Heartbleed


Der Heartbleed-Bug ist ein im April 2014 entdeckter, schwerwiegender Programmfehler in älteren Versionen der Open-Source-Bibliothek OpenSSL, durch den über verschlüsselte TLS-Verbindungen private Daten von Clients und Servern ausgelesen werden können. Der Fehler betrifft die OpenSSL-Versionen 1.0.1 bis 1.0.1f und wurde mit Version 1.0.1g behoben. Viele Internetdienste, Websites, aber auch VoIP-Telefone, Router und Netzwerkdrucker waren dadurch für Angriffe anfällig oder sind es immer noch, wenn keine Aktualisierung der Software erfolgt ist.

Der Name des Fehlers ist eine Zusammensetzung aus der verursachenden Funktion (Heartbeat) und eine Verweise auf die schwere der Auswirkung des Fehlers (Herzbluten der Sicherheit des Internets).

Die Heartbeat-Funktion ist eine selten genutzte Erweiterung des TLS-Verschlüsselungsprotokolls. Sie ermöglicht einem Kommunikationsteilnehmer, eine bis zu 16 kByte große Nachricht mit beliebigen Daten (Payload und Padding) an die Gegenseite zu schicken. Diese sendet den Payload-Teil unverändert zurück, womit periodisch geprüft wird, ob die Verbindung noch besteht.

Bei der fehlerhaften Implementierung dieser Funktion wird nicht überprüft, ob die angegebene Länge der Daten mit der tatsächlichen Länge der mitgelieferten Daten übereinstimmt. Ist die angegebene Länge größer als die tatsächliche Länge, so kopiert die OpenSSL-Implementierung über das Ende des Eingabepuffers hinaus Daten aus dem Heap in den Ausgabepuffer. Aufgrund der fehlenden Überprüfung kann ein Angreifer mit einer Anfrage bis zu 64 kByte des Arbeitsspeichers der Gegenstelle auslesen. Der Angriff kann beliebig oft wiederholt werden, um den Speicher wieder auszulesen. In Tests gelang es damit unter anderem den privaten Schlüssel des Serverzertifikats sowie Benutzernamen und Passworte von Servern und anderen Benutzern des Servers auszulesen.

Der Bug ist auch deshalb so brisant, weil es Anzeichen dafür gibt, dass er Geheimdiensten jahrelang bekannt war und gezielt ausgenutzt worden ist.

Neben dem interessanten Namen, war Heartbleed auch der erste Bug, der ein eigenes Logo hatte (ein blutendes Herz). Das ist danach bei schweren Bugs zur Mode geworden, z.B. ("ShellShock" und Muschel-Logo).

0-9|A|B|C|D|E|F|G|H|I|J|K|L|M|N|O|P|Q|R|S|T|U|V|W|X|Y|Z|alle

Suche im Lexikon nach im

 

Fachartikel

Führungskräfte für IT-Sicherheit sensibilisieren (2) [10.08.2020]

Zuletzt gaben 29 Prozent der Unternehmen an, in den letzten zwei Jahren Opfer von Angriffen auf ihre IT gewesen zu sein. Zwar reagieren Unternehmen zunehmend mit Firewalls und Co. auf die Bedrohungslage, insgesamt steht es mit der Abwehrbereitschaft aber noch immer nicht zum Besten. Einer der Gründe dafür ist die mangelnde Sensibilität auf C-Level-Ebene. Schließlich nützt es nur wenig, wenn die IT-Abteilung zwar eine realistische Einschätzung der tatsächlichen Bedrohungslage hat, die Führungsebene aber nicht die erforderlichen Ressourcen bereitstellt, um diesen Problemen zu begegnen. Die Artikelserie beschreibt daher Methoden zur Sensibilisierung von Führungskräften. In der zweiten Folge geht es darum, wie Sie WLAN-Schwachstellen aufspüren und demonstrieren. [mehr]

Grundlagen

Pass-the-Hash-Angriffe [23.06.2020]

Mit einer erfolgreichen Pass-the-Hash-Attacke wird ein Angreifer leicht Administrator der Windows-Domäne. Doch weil es technisch sehr schwierig ist, Inhalte des Arbeitsspeichers zu verteidigen, gibt es für die seit mehr als zwei Jahrzehnten bekannte Sicherheitslücke keinen Patch, sondern nur Empfehlungen für eine bessere Organisation der IT. Der ursprünglich sehr aufwendige Pass-the-Hash-Attacke ist heute nur noch eine Sache weniger Klicks. Wir beleuchten die Grundlagen dieses Angriffsvektors. [mehr]