Heartbleed: Linux-Distributoren stellen Patches für OpenSSL-Lücke bereit

Linux-Distributoren haben schnell auf den Anfang der Woche bekannt gewordenen schwerwiegenden Fehler in OpenSSL reagiert und bieten inzwischen Patches für die Lücke an. Sie liegen bisher für CentOS, Debian, Fedora, Red Hat, openSUSE und Ubuntu vor. SUSE Linux Enterprise Server (SLES) war von dem „Heartbleed“ getauften Bug nicht betroffen, den OpenSSL am 7. April mit der Version 1.01g korrigiert hat.

Heartbleed, dessen offizielle Kennung CVE-2014-0160 lautet, ermöglicht den Zugriff auf den flüchtigen Speicher eines Webservers. Mit den Daten im Speicher könnten Angreifer kritische Informationen sammeln und den Server sogar gegenüber Dritten verkörpern, indem sie sich den Schlüssel des Originalservers verschaffen. Sie könnten auch Nutzernamen und Passwörter von Usern auslesen.

Da die fehlerhafte OpenSSL-Version 1.01 schon am 12. März 2012 veröffentlicht wurde, sind Millionen Websites potenziell anfällig für einen Angriff über die Lücke. Betroffen waren unter anderem Yahoo, Imgur und OKCupid. Auch der Passwortmanager LastPass zählte laut Caschys Blog zu den Opfern.

OpenSSL ist eine quelloffene und weit verbreitete Lösung für verschlüsselte Online-Kommunikation mit SSL/TLS via Apache- und Nginx-Webserver. Sie kann für HTTPS ebenso wie E-Mail- oder Messaging-Verschlüsselung verwendet werden. Schätzungen gehen davon aus, dass zwei Drittel, aller „abgesicherten“ Websites den Heartbleed-Fehler aufweisen.

Was das Risiko noch erhöht, ist, dass inzwischen Proof-of-concept-Code im Umlauf ist, mit dem Script-Kiddies Angriffsversuche auf HTTPS-Webseiten starten können. Ob die eigene Website anfällig für solche Angriffe ist, lässt sich auf einer von Filippo Valsorda bereitgestellten Heartbleed-Testseite prüfen.

Auch angesichts täglicher Meldungen über Sicherheitslücken ist Heartbleed ein schweres und möglicherweise folgenreiches Problem für die Internet-Technik. Websites müssen aufwändig modifiziert werden, und eigentlich müsste jeder Besucher einer gefährdeten Site sein Passwort wechseln, weil es ja längst kompromittiert sein könnte. Analog müssten zahlreiche potenziell entwendete Sicherheitszertifikate zurückgezogen werden.

Die Gefahr ist etwas weniger groß für Websites, die bereits die Funktion Perfect Forward Secrecy nutzen. Sie wechselt den Sicherheitsschlüssel für jede Session, ohne dass sich daraus Rückschlüsse auf den Master Key ziehen ließen. Der Diebstahl eines Session Key etwa mit Heartbleed hat somit kaum Folgen.

Nutzer sollten die Zugangsdaten von betroffenen Servern ändern, sofern die Betreiber den Patch und eine neues Zertifikat eingespielt haben.

[mit Material von Steven J. Vaughan-Nichols, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

ZDNet.de Redaktion

Recent Posts

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

6 Stunden ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

10 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

11 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

11 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

11 Stunden ago

Netzwerk-Portfolio für das KI-Zeitalter

Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…

13 Stunden ago