Zugriff auf SMS-Nachrichten und Tor-Traffic dank Heartbleed
Hackern ist es gelungen, die von SMS-Gateways verschickten Nachrichten auszulesen – Tokens zur Zwei-Faktor-Authentisierung inklusive. Und auch Tor-Exitnodes geben beliebige Speicherinhalte preis.
- Uli Ries
(Bild: Uli Ries)
Die kritische Heartbleed-Lücke in OpenSSL betrifft auch Bereiche, die man erstmal gar nicht damit in Verbindung bringen würde: Nach Informationen von heise Security gelang es Hackern, mit dem Exploit im großen Stil auf SMS-Nachrichten zuzugreifen.
Darunter waren auch sensible Nachrichten: Informationen über Polizeieinsätze, Nachrichten an Rettungsdienste, Service-Techniker-Anfragen von Routern und andere Alarme. Die Kurznachrichten wurden bei mindestens sechs SMS-Gateways abgegriffen, die durch eine Web-API über das Internet steuerbar sind. Allen Gateways ist gemein, dass sie verwundbare OpenSSL-Versionen eingesetzt haben oder noch einsetzen.
Besonders heikel ist, dass sich auch SMS, die als zweiter Faktor für die Anmeldung an Online-Diensten verlangt werden, im Speicher fanden. Einige Nachrichten ließen sich den Hackern zufolge beispielsweise auf Produkte von Swivel Secure zurückführen. Die Zwei-Faktor-Authentifizierung des Unternehmens wurde beispielsweise von Microsoft in Verbindung mit Office 365 zertifiziert und wird auch für den VPN-Verbindungsaufbau verwendet.
Zwiebelblut
Außerdem betrifft Heartbleed auch gut ein Fünftel der Tor-Exitnodes, wie der deutsche Sicherheitsforscher Collin Mulliner herausgefunden hat. Seinen Angaben zufolge geben über 1000 Exitnodes ihren Speicherinhalt und damit Daten über ihre Nutzer preis.
Tor verwendet OpenSSL, um den Datenverkehr zwischen den Nodes zu verschlüsseln. Genau wie bei anfälligen Webservern können beliebige Angreifer bis zu 64 Kilobyte große Speicherbereiche der Exitnodes absaugen und so den Datenverkehr der Tor-Nutzer mitlesen, deren Pakete durch den betreffenden Node ins Internet wandern. Collin Mulliner stieß in den gesammelten Speicherauszügen auf Informationen über aufgerufene Websites, Downloads, Session-IDs und weitere Klartextdaten.
Per se kann auch der Betreiber eines bösartigen Exitnodes an all diese und weitere Daten kommen. Im Fall von Heartbleed sind der Aufwand und die Gefahr, entdeckt zu werden, aber deutlich geringer. Laut Tor-Entwickler Roger Dingledine sind die nicht aktualisierten Nodes inzwischen auf einer schwarzen Liste gelandet.
Update vom 20. April: Angabe zur Größe der Speicherbereiche, auf die man bei den Exitnodes zugreifen kann, korrigiert. (rei)
