Bogomir
Urgestein
- Registriert
- Feb. 2012
- Beiträge
- 460
Der heartbleed bug - Ist Verschlüsselung per HTTPS sicher?
Mich wundert, dass noch niemand hier davon berichtet hat. Seit einigen Tagen kursieren Berichte über den sogenannten "heartbleed bug" in Sicherheitsforen des Internets. Was steckt eigentlich dahinter?
Die Situation:
Bei einer "sicheren" Kommunikation zwischen eurem Rechner/Tablet/Smartphone/eBook Reader mit einem Server im Internet wird häufig eine "HTTPS" Adresse aufgerufen. Anbieter wie z.B. Banken, oder Bookstores propagandieren dieses Protokoll als "sichere Kommunikation" und schenken uns damit ein Gefühl der Gefahrlosigkeit.
Bei der Kommunikation über HTTPS wird das OpenSSL Protokoll benutzt um Daten von einem Endpunkt zum anderen Endpunkt der Kommunikation abzusichern.
Leider hat sich herausgestellt, dass einige der Versionen dieser Verschlüsselungsbibliothek seit Jahren einen gravierenden Fehler aufweisen. Der übertragene Aufruf über HTTPS gibt eine Größenanforderung an den Server ab, die nicht vom Server überprüft wird.
Aber wie funktioniert das und was hat das zur Folge?
Um diesen MEGA-BUG auszunutzen nützen Entwickler eine einfache Funktion, die im Protokoll implementiert ist, um festzustellen, ob der angesprochene Rechner noch verbunden ist (die sogenannte heartbeat Funktion (Herzschlag)).
Hierbei wird dem Rechner ein "Testpaket" geschickt, das der Rechner dann direkt als Antwort zurückschickt. Eigentlich eine einfache und sichere Sache, möchte man meinen. Leider kann der Absender des Pakets die Dateigröße des Pakets falsch angeben. Der BUG im Protokoll besteht darin, dass der empfangende Rechner diese Dateigröße nicht überprüft, sondern vertrauensselig die gleiche Größe an Informationen zurückgibt.
Problematisch sind dabei zwei Dinge:
1. ist eine Anfrage z.B. 128 Bytes groß, die Größe wird aber mit 2048 Bytes angegeben, so liefet der angesprochene Rechner neben dem 128 Byte großem "Heartbeat" auch noch 1920 Byte an Informationen aus dem Anfangsbereich des aktuellen Speichers. Übel an dieser Geschichte ist, dass die Rechner ihren internen Speicher ständig umschichten, so dass mit jeder neuen Anfrage neue Daten zurückgeliefert werden.
2. .... und dieser Punkt ist fast noch übler. Die Paketaufrufe und vor Allem deren Inhalte können im Nachhinein nicht mehr nachvollzogen werden.
Eine eindrucksvolle Darstellung findet ihr in den folgenden englischsprachigen Kurzcomics:
heartbleed
heartbleed explanation
Wer ist betroffen?
Betroffen sind alle Server / Endgeräte, die die folgende OpenSSL Version einsetzen:
OpenSSL 1.0.1 bis 1.0.1f (inclusive) sind betroffen
OpenSSL 1.0.1g ist NICHT betroffen
OpenSSL 1.0.0 ist NICHT betroffen
OpenSSL 0.9.8 ist NICHT betroffen
Der Fehler wurde in der OpenSSL Version von Dezember 2011 eingeführt und wurde bis zur Version OpenSSL 1.0.1 am 14. März 2012 "unentdeckt" eingesetzt. Erst die Version OpenSSL 1.0.1g vom 7.4.2014 behebt diesen Fehler!!
(Quelle: Heartbleed Bug)
Was können wir tun?
Viele großen Anbieter aktualisierten bereits auf die OpenSSL Version 1.0.1g und sind damit nicht mehr betroffen.
Die kleinen Anbieter ziehen erst langsam nach. Also ist momentan Vorsicht geboten.
Einige Hersteller sind noch gar nicht so weit, dass sie betroffene Versionen der OpenSSL Bibliothek einsetzen. Andere aktualisieren dieses Problem durch Betriebssystem Patches.
Als Erstes sollten wir also unsere eigenen Betriebssystem auf Sicherheitsaktualisierungen überprüfen lassen. (Updates für MS Windows, OS/X, Linux, ...)
Da über das Auslesen dieser Informationen mit Sicherheit auch Accountdaten und Passwörter im Klartext ausgelesen worden sind, sollten auch mal wieder die aktuellen Passwörter neu vergeben werden.
Hintergrundinformationen:
Dem Entwickler dieser Bibliothek ist vorgeworfen worden, er hätte diesen BUG bewusst in das Protokoll eingebracht, um Geheimdiensten einen offenen, nicht nachprüfbaren Zugang zu allen Informationen der so verschlüsselten Daten zu geben.
Der Entwickler hat das glaubhaft dementiert ...
... von der NSA gibt es dazu keine Kommentare ... (wen wunderts)
Geht bitte mit offenen Augen und Ohren durch's Leben und fragt nach, wenn es um eure Sicherheit geht
Bogomir
Mich wundert, dass noch niemand hier davon berichtet hat. Seit einigen Tagen kursieren Berichte über den sogenannten "heartbleed bug" in Sicherheitsforen des Internets. Was steckt eigentlich dahinter?
Die Situation:
Bei einer "sicheren" Kommunikation zwischen eurem Rechner/Tablet/Smartphone/eBook Reader mit einem Server im Internet wird häufig eine "HTTPS" Adresse aufgerufen. Anbieter wie z.B. Banken, oder Bookstores propagandieren dieses Protokoll als "sichere Kommunikation" und schenken uns damit ein Gefühl der Gefahrlosigkeit.
Bei der Kommunikation über HTTPS wird das OpenSSL Protokoll benutzt um Daten von einem Endpunkt zum anderen Endpunkt der Kommunikation abzusichern.
Leider hat sich herausgestellt, dass einige der Versionen dieser Verschlüsselungsbibliothek seit Jahren einen gravierenden Fehler aufweisen. Der übertragene Aufruf über HTTPS gibt eine Größenanforderung an den Server ab, die nicht vom Server überprüft wird.
Aber wie funktioniert das und was hat das zur Folge?
Um diesen MEGA-BUG auszunutzen nützen Entwickler eine einfache Funktion, die im Protokoll implementiert ist, um festzustellen, ob der angesprochene Rechner noch verbunden ist (die sogenannte heartbeat Funktion (Herzschlag)).
Hierbei wird dem Rechner ein "Testpaket" geschickt, das der Rechner dann direkt als Antwort zurückschickt. Eigentlich eine einfache und sichere Sache, möchte man meinen. Leider kann der Absender des Pakets die Dateigröße des Pakets falsch angeben. Der BUG im Protokoll besteht darin, dass der empfangende Rechner diese Dateigröße nicht überprüft, sondern vertrauensselig die gleiche Größe an Informationen zurückgibt.
Problematisch sind dabei zwei Dinge:
1. ist eine Anfrage z.B. 128 Bytes groß, die Größe wird aber mit 2048 Bytes angegeben, so liefet der angesprochene Rechner neben dem 128 Byte großem "Heartbeat" auch noch 1920 Byte an Informationen aus dem Anfangsbereich des aktuellen Speichers. Übel an dieser Geschichte ist, dass die Rechner ihren internen Speicher ständig umschichten, so dass mit jeder neuen Anfrage neue Daten zurückgeliefert werden.
2. .... und dieser Punkt ist fast noch übler. Die Paketaufrufe und vor Allem deren Inhalte können im Nachhinein nicht mehr nachvollzogen werden.
Eine eindrucksvolle Darstellung findet ihr in den folgenden englischsprachigen Kurzcomics:
heartbleed
heartbleed explanation
Wer ist betroffen?
Betroffen sind alle Server / Endgeräte, die die folgende OpenSSL Version einsetzen:
OpenSSL 1.0.1 bis 1.0.1f (inclusive) sind betroffen
OpenSSL 1.0.1g ist NICHT betroffen
OpenSSL 1.0.0 ist NICHT betroffen
OpenSSL 0.9.8 ist NICHT betroffen
Der Fehler wurde in der OpenSSL Version von Dezember 2011 eingeführt und wurde bis zur Version OpenSSL 1.0.1 am 14. März 2012 "unentdeckt" eingesetzt. Erst die Version OpenSSL 1.0.1g vom 7.4.2014 behebt diesen Fehler!!
(Quelle: Heartbleed Bug)
Was können wir tun?
Viele großen Anbieter aktualisierten bereits auf die OpenSSL Version 1.0.1g und sind damit nicht mehr betroffen.
Die kleinen Anbieter ziehen erst langsam nach. Also ist momentan Vorsicht geboten.
Einige Hersteller sind noch gar nicht so weit, dass sie betroffene Versionen der OpenSSL Bibliothek einsetzen. Andere aktualisieren dieses Problem durch Betriebssystem Patches.
Als Erstes sollten wir also unsere eigenen Betriebssystem auf Sicherheitsaktualisierungen überprüfen lassen. (Updates für MS Windows, OS/X, Linux, ...)
Da über das Auslesen dieser Informationen mit Sicherheit auch Accountdaten und Passwörter im Klartext ausgelesen worden sind, sollten auch mal wieder die aktuellen Passwörter neu vergeben werden.
Hintergrundinformationen:
Dem Entwickler dieser Bibliothek ist vorgeworfen worden, er hätte diesen BUG bewusst in das Protokoll eingebracht, um Geheimdiensten einen offenen, nicht nachprüfbaren Zugang zu allen Informationen der so verschlüsselten Daten zu geben.
Der Entwickler hat das glaubhaft dementiert ...
... von der NSA gibt es dazu keine Kommentare ... (wen wunderts)
Geht bitte mit offenen Augen und Ohren durch's Leben und fragt nach, wenn es um eure Sicherheit geht
Bogomir
Zuletzt bearbeitet von einem Moderator:
