OpenSSL-Bug legt Web-Server-Inhalte offen

OpenSSL leidet an einem Bug. Der Fehler ermöglicht einem Angreifer Zugriff auf den Speicher eines Webservers. Die Sicherheitsfirma Codenomicon, die ihn zusammen mit Google-Forscher Neel Mehta entdeckt hat, nennt den Bug Heartbleed. Die Endecker sehen in dem Leck ein großes Risiko, daher haben sie sogar öffentlichkeitswirksam eine Domain zu Heartbleed eingerichtet. Offizielle nennt sich Sicherheitsleck aber CVE-2014-0160.

Mit den Daten im Speicher könnte ein Angreifer kritische Informationen auslesen und den Server sogar gegenüber Dritten verkörpern, indem sie sich den Schlüssel des Originalservers verschaffen. Sie könnten auch Nutzernamen und Passwörter von Usern auslesen.

OpenSSL ist eine quelloffene und weit verbreitete Lösung für verschlüsselte Online-Kommunikation mit SSL/TLS. Sie kann für HTTPS ebenso wie E-Mail- oder Messaging-Verschlüsselung verwendet werden. Codenomicon hat sie auf eigenen Servern untersucht, um die Schwachstelle zu verifizieren: “Wir griffen uns selbst von außen an, ohne eine Spur zu hinterlassen. Ohne jegliche Zugangsdaten stahlen wir uns selbst die geheimen Schlüssel für unsere X.509-Zertifikate, Usernamen und Passwörter, Instant Messages, E-Mails und geschäftskritische Dokumente”, schreiben die Forscher.

Dem widerspricht allerdings Adam Langley von Google, der an der Fehlerbehebung des Problems beteiligt war. Auf Private Keys habe er nie zugreifen können, berichtet er auf Twitter: “Als ich den schnellen OpenSSL-Fix testete, habe ich nie Schlüsselmaterial von Servern bekommen, immer nur alte Pufferverbindungen. (Immerhin mit Cookies.)”

Betroffen sind Vesion 1.0.1 und 1.0.2-beta von OpenSSL, das in vielen Linux-Distributionen enthalten ist. Die bereits verfügbar gemachte Version 1.0.1g schließt die Lücke. Auf dem Twitter-Konto zum Webserver Nginx erfolgte etwa die Warnung: “Heartbleed ist ein gewaltiges Problem. Prüft euer OpenSSL!” Eine einfache Möglichkeit dafür hat der User Filippo Valsorda bereitgestellt. Caschys Blog hat damit ermittelt, dass der Passwortmanager LastPass zu den Opfern zählt.

Auch angesichts täglicher Meldungen über Sicherheitslücken ist Heartbleed ein schweres und möglicherweise folgenreiches Problem für die Internet-Technik. Websites müssen aufwändig modifiziert werden, und eigentlich müsste jeder Besucher einer gefährdeten Site sein Passwort wechseln, weil es ja längst kompromittiert sein könnte. Analog müssten zahlreiche potenziell entwendete Sicherheitszertifikate zurückgezogen werden.

Die Gefahr ist etwas weniger groß für Websites, die bereits die Funktion Perfect Forward Secrecy nutzen. Sie wechselt den Sicherheitsschlüssel für jede Session, ohne dass sich daraus Rückschlüsse auf den Master Key ziehen ließen. Der Diebstahl eines Session Key etwa mit Heartbleed hat somit kaum Folgen.

[mit Material von Florian Kalenda, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de