Sicherheitslücke

SSL-Lücke Poodle ermöglicht Angriffe

von - 15.10.2014
Das Google Security Team hat eine schwere Sicherheitslücke (Codename Poodle) im Sicherheitsprotokoll SSL 3.0 entdeckt, die Angreifern erlaubt Cookies zu klauen und Online-Konten zu übernehmen.
Foto: Shutterstock - Ai825
Das Google Security Team hat eine schwere Sicherheitslücke (Codename Poodle) im Sicherheitsprotokoll SSL 3.0 entdeckt, die Angreifern erlaubt Cookies zu klauen und Online-Konten zu übernehmen.
SSL 3.0 in Firefox deaktivieren: Um das unsichere Sicherheitszertifikat zu umgehen, müssen die Sicherheitseinstellungen in der Browser-Kinfiguration geändert werden.
SSL 3.0 in Firefox deaktivieren: Das unsichere Sicherheitszertifikat lässt sich in den Sicherheitseinstellungen der Browser-Konfiguration abschalten.
Nach Heartbleed wurde nun der nächste schwerwiegende SSL-Bug entdeckt: Wie das Google Security Team in einem Blogeintrag mitteilt, erlaubt eine kritische Sicherheitslücke im veralteten Sicherheitsprotokoll SSL 3.0. Hackern das Abgreifen von Sitzungs-Cookies und Online-Konten. Der Fehler trägt den Namen Poodle (engl. Pudel) und betrifft ausschließlich das 15 Jahre alte Sicherheitszertifikat SSL 3.0.
Trotz des hohen Alters wird das Zertifikat noch von manchen Webseiten verwendet. Außerdem unterstützen nahezu alle Browser und Server das Zertifikat um die Kompatibilität im Netz zu gewährleisten, weshalb die Lücke als kritisch einzustufen ist.
Zudem können Angreifer den Browser auf manipulierten Webseiten über Verbindungsfehler dazu zwingen, auf das unsichere Zertifikat zu wechseln. Steht dann die SSL-3.0-Verbindung, missbrauchen die Hacker Poodle um
SSL 3.0 in Chrome deaktivieren: Eine modifizierte Verknüpfung umgeht SSL 3.0 in Chrome
SSL 3.0 in Chrome deaktivieren: Mit einer modifizierten Verknüpfung starten Nutzer Chrome ohne SSL 3.0.
Nutzer-Daten zu stehlen. Besonders gefährlich ist das etwa bei der Verwendung von Online-Banking.

Wie schütze ich mich vor Poodle?

Prinzipiell muss zum Schutz lediglich die SSL-3.0-Unterstützung im Browser deaktiviert werden. Dies kann bei manchen wenigen Webseiten zwar zu Kompatibilitätsproblemen führen, ist aber derzeit der einzige Schutz vor Poodle bis die Browser-Hersteller nachgebessert haben.
Hierzu öffnen Sie in Firefox die Browser-Konfiguration über die Eingabe "about:config" in der Adresszeile und suchen anschließend nach der Option "security.tls.version.min". Setzen Sie dort den Wert auf 1 und bestätigen Sie die Eingabe mit "Ok".
Im Internet Explorer finden Sie die SLL-Konfiguration unter "Einstellungen" und "Internetoptionen". Öffnen Sie hier den Reiter "Erweitert" und entfernen Sie den Haken bei
SSL 3.0 im Internet Explorer deaktivieren: In den Internetoptionen finden sich die ausgewählten SSL-Unterstützungen.
SSL 3.0 im Internet Explorer deaktivieren: In den Internetoptionen finden sich die ausgewählten SSL-Unterstützungen.
"SSL 3.0 verwenden". Die Änderung speichern Sie per Klick auf "Übernehmen". Beim veralteten Internet Explorer 6 ist dies hingegen nicht möglich, hier hilft nur ein Update.
Für Google Chrome ist die Umstellung nicht ganz so komfortabel vorzunehmen. Erstellen Sie zunächst eine neue Chrome-Verknüpfung auf dem Desktop und benennen Sie diese etwa "Chrome ohne SSL3.0" um später die modifizierte Verknüpfung einfacher zu erkennen.
Nun öffnen Sie die Eigenschaften der neuen Verknüpfung via Rechtsklick. Unter dem Reiter "Verknüfung" geben Sie hierauf in der Ziel-Leiste den Zusatz "-ssl-version-min=tls1" am Ende des Dateipfades ein. Die Änderung speichern Sie per Klick auf "Übernehmen".
Verwandte Themen

Mehr zum Thema