Das Internet Storm Centre (ISC) des SANS Institute hat am Samstag in Australien vor übereilten Maßnahmen gegen Heartbleed gewarnt. Ein Heimanwender, der übereilt versuche, Patches einzuspielen, drohe, auf Betrüger hereinzufallen. Stattdessen sei ein durchdachtes, strukturiertes Vorgehen ratsam, sagte ISC Chief Technology Officer Johannes Ullrich.
„Die wichtigste Nachricht [für Heimanwender] ist: ‚Spiel keinen Patch auf.‘ Das klingt der Intuition widersprechend, und vielleicht haben einige Leute sogar eine Software im Einsatz, die OpenSSL nutzt“, erklärte Ullrich. Aber die Gefahr, infolge der Medienberichterstattung auf einen Phishing-Versuch hereinzufallen, sei größer als die von der installierten Software ausgehende.
„Es ist unwahrscheinlich, dass ein durchschnittlicher Anwender OpenSSL einsetzt. Sie betreiben auf Ihrem Windows-PC wahrscheinlich keinen Webserver.“ Die größte Gefahr bestehe wie mehrfach berichtet bei Android, das als einziges weit verbreitetes Betriebssystem standardmäßig OpenSSL einsetze. Apples OS X verwende OpenSSL 0.9.8 – also noch nicht die für Heartbleed anfällige Version. In Windows komme OpenSSL gar nicht zum Einsatz, auch wenn es ein Risiko durch Anwendungen mit OpenSSL-Code geben könne.
Zweitens: Ein Passwort-Wechsel sei „wahrscheinlich eine gute Idee“, sagt Ullrich. „Selbst wenn es nicht durchgesickert ist, kann man dabei höchstwahrscheinlich nichts kaputt machen.“ Allerdings sei ein bedächtiges Vorgehen mit komplexen, für jede Site unterschiedlichen Passwörtern anzuraten. Sinnvoll sei die Installation eines Passwort-Managers. „Wenn Sie sich alle Passwörter merken müssen und das auch noch schaffen, sind Ihre Passwörter zu schwach.“
„Anfangs galt die meiste Konzentration Servern, und Server sind definitiv dem größten Risiko ausgesetzt – nicht nur Webserver, sondern Mailserver und viele andere nützliche Dinge. Alles, was eine angreifbare Version von OpenSSL nutzt, ist anfällig, egal ob Client oder Server“, fasst Ullrich zusammen.
SANS ISC hat auch Leitfäden für Gespräche mit Kindern oder Verantwortlichen in Firmen veröffentlicht. Es lobt den über Soziale Netze letzte Woche weithin verbreiteten Cartoon von xkcd, der in sechs Bildern erklärt, wie Heartbleed funktioniert, und führt eine ständig aktualisierte Liste anfälliger Client-Anwendungen.
[mit Material von Stilgherrian, ZDNet.com]
Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
