Heartbleed

Das ist der Eintrag dazu aus unserem IT-Kommunikationslexikon:

Der Heartbleed-Bug ist ein im April 2014 entdeckter, schwerwiegender Programmfehler in älteren Versionen der Open-Source-Bibliothek OpenSSL, durch den über verschlüsselte TLS-Verbindungen private Daten von Clients und Servern ausgelesen werden können. Der Fehler betrifft die OpenSSL-Versionen 1.0.1 bis 1.0.1f und wurde mit Version 1.0.1g behoben. Viele Internetdienste, Websites, aber auch VoIP-Telefone, Router und Netzwerkdrucker waren dadurch für Angriffe anfällig oder sind es immer noch, wenn keine Aktualisierung der Software erfolgt ist.

Der Name des Fehlers ist eine Zusammensetzung aus der verursachenden Funktion (Heartbeat) und eine Verweise auf die schwere der Auswirkung des Fehlers (Herzbluten der Sicherheit des Internets).

Die Heartbeat-Funktion ist eine selten genutzte Erweiterung des TLS-Verschlüsselungsprotokolls. Sie ermöglicht einem Kommunikationsteilnehmer, eine bis zu 16 kByte große Nachricht mit beliebigen Daten (Payload und Padding) an die Gegenseite zu schicken. Diese sendet den Payload-Teil unverändert zurück, womit periodisch geprüft wird, ob die Verbindung noch besteht.

Bei der fehlerhaften Implementierung dieser Funktion wird nicht überprüft, ob die angegebene Länge der Daten mit der tatsächlichen Länge der mitgelieferten Daten übereinstimmt. Ist die angegebene Länge größer als die tatsächliche Länge, so kopiert die OpenSSL-Implementierung über das Ende des Eingabepuffers hinaus Daten aus dem Heap in den Ausgabepuffer. Aufgrund der fehlenden Überprüfung kann ein Angreifer mit einer Anfrage bis zu 64 kByte des Arbeitsspeichers der Gegenstelle auslesen. Der Angriff kann beliebig oft wiederholt werden, um den Speicher wieder auszulesen. In Tests gelang es damit unter anderem den privaten Schlüssel des Serverzertifikats sowie Benutzernamen und Passworte von Servern und anderen Benutzern des Servers auszulesen.

Der Bug ist auch deshalb so brisant, weil es Anzeichen dafür gibt, dass er Geheimdiensten jahrelang bekannt war und gezielt ausgenutzt worden ist.

Neben dem interessanten Namen, war Heartbleed auch der erste Bug, der ein eigenes Logo hatte (ein blutendes Herz). Das ist danach bei schweren Bugs zur Mode geworden, z.B. ("ShellShock" und Muschel-Logo).

Aktuelle Beiträge

Quantum stellt für 2025 neue Tape-Library in Aussicht Lars Nitsch Do., 28.03.2024 - 15:45
Quantum kündigt mit dem Modell "Scalar i7 Raptor" eine Erweiterung seiner Tape-Speicher-Serie Scalar an. Neben der laut Hersteller höchsten Datendichte auf dem Markt soll der die Neuerscheinung auch mit speziellen Anti-Ransomware-Funktionen wie Tape-Blocking für den Aufbau von cyberresistenten Clouds sowie KI-gestützter prädikativer Analyse für eine einfache Verwaltung und kontinuierliche Verfügbarkeit punkten.
So bleibt IT-Sicherheit auch für den Mittelstand bezahlbar Redaktion IT-A… Mi., 27.03.2024 - 09:16
IT-Sicherheit darf keine Kostenfrage sein. Dennoch nennen viele Unternehmen die Investitions- und Betriebskosten als Hauptgrund für ihre Zurückhaltung beim Thema Sicherheit. Doch wie viel Wahrheit steckt dahinter? Warum handeln deutsche Unternehmen (noch) nicht? Und warum ist ITSicherheit überlebenswichtig? Und welche Rolle spielt dabei NIS2? Diesen Fragen und möglichen Lösungsansätzen gehen wir in unserem Artikel auf den Grund.
Download der Woche: Tree Style Tab Daniel Richey Mi., 27.03.2024 - 07:00
Bei der Internetrecherche sammeln sich je nach Projekt eine ganze Menge an Webseiten an. Das Hin- und Herschalten wird dann bei einer zweistelligen Zahl zunehmend verwirrend. Mit dem kostenfreien Firefox-Add-on "Tree Style Tab" behalten Sie den Überblick und strukturieren alle offenen Tabs in verschiedenen Ebenen.