Forum für Wissenschaft, Industrie und Wirtschaft

Hauptsponsoren:     3M 
Datenbankrecherche:

 

Kritische Sicherheitslücken: TLS-Verschlüsselung für Java ließ sich auf mehreren Wegen knacken

23.04.2014

Im Januar und April hat Oracle kritische Softwareupdates für Java herausgegeben. Sie beheben unter anderem drei Schwachstellen, die Forscher vom Horst Görtz Institut für IT-Sicherheit der Ruhr-Universität entdeckt haben.

Die Sicherheitslücken betreffen die „Java Secure Socket Extension“, kurz JSSE. Diese Software-Bibliothek implementiert das Sicherheitsprotokoll „Transport Layer Security“ (TLS), um den Datentransfer zwischen Browsern und Web-Servern zu verschlüsseln, etwa um Passwörter oder Kreditkartendaten sicher zu übermitteln.

Wie bei Heartbleed: TLS-Implementierung als Schwachstelle

In den vergangenen Tagen hat der Heartbleed-Angriff auf OpenSSL für Schlagzeilen gesorgt. Wie OpenSSL ist auch JSSE für Java eine TLS-Implementierung; Oracle stellt sie als Open Source-Software zur Verfügung. Über zwei der drei entdeckten Schwachstellen in JSSE konnten die IT-Sicherheitsforscher die Verschlüsselung mittels TLS komplett brechen. Sie informierten Oracle über die Sicherheitslücken, bevor sie diese öffentlich machten. Das Team um Prof. Dr. Jörg Schwenk rät, die Updates für Anwendungen, die JSSE nutzen, schnell zu installieren.

So lässt sich die TLS-Verschlüsselung in Java aushebeln

JSSE war anfällig für sogenannte Bleichenbacher-Angriffe. Die Forscher mussten einmal eine verschlüsselte Verbindung zwischen Server und Client – etwa einem Web-Browser – aufzeichnen. Anschließend stellten sie ein paar tausend Anfragen an den Server. Aus den Antworten des Servers konnten sie den Schlüssel berechnen und den aufgezeichneten Datenaustausch zwischen Server und Client entschlüsseln. Bei der ersten Schwachstelle gab der TLS-Server über Fehlermeldungen kritische Informationen weiter. Die zweite Schwachstelle basierte auf unterschiedlichen Antwortzeiten des JSSE-Servers. Bleichenbacher-Angriffe zählen zu den komplexesten kryptografischen Angriffen, den sogenannten adaptiven Chosen-Ciphertext-Angriffen.

April-Patch von Oracle löst weiteres Problem

Mit dem April-Patch fixt Oracle einen weiteren kryptografischen Algorithmus (PKCS#1 v2.1, auch bekannt als RSA-OAEP), der ebenfalls für einen adaptiven Chosen-Ciphertext-Angriff anfällig war, wie das Bochumer Team zeigte. Dieser Algorithmus steht nicht mit TLS in Zusammenhang, wird aber in anderen Anwendungen wie Web Services eingesetzt.

Weitere Informationen

Prof. Dr. Jörg Schwenk, Lehr­stuhl für Netz- und Datensicherheit, Horst Görtz Institut für IT-Sicherheit der Ruhr-Universität, 44780 Bochum, Tel. 0234/32-26692, E-Mail: joerg.schwenk@rub.de

Angeklickt

Blog-Post von RUB-Forscher Christopher Meyer zum „Oster-Hack“
http://armoredbarista.blogspot.de/2014/04/easter-hack-even-more-critical-bugs-in...

Informationen zu Heartbleed
http://heartbleed.com/

Dr. Julia Weiler | idw - Informationsdienst Wissenschaft

Weitere Nachrichten aus der Kategorie Informationstechnologie:

nachricht Erster Modularer Supercomputer weltweit geht am Forschungszentrum Jülich in Betrieb
14.11.2017 | Forschungszentrum Jülich GmbH

nachricht Online-Computerspiele verändern das Gehirn
09.11.2017 | Universität Ulm

Alle Nachrichten aus der Kategorie: Informationstechnologie >>>

Die aktuellsten Pressemeldungen zum Suchbegriff Innovation >>>

Die letzten 5 Focus-News des innovations-reports im Überblick:

Im Focus: Ultrakalte chemische Prozesse: Physikern gelingt beispiellose Vermessung auf Quantenniveau

Wissenschaftler um den Ulmer Physikprofessor Johannes Hecker Denschlag haben chemische Prozesse mit einer beispiellosen Auflösung auf Quantenniveau vermessen. Bei ihrer wissenschaftlichen Arbeit kombinierten die Forscher Theorie und Experiment und können so erstmals die Produktzustandsverteilung über alle Quantenzustände hinweg - unmittelbar nach der Molekülbildung - nachvollziehen. Die Forscher haben ihre Erkenntnisse in der renommierten Fachzeitschrift "Science" publiziert. Durch die Ergebnisse wird ein tieferes Verständnis zunehmend komplexer chemischer Reaktionen möglich, das zukünftig genutzt werden kann, um Reaktionsprozesse auf Quantenniveau zu steuern.

Einer deutsch-amerikanischen Forschergruppe ist es gelungen, chemische Prozesse mit einer nie dagewesenen Auflösung auf Quantenniveau zu vermessen. Dadurch...

Im Focus: Leoniden 2017: Sternschnuppen im Anflug?

Gemeinsame Pressemitteilung der Vereinigung der Sternfreunde und des Hauses der Astronomie in Heidelberg

Die Sternschnuppen der Leoniden sind in diesem Jahr gut zu beobachten, da kein Mondlicht stört. Experten sagen für die Nächte vom 16. auf den 17. und vom 17....

Im Focus: «Kosmische Schlange» lässt die Struktur von fernen Galaxien erkennen

Die Entstehung von Sternen in fernen Galaxien ist noch weitgehend unerforscht. Astronomen der Universität Genf konnten nun erstmals ein sechs Milliarden Lichtjahre entferntes Sternensystem genauer beobachten – und damit frühere Simulationen der Universität Zürich stützen. Ein spezieller Effekt ermöglicht mehrfach reflektierte Bilder, die sich wie eine Schlange durch den Kosmos ziehen.

Heute wissen Astronomen ziemlich genau, wie sich Sterne in der jüngsten kosmischen Vergangenheit gebildet haben. Aber gelten diese Gesetzmässigkeiten auch für...

Im Focus: A “cosmic snake” reveals the structure of remote galaxies

The formation of stars in distant galaxies is still largely unexplored. For the first time, astron-omers at the University of Geneva have now been able to closely observe a star system six billion light-years away. In doing so, they are confirming earlier simulations made by the University of Zurich. One special effect is made possible by the multiple reflections of images that run through the cosmos like a snake.

Today, astronomers have a pretty accurate idea of how stars were formed in the recent cosmic past. But do these laws also apply to older galaxies? For around a...

Im Focus: Pflanzenvielfalt von Wäldern aus der Luft abbilden

Produktivität und Stabilität von Waldökosystemen hängen stark von der funktionalen Vielfalt der Pflanzengemeinschaften ab. UZH-Forschenden gelang es, die Pflanzenvielfalt von Wäldern durch Fernerkundung mit Flugzeugen in verschiedenen Massstäben zu messen und zu kartieren – von einzelnen Bäumen bis hin zu ganzen Artengemeinschaften. Die neue Methode ebnet den Weg, um zukünftig die globale Pflanzendiversität aus der Luft und aus dem All zu überwachen.

Ökologische Studien zeigen, dass die Pflanzenvielfalt zentral ist für das Funktionieren von Ökosys-temen. Wälder mit einer höheren funktionalen Vielfalt –...

Alle Focus-News des Innovations-reports >>>

Anzeige

Anzeige

IHR
JOB & KARRIERE
SERVICE
im innovations-report
in Kooperation mit academics
Veranstaltungen

Technologievorsprung durch Textiltechnik

17.11.2017 | Veranstaltungen

Roboter für ein gesundes Altern: „European Robotics Week 2017“ an der Frankfurt UAS

17.11.2017 | Veranstaltungen

Börse für Zukunftstechnologien – Leichtbautag Stade bringt Unternehmen branchenübergreifend zusammen

17.11.2017 | Veranstaltungen

 
VideoLinks
B2B-VideoLinks
Weitere VideoLinks >>>
Aktuelle Beiträge

Technologievorsprung durch Textiltechnik

17.11.2017 | Veranstaltungsnachrichten

IHP präsentiert sich auf der productronica 2017

17.11.2017 | Messenachrichten

Roboter schafft den Salto rückwärts

17.11.2017 | Innovative Produkte