von Redaktion IT-A…
Lesezeit
1 Minute
BSI rät zu TLS 1.2
Im Rahmen der it-sa in Nürnberg hat das Bundesamt für Sicherheit in der Informationstechnik einen Mindeststandard für den Einsatz von Transportverschlüsselung mittels TLS-Protokoll veröffentlicht. Demnach gilt in der Bundesverwaltung TLS 1.2 in Kombination mit Perfect Forward Secrecy fortan als Mindeststandard auf beiden Seiten der Kommunikationsbeziehung.
Auch eine noch so starke Verschlüsselung ist knackbar, wenn der Angreifer an die zugrundeliegenden Schlüssel gelangt. Bei der herkömmlichen asymetrischen Chiffrierung mittels SSL oder TLS lassen sich auch im Nachhinein mit den Master-Keys auf den Servern oder gar von der Zertifizierungsstelle verschlüsselte Daten wieder entschlüsseln. Die Perfect Forwarded Secrecy (PFS) soll mit dem Diffie-Hellman-Schlüsselaustausch genau dies verhindern.
Das BSI empfiehlt Anwendern aufgrund der "dynamischen IT-Bedrohungslage" nun einen raschen und möglichst flächendeckenden Umstieg auf TLS 1.2 in Kombination mit PFS. Der neue Mindeststandard des BSI [1] soll neben Einrichtungen der Bundesverwaltung auch Unternehmen, Webseitenbetreiber und andere Institutionen dabei unterstützen, das eigene IT-Sicherheitsniveau sowie das ihrer Kunden und Partner zu erhöhen. Eine Migration zur inzwischen auch nicht mehr brandneuen TLS-Version 1.2 umfasst allerdings in der Regel nicht nur Software-, sondern auch Hardware-Produkte und kann kosten- und zeitintensiv sein.
Daher rät das BSI, bis zur Umstellung zusätzliche Schutzmaßnahmen umzusetzen. So könne TLS 1.0 in bestehenden Anwendungen übergangsweise weiter eingesetzt werden, sofern geeignete Schutzmaßnahmen gegen bereits bekannte Angriffe gegen das SSL/TLS-Protokoll wie "BEAST" oder "CRIME" ergriffen würden. Zudem sollten während der Übergangsphase alternative Maßnahmen zum Schutz der Vertraulichkeit der Kommunikation getroffen werden. So sollte sich beispielsweise der TLS-Server in einer gesicherten Umgebung befinden, damit kein Angreifer Zugriff auf den geheimen Schlüssel erlangen könne.
dr
[1] https://www.bsi.bund.de/DE/Publikationen/Mindeststandards/SSL-TLS-Protokoll/SSL-TLS-Protokoll_node.html
Das BSI empfiehlt Anwendern aufgrund der "dynamischen IT-Bedrohungslage" nun einen raschen und möglichst flächendeckenden Umstieg auf TLS 1.2 in Kombination mit PFS. Der neue Mindeststandard des BSI [1] soll neben Einrichtungen der Bundesverwaltung auch Unternehmen, Webseitenbetreiber und andere Institutionen dabei unterstützen, das eigene IT-Sicherheitsniveau sowie das ihrer Kunden und Partner zu erhöhen. Eine Migration zur inzwischen auch nicht mehr brandneuen TLS-Version 1.2 umfasst allerdings in der Regel nicht nur Software-, sondern auch Hardware-Produkte und kann kosten- und zeitintensiv sein.
Daher rät das BSI, bis zur Umstellung zusätzliche Schutzmaßnahmen umzusetzen. So könne TLS 1.0 in bestehenden Anwendungen übergangsweise weiter eingesetzt werden, sofern geeignete Schutzmaßnahmen gegen bereits bekannte Angriffe gegen das SSL/TLS-Protokoll wie "BEAST" oder "CRIME" ergriffen würden. Zudem sollten während der Übergangsphase alternative Maßnahmen zum Schutz der Vertraulichkeit der Kommunikation getroffen werden. So sollte sich beispielsweise der TLS-Server in einer gesicherten Umgebung befinden, damit kein Angreifer Zugriff auf den geheimen Schlüssel erlangen könne.
dr
[1] https://www.bsi.bund.de/DE/Publikationen/Mindeststandards/SSL-TLS-Protokoll/SSL-TLS-Protokoll_node.html
