SSL-Lücke Poodle ermöglicht Angriffe

Nach Heartbleed wurde nun der nächste schwerwiegende SSL-Bug entdeckt: Wie das Google Security Team in einem Blogeintrag mitteilt, erlaubt eine kritische Sicherheitslücke im veralteten Sicherheitsprotokoll SSL 3.0. Hackern das Abgreifen von Sitzungs-Cookies und Online-Konten. Der Fehler trägt den Namen Poodle (engl. Pudel) und betrifft ausschließlich das 15 Jahre alte Sicherheitszertifikat SSL 3.0.

Trotz des hohen Alters wird das Zertifikat noch von manchen Webseiten verwendet. Außerdem unterstützen nahezu alle Browser und Server das Zertifikat um die Kompatibilität im Netz zu gewährleisten, weshalb die Lücke als kritisch einzustufen ist.

Zudem können Angreifer den Browser auf manipulierten Webseiten über Verbindungsfehler dazu zwingen, auf das unsichere Zertifikat zu wechseln. Steht dann die SSL-3.0-Verbindung, missbrauchen die Hacker Poodle um Nutzer-Daten zu stehlen. Besonders gefährlich ist das etwa bei der Verwendung von Online-Banking.

Wie schütze ich mich vor Poodle?

Prinzipiell muss zum Schutz lediglich die SSL-3.0-Unterstützung im Browser deaktiviert werden. Dies kann bei manchen wenigen Webseiten zwar zu Kompatibilitätsproblemen führen, ist aber derzeit der einzige Schutz vor Poodle bis die Browser-Hersteller nachgebessert haben.

Hierzu öffnen Sie in Firefox die Browser-Konfiguration über die Eingabe "about:config" in der Adresszeile und suchen anschließend nach der Option "security.tls.version.min". Setzen Sie dort den Wert auf 1 und bestätigen Sie die Eingabe mit "Ok".

Im Internet Explorer finden Sie die SLL-Konfiguration unter "Einstellungen" und "Internetoptionen". Öffnen Sie hier den Reiter "Erweitert" und entfernen Sie den Haken bei "SSL 3.0 verwenden". Die Änderung speichern Sie per Klick auf "Übernehmen". Beim veralteten Internet Explorer 6 ist dies hingegen nicht möglich, hier hilft nur ein Update.

Für Google Chrome ist die Umstellung nicht ganz so komfortabel vorzunehmen. Erstellen Sie zunächst eine neue Chrome-Verknüpfung auf dem Desktop und benennen Sie diese etwa "Chrome ohne SSL3.0" um später die modifizierte Verknüpfung einfacher zu erkennen.

Nun öffnen Sie die Eigenschaften der neuen Verknüpfung via Rechtsklick. Unter dem Reiter "Verknüfung" geben Sie hierauf in der Ziel-Leiste den Zusatz "-ssl-version-min=tls1" am Ende des Dateipfades ein. Die Änderung speichern Sie per Klick auf "Übernehmen".