08.04.2014 - Schwerwiegende Sicherheitslücke in SSL (Heartbleed-Bug)

Für die TLS-Software OpenSSL, welches praktisch auf jedem Webserver weltweit Einsatz findet, wurde heute eine gravierende Sicherheitslücke in der Heartbeat-Extension festgestellt!

Obwohl die Heartbeat-Erweiterung auf einem Webserver keinen Einsatz findet und deshalb darauf eigentlich nichts verloren hat, wurde sie von den meisten Webserver-Administratoren mitinstalliert, was nun weltweit zu einem erheblichen Sicherheitsproblem führte.

Die Sicherheitslücke entstand durch einen Programmfehler, bei welchem mehr Arbeitsspeicher ausgelesen als allociert wurde, nämlich bis zu 64kByte. Dies führte dazu, dass undefinierte Speicherinhalte des Servers öffentlich von jedem beliebigen Teilnehmer des Internet abgegriffen werden konnten, u.a. auch private Schlüssel oder Passwörter.

HackAlarm24 empfiehlt Serveradministratoren umgehend Sicherheitspatches einzuspielen. Da es u.U. auch möglich sein könnte, dass private Schlüssel ausgelesen werden konnten, empfiehlt es sich darüber hinaus auch SSL-Zertifikate auf den betreffenden Servern neu auszustellen - allerdings erst nachdem die Sicherheitspatches eingespielt wurden. Dabei sollte darauf geachtet werden, dass Schlüssel in vielen Fällen auf anderen Maschinen erzeugt werden, welche ebenfalls vom Heartbleed-Bug betroffen gewesen sein könnten.  

Anwendern wird empfohlen, sämtliche Passwörter, welche auf einem Server mit Heartbeat-Erweiterung gespeichert wurden umgehend zu ändern. Sollte nicht klar sein, ob der eigene Server oder Webspace betroffen ist, sollte beim Server-Techniker oder Hostingprovider nachgefragt werden.

Unabhängig von den bereitgestellten Sicherheitspatches empfiehlt HackAlarm24 Server, insbesondere Webserver, so zu konfigurieren, dass die Angriffsfläche nach außen möglichst gering ist. So sollten nur jene Komponenten installiert werden, die auch tatsächlich benötigt werden. Dies sorgt nicht nur für mehr Sicherheit, sondern wirkt sich auch positiv auf die Performance und Stabilität eines Servers aus.

Gerne stehen Ihnen unsere Sicherheitsexperten zur Absicherung Ihrer Maschinen zur Verfügung.