NSA dementiert Ausnutzung von Heartbleed-Bug

Der US-Auslandsgeheimdienst ist laut Bloomberg seit mindestens zwei Jahren über den schwerwiegenden Fehler informiert, der Zugriff auf Server-Inhalte gibt. Er soll ihn regelmäßig für seine Spähprogramme genutzt haben. Das Dementi der National Security Agency stößt rundum auf Skepsis.

Der US-Auslandsgeheimdienst NSA bestreitet, den Heartbleed-Bug schon lange gekannt und für seine Zwecke genutzt zu haben. Das Dementi erfolgte per Twitter und wenige Stunden nach einem Bericht der Nachrichtenagentur Bloomberg, der sich auf „zwei mit der Angelegenheit vertraute Personen“ berief. Demnach war die National Security Agency schon seit mindestens zwei Jahren über den schwerwiegenden Fehler informiert und nutzte ihn regelmäßig für ihre Spähprogramme.

NSA

Der als Heartbleed bekannt gewordene Fehler ermöglicht den Zugriff auf den flüchtigen Speicher eines Webservers. Mit den Daten im Speicher konnten Angreifer möglicherweise kritische Informationen sammeln und den Server sogar gegenüber Dritten verkörpern, indem sie sich den Schlüssel des Originalservers verschafften. Der lange ungepatchte Fehler gefährdete zahllose Anwender, da auch Nutzernamen und Passwörter ausgelesen werden konnten.

Wenn der Bericht zutrifft, nahm die NSA diese langfristige Gefährdung in Kauf, um selbst für Spionagezwecke Passwörter sowie andere relevante Daten abschöpfen zu können – trug aber gleichzeitig dazu bei, dass viele Millionen Nutzer angreifbar blieben. Sofern die Geheimdienste anderer Länder oder kriminelle Hacker auf die Sicherheitslücke aufmerksam wurden, hatten sie gleichfalls freie Bahn.

„Das widerspricht offenkundig den Behauptungen des Geheimdienstes, er sei in erster Linie der Abwehr verpflichtet“, zitierte Bloomberg dazu Jason Healey, einen früheren Cyber-Offizier der Air Force. „Die Experten für Computersicherheit werden deswegen über sie herfallen.“

Dem Twitter-Dementi folgte inzwischen eine ausführlichere Erklärung des Nationalen Geheimdienstkoordinators, der für die NSA und weitere US-Nachrichtendienste verantwortlich ist. „Berichte, nach denen die NSA oder andere Regierungsbehörden sich der sogenannten Heartbleed-Schwachstelle vor dem April 2014 bewusst waren, sind falsch“, heißt es darin. Die US-Regierung verlasse sich vielmehr selbst auf OpenSSL, um die Privatsphäre der Nutzer von behördlichen Websites und anderen Onlinediensten zu schützen. „Diese Regierung nimmt ihre Verantwortung ernst, zur Erhaltung eines offenen, interoperablen, sicheren und verlässlichen Internets beizutragen. Hätte die Bundesregierung – einschließlich der Geheimdienste – diese Schwachstelle schon vor letzter Woche entdeckt, dann wäre es der für OpenSSL verantwortlichen Community zur Kenntnis gebracht worden.“

Das Dementi stößt allerdings rundum auf Skepsis. Nach den von Whistleblower Edward Snowden enthüllten Unterlagen umgeht die NSA schon länger gängige Verschlüsselungsmethoden, indem sie Schlüssel von Privatfirmen stiehlt, gemeinsam mit Anbietern Hintertüren einrichtet und heimlich Schwächen in Verschlüsselungsstandards einführt. Nach einem Bericht von Reuters zahlte die NSA Millionen Dollar an den Sicherheitsdienstleister RSA und sorgte so für eine fehlerhafte Implementierung von RSA-Tokens. Nach einem weiteren Snowden-Dokument gab die NSA 2013 mindestens 25 Millionen Dollar für Zero-Day-Lücken aus. Der Geheimdienst musste einräumen, dass er über Informationen zu solchen ungepatchten Schwachstellen verfügt und sie mindestens teilweise zurückhält. Sicherheitsexperten werfen ihr deshalb die gezielte Unterminierung der Internet-Sicherheit vor.

Die berichtete Ausnutzung des Heartbleed-Bugs entfacht erneut die Debatte über die gegensätzlichen Zielsetzungen der National Security Agency. Einerseits ist sie mit Auslandsspionage beauftragt und kann dem mit fast unbegrenzten Mitteln nachgehen. Andererseits soll sie Cyberangriffe abwehren und ist für die Sicherheit von US-Regierungsbehörden verantwortlich. Hält sie Wissen über Schwachstellen zurück, um sie selbst für Angriffszwecke nutzen zu können, gefährdet sie eine ohnehin anfällige Kommunikationsinfrastruktur.

Um solche potenziellen Interessenkonflikte aufzulösen, regte ein von Präsident Barack Obama eingesetztes Expertengremium auch eine Aufspaltung der NSA an. Es empfahl außerdem die Klarstellung, dass die NSA nichts unternehme, um weltweite Verschlüsselungsstandards zu schwächen sowie für angreifbare Produkte und Services zu sorgen. Diese Vorschläge griff Obama in seinem Reformplan für die US-Geheimdienstaktivitäten jedoch nicht auf.

[mit Material von Edward Moyer, News.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Themenseiten: National Security Agency, Secure-IT, Server, Verschlüsselung, Überwachung

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

5 Kommentare zu NSA dementiert Ausnutzung von Heartbleed-Bug

Kommentar hinzufügen
  • Am 12. April 2014 um 19:18 von VFL

    Wie lautet doch gleich das Sprichwort?
    „Wer einmal lügt, dem glaubt man nicht, auch wenn er dann die Wahrheit spricht.“
    Nicht das die NSA hier die Wahrheit sagt!
    Aber im Fall der NSA, die ja AUSSCHLIESSLICH LÜGT,
    ist dies nur amrseelige Propaganda.

    • Am 13. April 2014 um 1:05 von Judas Ischias

      Der 1. Satz passt. Der 2. Satz passt. Und der 3. Satz passt auch. Was ich aber nicht verstehe, warum streitet die NSA es ab?
      Sich mehr in ein schlechtes Licht rücken kann man doch schon gar nicht mehr!?

  • Am 12. April 2014 um 20:10 von wori

    Nach 70 jahren besatzung sollen die Amerikaner ihre Atomraketern einpacken und ihre Kriege ohne uns führen. Wir hatten schon einen Überwachungsstaat und Besatzer, die freunde und brüder sein sollten.

  • Am 13. April 2014 um 10:46 von Hafenluemmel

    Weiß man doch aus jedem Agentenfilm, dass Geheimdienste grundsätzlich alles abstreiten.

    • Am 13. April 2014 um 13:05 von Judas Ischias

      Ja, alles klar. Die Agenten haben diese Filme natürlich auch gesehen.:-D:-D

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *