Kritische Sicherheitslücken: TLS-Verschlüsselung für Java ließ sich auf mehreren Wegen knacken
Die Sicherheitslücken betreffen die „Java Secure Socket Extension“, kurz JSSE. Diese Software-Bibliothek implementiert das Sicherheitsprotokoll „Transport Layer Security“ (TLS), um den Datentransfer zwischen Browsern und Web-Servern zu verschlüsseln, etwa um Passwörter oder Kreditkartendaten sicher zu übermitteln.
Wie bei Heartbleed: TLS-Implementierung als Schwachstelle
In den vergangenen Tagen hat der Heartbleed-Angriff auf OpenSSL für Schlagzeilen gesorgt. Wie OpenSSL ist auch JSSE für Java eine TLS-Implementierung; Oracle stellt sie als Open Source-Software zur Verfügung. Über zwei der drei entdeckten Schwachstellen in JSSE konnten die IT-Sicherheitsforscher die Verschlüsselung mittels TLS komplett brechen. Sie informierten Oracle über die Sicherheitslücken, bevor sie diese öffentlich machten. Das Team um Prof. Dr. Jörg Schwenk rät, die Updates für Anwendungen, die JSSE nutzen, schnell zu installieren.
So lässt sich die TLS-Verschlüsselung in Java aushebeln
JSSE war anfällig für sogenannte Bleichenbacher-Angriffe. Die Forscher mussten einmal eine verschlüsselte Verbindung zwischen Server und Client – etwa einem Web-Browser – aufzeichnen. Anschließend stellten sie ein paar tausend Anfragen an den Server. Aus den Antworten des Servers konnten sie den Schlüssel berechnen und den aufgezeichneten Datenaustausch zwischen Server und Client entschlüsseln. Bei der ersten Schwachstelle gab der TLS-Server über Fehlermeldungen kritische Informationen weiter. Die zweite Schwachstelle basierte auf unterschiedlichen Antwortzeiten des JSSE-Servers. Bleichenbacher-Angriffe zählen zu den komplexesten kryptografischen Angriffen, den sogenannten adaptiven Chosen-Ciphertext-Angriffen.
April-Patch von Oracle löst weiteres Problem
Mit dem April-Patch fixt Oracle einen weiteren kryptografischen Algorithmus (PKCS#1 v2.1, auch bekannt als RSA-OAEP), der ebenfalls für einen adaptiven Chosen-Ciphertext-Angriff anfällig war, wie das Bochumer Team zeigte. Dieser Algorithmus steht nicht mit TLS in Zusammenhang, wird aber in anderen Anwendungen wie Web Services eingesetzt.
Weitere Informationen
Prof. Dr. Jörg Schwenk, Lehrstuhl für Netz- und Datensicherheit, Horst Görtz Institut für IT-Sicherheit der Ruhr-Universität, 44780 Bochum, Tel. 0234/32-26692, E-Mail: joerg.schwenk@rub.de
Angeklickt
Blog-Post von RUB-Forscher Christopher Meyer zum „Oster-Hack“
http://armoredbarista.blogspot.de/2014/04/easter-hack-even-more-critical-bugs-in…
Informationen zu Heartbleed
http://heartbleed.com/
Media Contact
Alle Nachrichten aus der Kategorie: Informationstechnologie
Neuerungen und Entwicklungen auf den Gebieten der Informations- und Datenverarbeitung sowie der dafür benötigten Hardware finden Sie hier zusammengefasst.
Unter anderem erhalten Sie Informationen aus den Teilbereichen: IT-Dienstleistungen, IT-Architektur, IT-Management und Telekommunikation.
Neueste Beiträge
FDmiX: Schnelle und robuste Serienproduktion von Nanopartikeln
Verkapselungstechnologie der nächsten Generation… Nukleinsäure-basierte Medikamente wie mRNA-Impfstoffe bieten ein enormes Potenzial für die Medizin und eröffnen neue Therapieansätze. Damit diese Wirkstoffe gezielt in die Körperzellen transportiert werden können, müssen…
Sensor misst Sauerstoffgehalt in der Atemluft
Eine zu geringe oder zu hohe Sauerstoffsättigung im Blut kann bleibende körperliche Schäden bewirken und sogar zum Tod führen. In der Intensiv- und Unfallmedizin wird die Sauerstoffkonzentration der Patientinnen und…
Neue MRT-Technik erkennt Schlaganfälle in kürzester Zeit
Tag gegen den Schlaganfall: Forschende der Universitätsmedizin Mainz haben im Rahmen einer Studie erstmals eine KI-gestützte Magnetresonanz-Tomographie (MRT)-Methode untersucht, um akute ischämische Schlaganfälle effizienter detektieren zu können. Dabei setzten sie…