{"id":12361,"date":"2014-10-16T09:39:52","date_gmt":"2014-10-16T07:39:52","guid":{"rendered":"http:\/\/www.planet3dnow.de\/cms\/?p=12361"},"modified":"2014-10-16T23:25:47","modified_gmt":"2014-10-16T21:25:47","slug":"poodle-sicherheitsluecke-in-ssl-gefaehrdet-passwoerter","status":"publish","type":"post","link":"https:\/\/www.planet3dnow.de\/cms\/12361-poodle-sicherheitsluecke-in-ssl-gefaehrdet-passwoerter\/","title":{"rendered":"POODLE<\/span> Sicherheitsl\u00fccke in SSL<\/span> gef\u00e4hrdet Passw\u00f6rter"},"content":{"rendered":"

Bereits vor eini\u00adgen Mona\u00adten schlug ein als Heart\u00adbleed-Bug<\/a> bekannt gewor\u00adde\u00adner Pro\u00adgram\u00admier\u00adfeh\u00adler in bestimm\u00adten Ver\u00adsio\u00adnen der Open\u00adS\u00adSL-Biblio\u00adthek hohe Wel\u00adlen. Open\u00adS\u00adSL wird h\u00e4u\u00adfig ein\u00adge\u00adsetzt f\u00fcr ver\u00adschl\u00fcs\u00adsel\u00adte Ver\u00adbin\u00addun\u00adgen zwi\u00adschen Cli\u00adent und Ser\u00adver, z.B. bei ver\u00adschl\u00fcs\u00adsel\u00adten Mail\u00adbo\u00adxen oder Log\u00adins. Der Feh\u00adler erm\u00f6g\u00adlich\u00adte es Angrei\u00adfern eigent\u00adlich ver\u00adschl\u00fcs\u00adsel\u00adte Daten trotz\u00addem auszulesen.<\/p>\n

Nun haben For\u00adscher bei Goog\u00adle eine neue Sicher\u00adheits\u00adl\u00fc\u00adcke ent\u00addeckt \u2013 POODLE<\/span> genannt \u2013, und wie\u00adder geht es um SSL-Ver\u00adschl\u00fcs\u00adse\u00adlung. Die\u00adses Mal betrifft der Feh\u00adler aber nicht neue Open\u00adS\u00adSL-Imple\u00admen\u00adtie\u00adrun\u00adgen, son\u00addern eine SSL-Vari\u00adan\u00adte, die vor 15 Jah\u00adren geschrie\u00adben wur\u00adde, aber unter Umst\u00e4n\u00adden auch heu\u00adte immer noch genutzt wird. Die Rede ist von SSL<\/span> v3. Zwar wird die\u00adse Uralt-Ver\u00adsi\u00adon unter nor\u00adma\u00adlen Umst\u00e4n\u00adden kaum noch direkt ver\u00adwen\u00addet, jedoch ist sie nach wie vor als Fall\u00adback in Ser\u00adver- und Cli\u00adent-Soft\u00adware ent\u00adhal\u00adten, so auch bei prak\u00adtisch allen aktu\u00adel\u00adlen Brow\u00adsern, die SSL<\/span> v3 immer dann nut\u00adzen, wenn eine Ver\u00adbin\u00addung per TLS<\/span> fehlschl\u00e4gt.<\/p>\n

Ein Angrei\u00adfer kann die L\u00fccke aus\u00adnut\u00adzen, indem er eine TLS-Ver\u00adbin\u00addung gezielt st\u00f6rt. Dann schal\u00adten die Brow\u00adser auf SSL<\/span> v3 zur\u00fcck und der Angrei\u00adfer kann die L\u00fccke aus\u00adnut\u00adzen, um Pass\u00adw\u00f6r\u00adter z.B. von Mail\u00adac\u00adcounts oder Online-Ban\u00adking abzufangen.<\/p>\n

Work\u00adaround<\/strong>
\nRela\u00adtiv ein\u00adfach kann die Nut\u00adzung des Fall\u00adbacks im Inter\u00adnet-Explo\u00adrer unter\u00adbun\u00adden wer\u00adden. Hier gen\u00fcgt es, in den Inter\u00adnet\u00adop\u00adtio\u00adnen unter Erwei\u00adtert \/ Sicher\u00adheit den Haken bei SSL<\/span> v3 zu entfernen.<\/p>\n

<\/p>

\"ie_poodle_fallback_off\"<\/a><\/center>\n

Bei Fire\u00adfox muss man sich dazu \u00fcber about:config<\/em> in die inter\u00adnen Optio\u00adnen bege\u00adben, den Wert security.tls.version.min<\/em> suchen und auf den Wert 1<\/em> setzen:<\/p>\n

<\/p>

\"ff_poodle_fallback_off\"<\/a><\/center>\n

Goog\u00adle Chro\u00adme besitzt in der aktu\u00adel\u00adlen Ver\u00adsi\u00adon noch kei\u00adne M\u00f6g\u00adlich\u00adkeit dazu. Hier muss man sich momen\u00adtan damit behel\u00adfen, den Brow\u00adser durch Anh\u00e4n\u00adgen des Para\u00adme\u00adters \u2013ssl-version-min=tls1<\/em> zu star\u00adten, bis Goog\u00adle eine neue Ver\u00adsi\u00adon ver\u00ad\u00f6f\u00adfent\u00adlicht hat.<\/p>\n

Links zum Thema:<\/strong><\/p>\n

  • POODLE<\/span> Attack and SSLv3 Deployment<\/a><\/li>\n
  • Dis\u00adab\u00adling SSLv3 Sup\u00adport in Browsers<\/a><\/li>\n
  • Dis\u00adab\u00adling SSLv3 Sup\u00adport on Servers<\/a><\/li>\n