Nach Heartbleed Entwickler warnen vor Schwachstelle in OpenSSL-Verschlüsselung
OpenSSL-Webseite (Archivbild): Der jetzt entdeckte Fehler schlummert seit Jahren in der Software
Erneut ist eine Sicherheitslücke in der weitverbreiteten Online-Verschlüsselungssoftware OpenSSL aufgetaucht. Wenige Wochen nach Heartbleed hat der japanische Entwickler Masashi Kikuchi eine Schwachstelle entdeckt, die den verschlüsselten Datenaustausch über das Protokoll anfällig für Angriffe macht. Am Donnerstag teilte die OpenSSL Foundation mit , dass der Fehler für einen Man-in-the-Middle-Angriff ausgenutzt werden könne. Sprich: Ein Angreifer schaltet sich zwischen einen Rechner und einen Server, die untereinander Daten austauschen. Der Angreifer kann über die Schwachstelle den Datenstrom anzapfen, die Inhalte mitlesen und auch manipulieren, bevor er sie weiterleitet.
"Dieser Fehler existiert seit der allerersten Version von OpenSSL", schreibt Masashi Kikuchi in einem Blogbeitrag. Er wirft den SSL-Experten vor, den Code nie ordentlich überprüft zu haben. Nur so sei es möglich, dass die Sicherheitslücke mehr als 16 Jahre unbemerkt im Code schlummern konnte. "Hätten die Prüfer genügend Erfahrung gehabt, dann hätten sie den OpenSSL-Code genauso testen können wie sie ihren eigenen Code testen würden". Sie hätten das Problem entdecken können, schreibt Kikuchi.
Gefahr besteht demnach beim Surfen im Netz, beim Senden und Empfangen von E-Mails und selbst beim Datenaustausch über eine VPN-Verbindung. Von einem solchen Angriff bemerke der Anwender nichts. Für eine erfolgreiche Attacke muss allerdings auch der Server von dem Fehler im Code betroffen sein.
Zeitgleich warnt die OpenSSL-Foundation vor sechs weiteren Schwachstellen in ihrer Software. Für alle liegen jedoch bereits Updates bereit, mit denen sich die potenziellen Probleme beseitigen lassen.
Die Sicherheitslücken treten nur wenige Wochen nach der Entdeckung der OpenSSL-Schwachstelle Heartbleed auf, einem der schlimmsten Internet-Verschlüsselungsfehler aller Zeiten. Heartbleed ermöglichte es Angreifern, geheime Schlüssel, Nutzernamen und Passwörter von Servern zu stehlen. Internetnutzer sind seither aufgerufen, alle alten Passwörter für Internetdienste zu ändern.
