Forscher demonstrieren Schwachstelle bei RC4-Verschlüsselung für SSL-Verbindungen

Der Sicherheitsspezialist Imperva hat eine neuen Hacker Intelligence Initiative (HII) Report veröffentlicht. Demnach hat sein Forschungsteam des Application Defense Center (ADC) neue Angriffsschwachstellen in dem verbreiteten Transport Layer Security (TLS/SSL)-Zertifikat entdeckt.

Probleme bereitet den Forschern zufolge die Verwendung des RC4-Verschlüsselungsalgorithmus, der sensible Daten gefährde und diese zu potentiellen Angriffszielen für Cyberkriminelle mache. Eine neue Angriffsform könne SSL-geschützte Daten in einem von 16 Millionen RC4-Verschlüsselungsfällen gefährden. Betrachtet man den weltweiten Datenverkehr, wären demnach Tausende von vermeintlich sicheren E-Mails potenziell einfache Angriffsziele von Hackern. Eine neue Art von Man-in-the-Middle-Attacken auf RC4 verschlüsselte SSL-Zertifikate ermögliche Hackern Teile aus gesicherten Datensätzen zu ziehen. Diese undichte Stelle erleichtert schnellere Brute-Force-Attacken auf Passwörter oder Kreditkartennummern erheblich, schreiben die Forscher. So können Hacker beispielsweise selbst temporäre Session Cookies abfangen. Eine passive Variante der neuen Angriffsmethode entwendet sensible Informationen von rein zufällig ausgewählten Hackeropfern.

„Das Forschungsteam des Application Defense Center von Imperva bringt seine Erkenntnisse stets auf den neuesten Stand, macht neue Schwachstellen ausfindig und bietet mit seinen Ergebnissen Einblick und Hilfestellung in Bezug auf die aktuellsten IT-Sicherheitsrisiken“ erklärt Itsik Mantin, Director of Security Research bei Imperva. „Die jüngste Untersuchung der Schwachstellen bei SSL-Zertifikaten, die täglich Milliarden von Nutzen betreffen, ist nur ein Beispiel von vielen, wie wir Nutzer vor Gefahren online warnen können. Gleichzeitig bieten wir konkrete Leitlinien dafür, wie Sicherheitsprofis ihre Unternehmen vor diesen Risiken schützen können.“

Ausgehend vom letzten veröffentlichten Bericht durch das ADC, empfiehlt Imperva Web-Administratoren, sich von RC4-Verschlüsselungen in ihren SSL-Konfigurationen zu trennen. Während Internetnutzer die RC4-Codierung in ihren Browser SSL-Einstellungen entfernen sollten, sind Browserhersteller dazu angehalten, RC4 von ihrer SSL-Code-Liste zu streichen. Web-Administratoren sollten RC4 aus ihrer SSL-Konfiguration streichen. Mozilla unterstützt mit einem SSL-Konfigurationsgenerator die sichere Implementierung von SSL.

SSL ist das am meisten genutzte Verschlüsselungsprotokoll und wird für den Schutz eines breit gefächerten Applikations-Traffics verwendet. Es dient als Grundlage von HTTPS-Protokollen, um Internetbrowser zu schützen, und wird in Verbindung mit IMAP oder SMTP zur Kodierung des E-Mail Verkehrs genutzt. Zudem ist SSL ein beliebtes Tool zur Sicherung der Kommunikation über integrierte Systeme, Mobile Devices und Online-Zahlungssysteme.

Einer größeren Öffentlichkeit wurde SSl durch die Schwachstellen Heartbleed, Poodle und Freak bekannt. Noch immer sind diese Lücken nicht restlos geschlossen. Anwender können bei Qualys ihren Browser auf diese und andere Schwachstellen überprüfen. Von der Freak-Lücke sind auch zahlreiche Android-Apps betroffen.