OpenSSL-Sicherheitslücke: Der Schlüssel zum offenen Herzen

Die als „Heartbleed“ bezeichnete Sicherheitslücke in OpenSSL ist nicht nur deshalb gefährlich, weil sich gar nicht feststellen lässt, ob sie tatsächlich missbraucht wurde. Vielmehr hat die Mehrzahl der Privatanwender und Unternehmen auch gar nicht die Möglichkeit, das Problem mit der Version 1.0.1.g der quelloffenen SSL-Verschlüsselung, bei der diese Lücke geschlossen wurde, zu lösen. Hinzu kommt: Viele Dienste, Server oder Produkte mit OpenSSL verzichten auf „Perfect Forward Secrecy“ (PFS). Angreifer können dadurch unbemerkt Sitzungs- und Langzeitschlüssel entwenden und sämtliche Kommunikation auch im Nachhinein entschlüsseln und lesen.
Viel war in den letzten Wochen als Reaktion auf die NSA-Enthüllungen über die Notwendigkeit zu lesen und zu hören, dass sämtliche Transaktionen und Kommunikationen im Internet verschlüsselt sein sollten. Zahlreiche Hersteller und Diensteanbieter haben entsprechend reagiert. Und jetzt das: Mit der jüngst bekannt gewordenen Sicherheitslücke in OpenSSL können Angreifer völlig unbemerkt Speicherinhalte auf dem Server, wie z.B. die privaten SSL-Schlüssel, auslesen und den sinnvollen Schutzmechanismus der Verschlüsselung aushebeln. Schlimmer noch: Die möglichen Opfer haben nur sehr eingeschränkte Möglichkeiten, sich zu wehren.
Denn OpenSSL ist in vielen Produkten „fest eingebaut“. Selbst Security-Experten in Unternehmen sind daher darauf angewiesen, auf eine entsprechende Aktualisierung seitens der Hersteller zu warten. Und das gegenwärtige Problem dadurch zu umgehen, dass die Verschlüsselung temporär ausgeschaltet wird, dürfte in den wenigsten Fällen sinnvoll und machbar sein.
Während Privatanwender ohne Programmierkenntnisse weiter ausharren müssen, bleiben den Sicherheitsexperten in den Unternehmen kurzfristig zwei Optionen:
– Sie sollten prüfen, ob die Dienste oder Server, die sie mit OpenSSL nutzen, auch PFS-Schutz bieten. Denn dann ist in den allermeisten Fällen sichergestellt, dass selbst beim Auslesen des Langzeitschlüssels die zurückliegenden Sitzungsschlüssel nicht entschlüsselt werden können. Die von Online-Kriminellen oder Industriespionen mitgelesene Kommunikation ist dadurch vor dem Entschlüsseln geschützt. PFS ist also unbedingt ein Muss.
– Die Unternehmen sollten Lösungen einsetzen, die Sicherheitslücken bis zur nächsten Patchmöglichkeit abschirmen können. Diese lassen sich auch kurzfristig installieren und anwenden. Zusätzlich lässt sich damit beobachten, ob versucht wird, die Schlüsseldaten zu entwenden.
Weitere Informationen
Weitere Informationen zur Heartbleed-Sicherheitslücke sind im deutschsprachigen Trend Micro-Blog erhältlich.

Trend Micro, der international führende Anbieter für [url=http://www.trendmicro.de/technologie-innovationen/cloud/index.html]Cloud-Security[/url], ermöglicht Unternehmen und Endanwendern den sicheren Austausch digitaler Informationen. Als Vorreiter bei Server-Security mit mehr als zwanzigjähriger Erfahrung bietet Trend Micro client-, server- und cloud-basierte Sicherheitslösungen an. Diese Lösungen für Internet-Content-Security und Threat-Management erkennen neue Bedrohungen schneller und sichern Daten in physischen, virtualisierten und Cloud-Umgebungen umfassend ab. Die auf der Cloud-Computing-Infrastruktur des [url=http://www.trendmicro.de/technologie-innovationen/technologie/smart-protection-network/index.html]Trend Micro Smart Protection Network[/url] basierenden Technologien, Lösungen und Dienstleistungen wehren Bedrohungen dort ab, wo sie entstehen: im Internet. Unterstützt werden sie dabei von mehr als 1.000 weltweit tätigen Sicherheits-Experten. Trend Micro ist ein transnationales Unternehmen mit Hauptsitz in Tokio und bietet seine Sicherheitslösungen über Vertriebspartner weltweit an.
Weitere Informationen zu Trend Micro sind verfügbar unter http://www.trendmicro.de.
Anwender informieren sich über aktuelle Bedrohungen unter http://blog.trendmicro.de.
Folgen Sie uns auch auf Twitter unter www.twitter.com/TrendMicroDE.

Weitere Informationen unter:
http://