Forscher demonstrieren Schlüsseldiebstahl via Heartbleed

CloudFlare hat am Freitag eine Theorie vorgelegt, der zufolge es so gut wie unmöglich ist, über die Heartbleed-Lücke in OpenSSL Private Keys zu stehlen. Es forderte die Sicherheitsgemeinschaft heraus, den Schlüssel eines präprierten, für Heartbleed anfälligen Systems zu stehlen. Dies gelang zwei Forschern schon bald darauf: Fedor Indutny und Illkka Mattila.

Die Heartbleed-Lücke steckt im Programmcode für eine Funktion namens Heartbeat. Ein Client und ein Server schicken sich dabei zufällige Daten zu, um so ihre Verbindung mit Transport Layer Security (TLS) zu bestätigen. Das Problem: Wenn ein Angreifer die Paketgröße größer angibt als tatsächlich der Fall, füllt der Server das Paket mit Daten aus seinem Speicher auf, bevor er es zurückschickt. Eine Prüfung der Größe erfolgt nicht.

Es ist mit Heartbleed nicht möglich, zielstrebig einen bestimmten Speicherbereich auszulesen. Daher benötigte Indutny 2,5 Millionen Heartbeat-Anfragen, die er im Lauf eines Tages durchführte, um den Schlüssel zu erlangen. Mattila hatte früher Glück und brauchte nur 100.000 Versuche. Später meldeten sich noch zwei Forscher mit dem korrekten Schlüssel, Rubin Xu und Ben Murphy.

Den Server hatte CloudFlare mit nginx und einer anfälligen OpenSSL-Version aufgesetzt. Das Unternehmen gibt an, während des Testlaufs einmal seinen Server zurückgesetzt zu haben, was die Versuche begünstigt haben könnte: Dabei musste der Schlüssel frisch in den Speicher geholt werden. Das Unternehmen überlässt es nun den erfolgreichen Angreifern, ihre Methoden zu erklären.

Auch Google-Security-Mitarbeiter Neel Mehta – einer der Entdecker von Heartbleed – hatte schon am 8. April in einem Tweet darauf hingewiesen, dass die Wahrscheinlichkeit gering ist, einen Private Key über Heartbleed zu erlangen. Dies aber ist nötig, damit sich der Angreifer später gegenüber Dritten als der jeweilige Server ausgeben kann.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.