SSL-Gau: So testen Sie Programme und Online-Dienste
Ronald Eikenberg
Die Veröffentlichung der folgenschweren Heartbleed-Lücke hat viele Dienste eiskalt erwischt – darunter Adobe, LastPass, Web.de und sogar VeriSign. Anwender können online überprüfen, ob die von ihnen genutzten Dienste bereits geschützt sind.
Heartbleed-Bug: Der GAU für Web-Verschlüsselung
Ein äußerst schwerwiegender Programmierfehler gefährdet Verschlüsselung, Schlüssel und Daten der mit OpenSSL gesicherten Verbindungen im Internet. Die Lücke erlaubt auch Zugriff auf vertrauliche Daten wie Klartext-Passwörter. Angesichts der Verbreitung der OpenSource-Bibliothek hat dies katastrophale Folgen.
Der folgenschwere Heartbleed-Bug [7] in der weit verbreiteten Krypto-Bibliothek OpenSSL ermöglicht, dass sich Verbindungspartner gegenseitig angreifen können. Bei anfälligen Webservern besteht etwa die Möglichkeit, private Krypto-Schlüssel aus dem Speicher auszulesen. Mit denen kann der Angreifer dann den SSL-Traffic aller Nutzer entschlüsseln.
Eiskalt erwischt
Einige Betreiber von Diensten wie CloudFlare [8] haben die Entdecker des Bugs offensichtlich vorab informiert; nach welchen Kriterien diese Auswahl erfolgte ist jedoch nicht bekannt. Stichproben von heise Security zeigen, dass viele prominente Sites offensichtlich nicht auf die Veröffentlichung der Schwachstellen-Details vorbereitet waren. Am Vormittag waren zum Beispiel Adobe.com, Web.de, VeriSign.com, Comodo.com sowie die Site des Online-Passwortmanagers LastPass noch verwundbar.
Die Unternehmen haben inzwischen allesamt reagiert. Die Betreiber der Online-Aufgabenverwaltung Wunderlist haben vorsorglich die Cloud-Synchronisation abgeschaltet, da die von Amazon angemieteten Server ebenfalls betroffen sind. Weiterhin anfällig ist offenbar ausgerechnet die Site des OpenSSL-Projekts.
Am Dienstagnachmittag war selbst die Site des OpenSSL-Projekts noch verwundbar.
Bei den meisten Linux-Distributionen [18] werden die abgesicherten OpenSSL-Versionen inzwischen über die Paketmanager angeboten. Manche Programme wie etwa das Apache-SPDY-Modul [19] installieren sich aber auch ihre eigenen Bibliotheken. Um das zu überprüfen, kann man sich die aktuell im System aktiven Bibliotheken unter Linux mit dem Befehl lsof | grep libssl anzeigen lassen. Dabei erscheint dann zum Beispiel etwas wie:
Inzwischen musste Sophos einräumen, dass auch die UTM-Appliances (früher Astaro) für die Lücke anfällig sind [20]. Ein Sicherheits-Patch ist noch in Arbeit. Es gibt aber auch eine gute Nachricht: OpenSSH ist dem ersten Anschein nach nicht betroffen. Es verwendet zwar die Basis-Krypto-Funktionen von OpenSSL, nutzt aber nicht die anfälligen TLS-Funktionen.
(rei [21])
URL dieses Artikels: https://www.heise.de/-2165995
