn dafür muss die Heartbeat-Erweiterung auch aktiviert sein. Das trifft laut Internet-Dienstleister Netcraft auf gut 500.000 Webserver zu.
[mit Material von Rich Trenholm, News.com]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Der Umsatz steigt um 15 Prozent, der Nettogewinn um 57 Prozent. Im nachbörslichen Handel kassiert…
Aus 61,9 Milliarden Dollar generiert das Unternehmen einen Nettoprofit von 21,9 Milliarden Dollar. Das größte…
Mehr Digitalisierung wird von den Unternehmen gefordert. Für KMU ist die Umsetzung jedoch nicht trivial,…
Der Nettoprofi wächst um 117 Prozent. Auch beim Umsatz erzielt die Facebook-Mutter ein deutliches Plus.…
Vom Standpunkt eines Verbrauchers aus betrachtet, stellt sich die Frage: Wie relevant und persönlich sind…
Scamio analysiert und bewertet die Gefahren und gibt Anwendern Ratschläge für den Umgang mit einer…
