Klassisch verschl\u00fcsselte Kommunikation \u00fcber SSL\/TLS kann nachtr\u00e4glich mit Zugriff auf den privaten Key vom Zertifikat wieder entschl\u00fcsselt werden. Mit dem Netzwerk-Sniffer Wireshark ist das nicht sonderlich schwer und die letzten Jahre hat es die wenigsten gest\u00f6rt. Ein Abzug der privaten Keys setzt gew\u00f6hnliche eine Komprimierung des Servers voraus, sodass das Risiko oftmals als nicht sonderlich hoch angesehen wurde. Seit dem Snowden-Zeitalter \u00e4nderte sich etwas das Risikobewusstsein, nachdem der eventuelle Gegner auch eine NSA sein k\u00f6nnte. Was fr\u00fcher vielleicht noch Paranoia war, sind heute ernstzunehmende Angriffsvektoren. Das Buzzword Advanced Persistent Threats (APT) l\u00e4sst gr\u00fc\u00dfen. Das Risiko erh\u00f6hte sich, aber es war noch nicht kritisch.\u00a0 Eine massenhafter Schwenk zu Perfect Forward Secrecy wurde dennoch nicht vollzogen, auch wenn es die nachtr\u00e4gliche Entschl\u00fcsselung effektiv verhindern w\u00fcrde.<\/p>\n
Heartbleed \u00e4nderte das. Die Sicherheitsl\u00fccke in OpenSSL erlaubt es, zuf\u00e4llige Speicherbereiche des Servers auszulesen. Nachdem die privaten Schl\u00fcssel zu den Zertifikaten notwendigerweise im Speicher gehalten werden, k\u00f6nnen diese nun ausgelesen werden. Einzige Voraussetzung: Eine verwundbare OpenSSL-Version. Dass der Angriff kaum forensische Spuren hinterl\u00e4sst, macht ihn noch gef\u00e4hrlicher. Die Keys lassen sich nicht mit 1-2 Anfragen auslesen, aber durch massenhafte Anfragen extrahieren. Das wurde \u00f6ffentlich nachgepr\u00fcft und mittlerweile existiert daf\u00fcr auch ein Angriffs-Tool.<\/p>\n
Die Sicherheitsl\u00fccke in OpenSSL zeigt uns, dass auch mutma\u00dflich \u201esichere\u201c Software hochkritische L\u00fccken aufweisen kann. Sofern kein Perfect Forward Secrecy eingesetzt wurde, l\u00e4sst sich der Datenverkehr von einem Angreifer jetzt nachtr\u00e4glich problemlos entschl\u00fcsseln. Nun ist der Einsatz von Perfect Forward Secrecy absolut alternativlos; alles andere muss ab sofort als nicht ausreichend sicher angesehen werden.<\/p>\n","protected":false},"excerpt":{"rendered":"
Klassisch verschl\u00fcsselte Kommunikation \u00fcber SSL\/TLS kann nachtr\u00e4glich mit Zugriff auf den privaten Key vom Zertifikat wieder entschl\u00fcsselt werden. Mit dem Netzwerk-Sniffer Wireshark ist das nicht sonderlich schwer und die letzten Jahre hat es die wenigsten gest\u00f6rt. Ein Abzug der privaten Keys setzt gew\u00f6hnliche eine Komprimierung des Servers voraus, sodass das Risiko oftmals als nicht sonderlich … [Read more…]<\/a><\/span><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[34],"tags":[155,157,156],"class_list":{"0":"entry","1":"post","2":"publish","3":"author-psauer","4":"post-1206","6":"format-standard","7":"category-it-sicherheit","8":"post_tag-heartbleed","9":"post_tag-openssl","10":"post_tag-perfect-forward-secrecy"},"_links":{"self":[{"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/posts\/1206","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/comments?post=1206"}],"version-history":[{"count":2,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/posts\/1206\/revisions"}],"predecessor-version":[{"id":1208,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/posts\/1206\/revisions\/1208"}],"wp:attachment":[{"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/media?parent=1206"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/categories?post=1206"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/tags?post=1206"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}