SSL-Gau: So testen Sie Programme und Online-Dienste
Die Veröffentlichung der folgenschweren Heartbleed-Lücke hat viele Dienste eiskalt erwischt – darunter Adobe, LastPass, Web.de und sogar VeriSign. Anwender können online überprüfen, ob die von ihnen genutzten Dienste bereits geschützt sind.
Ein äußerst schwerwiegender Programmierfehler gefährdet Verschlüsselung, Schlüssel und Daten der mit OpenSSL gesicherten Verbindungen im Internet. Die Lücke erlaubt auch Zugriff auf vertrauliche Daten wie Klartext-Passwörter. Angesichts der Verbreitung der OpenSource-Bibliothek hat dies katastrophale Folgen.
Der folgenschwere Heartbleed-Bug in der weit verbreiteten Krypto-Bibliothek OpenSSL ermöglicht, dass sich Verbindungspartner gegenseitig angreifen können. Bei anfälligen Webservern besteht etwa die Möglichkeit, private Krypto-Schlüssel aus dem Speicher auszulesen. Mit denen kann der Angreifer dann den SSL-Traffic aller Nutzer entschlüsseln.
Anzeige
Eiskalt erwischt
Einige Betreiber von Diensten wie CloudFlare haben die Entdecker des Bugs offensichtlich vorab informiert; nach welchen Kriterien diese Auswahl erfolgte ist jedoch nicht bekannt. Stichproben von heise Security zeigen, dass viele prominente Sites offensichtlich nicht auf die Veröffentlichung der Schwachstellen-Details vorbereitet waren. Am Vormittag waren zum Beispiel Adobe.com, Web.de, VeriSign.com, Comodo.com sowie die Site des Online-Passwortmanagers LastPass noch verwundbar.
Die Unternehmen haben inzwischen allesamt reagiert. Die Betreiber der Online-Aufgabenverwaltung Wunderlist haben vorsorglich die Cloud-Synchronisation abgeschaltet, da die von Amazon angemieteten Server ebenfalls betroffen sind. Weiterhin anfällig ist offenbar ausgerechnet die Site des OpenSSL-Projekts.
Am Dienstagnachmittag war selbst die Site des OpenSSL-Projekts noch verwundbar.
Dienste checken
Mit zwei Prüfdiensten können Sie herausfinden, ob die von Ihnen genutzten Dienste noch verwundbar sind, nämlich mit filippo.io/Heartbleed und possible.lv/tools/hb. Darüber hinaus gibt es vom gleichen Autor das Go-Script Heartbleed, mit dem man diese Tests auch lokal durchführen kann. Das Perl-Skript check-ssl-heartbleed.pl kann sogar Mail-Server mit starttls testen. Update vom 9. April, 9:45 Uhr: Inzwischen gibt es auch Testmodule für Metasploit, Nmap, OpenVAS und Nessus sowie ein passendes xkcd.
Bei den meisten Linux-Distributionen werden die abgesicherten OpenSSL-Versionen inzwischen ĂĽber die Paketmanager angeboten. Manche Programme wie etwa das Apache-SPDY-Modul installieren sich aber auch ihre eigenen Bibliotheken. Um das zu ĂĽberprĂĽfen, kann man sich die aktuell im System aktiven Bibliotheken unter Linux mit dem Befehl lsof | grep libssl anzeigen lassen. Dabei erscheint dann zum Beispiel etwas wie:
Inzwischen musste Sophos einräumen, dass auch die UTM-Appliances (früher Astaro) für die Lücke anfällig sind. Ein Sicherheits-Patch ist noch in Arbeit. Es gibt aber auch eine gute Nachricht: OpenSSH ist dem ersten Anschein nach nicht betroffen. Es verwendet zwar die Basis-Krypto-Funktionen von OpenSSL, nutzt aber nicht die anfälligen TLS-Funktionen.
(rei)
