Mozilla lobt 10.000 Dollar Prämie für Lücken in neuer SSL-Verifizierung aus

Mozilla verspricht bis zu 10.000 Dollar Belohnung, wenn ihm Fehler in seiner neuen Softwarebibliothek zur Validierung von SSL-Zertifikaten gemeldet werden. Das Programm ist nicht auf registrierte Tester beschränkt, sondern steht jedem offen. Es läuft bis Ende Juni.

Die Bibliothek trägt den Namen „mozilla::pkix“ und wird voraussichtlich im Juni mit einer neuen Firefox-Version ausgeliefert werden. Sie soll einige Funktionen der Network Security Services (NSS) übernehmen und über Mozilla-Projekte hinweg die Sicherheit verschlüsselter Kommunikation erhöhen.

Mit dem zusätzlichen Sicherheitstest durch die Community und die vergleichsweise hohe Prämie reagiert Mozilla auf die jüngste Schwachstelle in der Software OpenSSL, die Heartbleed getauft wurde. Über den vergleichsweise simplen, aber zwei Jahre lang unentdeckten Fehler war es theoretisch möglich, Schlüssel von Websites zu erlangen, Traffic von und zu diesen Websites zu entschlüsseln und ein eigenes System als diese Websites auszugeben.

Die Bibliothek mozilla::pkix kombiniert nun bewährte und neue Techniken, um Anwendungen eine Prüfung zu ermöglichen, ob ein Verschlüsselungszertifikat gültig ist. Dies erklärte vor einigen Tagen Camilo Viecco, der sich beruflich um die Systeme der Universität Indiana kümmert und in seiner Freizeit für Mozilla Sicherheitsfragen nachgeht: „Der neue Code ist robuster, weil das Certificate Path Building alle möglichen Vertrauensketten verfolgt, bevor es aufgibt. Mit nur 4167 Zeilen C++-Code ist die neue Implementierung auch leichter zu warten – im Vergleich zu den früheren 81.865 Zeilen Code, der automatisch von Java in C übersetzt war.“

Die Bibliothek soll Teil von Firefox 31 werden. Mozilla führte zudem Unterstützung für Version 1.2 des Protokolls Transport Layer Security (TLS) mit Firefox 27 ein.

Mozilla zufolge ist mozilla::pkix voll rückwärtskompatibel: Jedes heute von Firefox unterstützte Sicherheitsprotokoll wird auch künftig unterstützt werden. In seltenen Fällen könnte es aber passieren, dass Firefox ein Website-Zertifikat nicht für gültig erklärt. Sollte dies auftreten, bittet es um einen Hinweis.

[mit Material von Max Smolaks, TechWeekEurope.co.uk]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de