Sicherheitslücke in OpenSSL: Versions-Upgrade und Einsatz von Forward Secrecy dringend empfohlen!

OpenSSL ist zur Absicherung von Datenübermittlungen im Internet weit verbreitet

Es kommt auf Webservern, in der E-Mail-Kommunikation, bei VPN und anderen Diensten zum Einsatz. Nun ist eine gravierende Sicherheitslücke in der Verschlüsselungsbibliothek aufgedeckt worden, über die Angreifer die Schlüssel auslesen, die Verschlüsselung aushebeln und die vermeintlich gesicherte Kommunikation kompromittieren können.

"Für OpenSSL-Anwender ist damit der Super-GAU eingetreten. Passwörter, Daten und ganze Kommunikationsvorgänge drohen in die Hände unbefugter Dritte zu fallen. Zumal die Sicherheitslücke einfach auszunutzen ist. Wir raten daher unbedingt zu einem Upgrade auf die nächsthöhere Version", erklärt Christian Heutger, Geschäftsführer der PSW GROUP (www.psw-group.de). Der deutsche SSL-Pionier bietet seinen Kunden angesichts dessen den schnellen Umtausch betroffener OpenSSL-basierter Zertifikate an.

Die jüngste Sicherheitslücke befindet sich in der Heartbeat-Funktion der Online-Bibliothek. Sie ist für den Status-Austausch verantwortlich, mit dem festgestellt wird, ob der Kommunikationspartner noch aktiv ist. Da der Speicherzugriff nicht überprüft wird, ist es Angreifern möglich, eine Datenmenge von bis zu 64 Kilobyte von der Gegenseite auszulesen. Betroffen sind alle Versionen von OpenSSL 1.0.1 mit Ausnahme der neusten Version OpenSSL 1.0.1g, die den ursächlichen Programmierfehler nicht mehr enthält.

Für den PSW-Geschäftsführer und Verschlüsselungsexperten Christian Heutger ist dieser Vorfall ein weiterer Beleg für die Notwendigkeit des Einsatzes von Perfect Forward Secrecy (http://blog.psw-group.de/knowledgebase-perfect-forward-secrecy-pfs/1120): Die SSL-Zusatzfunktion verhindert, dass bereits abgeschlossene aber verschlüsselt aufgezeichnete Kommunikation durch nachträgliches Bekanntwerden des privaten Schlüssels kompromittiert wird. "Im konkreten Fall wären die per OpenSSL verschlüsselten Daten demnach trotz der Sicherheitslücke weiterhin sicher. Sie könnten von Angreifern, die die Schwachstelle ausnutzen, um in den Besitz des Private Key zu kommen, nicht entschlüsselt werden", erläutert Christian Heutger.

Die PSW GROUP hat anlässlich der Sicherheitslücke eine aus dem deutschen Festnetz kostenfrei erreichbare Notfall-Hotline eingerichtet. Die Verschlüsselungsexperten des Unternehmens stehen Administratoren und Anwendern unter der 0800/503750-1 für Fragen zur Verfügung.

 

Clumio Backtrack offers rapid, precise data recovery for DynamoDB, enhancing resilience for...
NinjaOne unveils its automated endpoint management platform on Google Cloud Marketplace, enhancing...
Tintri's VMstore is setting new standards in data management for Kubernetes, with significant...
The Optical Transport market is set to recover by 2025, driven by AI and cloud data center demands.
Civo introduces relaxAI API, offering UK organizations cost-effective and compliant generative AI...
Qodea Ltd. has acquired Beyond to enhance its presence in North America and support global clients...
LINX teams up with Megaport to enhance cloud connectivity for its members, offering seamless access...
Rackspace Technology unveils FAIR MCP Enterprise Accelerator on AWS, simplifying access to AI...