Verschlüsselung über Cryptowar-Altlasten umgangen: Sicherheitsforscher von Microsoft Research und verschiedenen Universitäten haben eine
kritische Sicherheitslücke im TLS-Verfahren entdeckt. Über eine sogenannte Logjam-Attacke soll es Angreifern möglich sein, den Datenverkehr sicherer TLS-Verbindungen auf einfache 512-Bit-Schlüssel herabzustufen. Letztere sind relativ einfach zu entschlüsseln. Tausende Webseiten seien von Logjam betroffen, darunter zahllose Web-, Mail-, SSH- und VPN-Server.
Logjam bedient sich dabei einem Überbleibsel aus den Cryptowars der 90er Jahre. Damals hatte die US-Regierung den Export von allzu sicheren Technologien eingeschränkt. Aus Kompatibilitätsgründen unterstützen auch heute noch viele Server den unsicheren Schlüsselaustausch via Diffie-Hellman-512-Bit. Auf genau dieses Verfahren können Angreifer den Schlüsselaustausch über Logjam herabstufen und somit die Verschlüsselung umgehen. Eine ähnliche Schwachstelle nütze bereits die
Freak-Lücke.
Aktuell arbeiten die großen Browser-Hersteller bereits an Sicherheitsupdates, die das Problem beheben sollen. In unserem Test waren sowohl Google Chrome als auch Mozilla Firefox und Opera von dem Fehler betroffen. Der Internet Explorer wurde hingegen schon gepatcht. Wer auf eine besonders sichere Verbindung angewiesen ist, sollte daher zumindest so lange auf den Microsoft-Browser umsteigen, bis die Updates der übrigen Hersteller ausgerollt wurden. Über die
Test-Webseite können Sie Ihren Browser auf Anfälligkeit prüfen.
Webseiten-Betreiber finden auf der
Seite der Sicherheitsforscher eine detaillierte Anleitung zur Einrichtung einer sicheren Verschlüsselung auf ihren Servern.