Studie: Viele Websites verwenden durch Heartbleed kompromittierte Schlüssel wieder

Viele Websitebetreiber haben offenbar nach Bekanntwerden der Heartbleed-Lücke in OpenSSL zwar neue SSL/TLS-Zertifikate ausgestellt, aber nicht die verwendeten und möglicherweise auch kompromittierten privaten Schlüssel ausgetauscht. Einer Studie von Netcraft zufolge sind von diesem Fehler mindestens 30.000 Zertifikate betroffen.

Heartbleed ermöglicht einem Angreifer den Zugriff auf den flüchtigen Speicher eines OpenSSL-basierten Webservers. Mit den Daten im Speicher konnte er möglicherweise kritische Informationen sammeln und den Server sogar gegenüber Dritten verkörpern, indem er sich den privaten Schlüssel des Originalservers verschafft. Webseitbetreiber mussten also nicht nur den eigentlichen Fehler beheben, sondern auch ihre alten Zertifikate zurückziehen und durch neue ersetzen.

Sieben Prozent aller von Heartbleed betroffenen Websites haben neue Zertifikate ausgestellt ohne den privaten Schlüssel zu ersetzen (Diagramm: Netcraft).

Laut den Daten von Netcraft haben inzwischen 43 Prozent aller betroffenen Websites neue Zertifikate ausgestellt. Allerdings haben 7 Prozent denselben privaten Schlüssel verwendet. Nur 14 Prozent aller untersuchten Websites haben demnach ihre Zertifikate mit neuen Schlüsseln ausgestellt und damit alle Schritte durchgeführt, um einen Angriff zu verhindern.

„Durch die Wiederverwendung des privaten Schlüssel drohen einer vom Heartbleed-Bug betroffenen Website dieselben Risiken wie denen, die ihre Zertifikate noch nicht ersetzt haben“, heißt es in der Studie. Der Schlüssel eines zuvor kompromittierten Zertifikats könne auch dann noch benutzt werden, wenn es für ungültig erklärt worden sei.

57 Prozent aller betroffen Sites hätten auch nach rund einem Monat keinerlei Schritte unternommen. „Sie haben weder ihre alten Zertifikate zurückgezogen, noch neue ausgestellt“, so Netcraft weiter. Das Unternehmen weist zudem darauf hin, dass 21 Prozent zwar neue Zertifikate mit neuen privaten Schüssel ausgestellt hätten, allerdings ohne die alten Zertifikate für ungültig zu erklären.

Um diese Art von Fehlern zu verhindern, fordert Netcraft, dass die für die Vergabe der Zertifikate zuständigen Certificate Authorities die privaten Schlüssel von zurückgezogenen Zertifikaten auf eine schwarze Liste setzen. Damit sei es möglich, automatische Kontrollen durchzuführen und neue Anfragen mit den zu kompromittierten privaten Schlüssel gehörenden Public Keys zurückzuweisen.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Intel übertrifft die Erwartungen im vierten Quartal

Der Umsatz steigt auf 19,5 Milliarden Dollar. Es ist der höchste Quartalsumsatz in der Geschichte…

15 Stunden ago

Android-Apps unter Windows 11: Microsoft kündigt Betatest für Februar an

Microsoft realisiert die Funktion in Zusammenarbeit mit Intel und Amazon. Eigentlich sollte Windows 11 schon…

15 Stunden ago

Gartner: CO2-Emissionen von Hyperscalern beeinflussen Cloud-Einkauf

Nachhaltigkeitsinvestitionen werden zunehmen, da Umwelt-, Sozial- und Governance-Faktoren (ESG) die Berichterstattung der Unternehmen verändern.

1 Tag ago

US-Handelsministerium: Chipkrise zieht sich bis ins zweite Halbjahr 2022

Ein Grund für die anhaltende Knappheit ist die weiterhin hohe Nachfrage. Ereignisse wie die Corona-Pandemie…

2 Tagen ago

Android-Malware stiehlt Geld und löscht Daten

Der Trojaner BRATA nimmt inzwischen auch Nutzer in den USA und Spanien ins Visier. Er…

2 Tagen ago

Microsoft: Teams überschreitet Marke von 270 Millionen monatlich aktiven Nutzern

Das ist ein Plus von 20 Millionen Nutzern im Vergleich zum Juli 2022. Auch die…

2 Tagen ago