idw – Informationsdienst Wissenschaft
Nachrichten, Termine, Experten
Nachrichten, Termine, Experten
Im Januar und April hat Oracle kritische Softwareupdates für Java herausgegeben. Sie beheben unter anderem drei Schwachstellen, die Forscher vom Horst Görtz Institut für IT-Sicherheit der Ruhr-Universität entdeckt haben. Die Sicherheitslücken betreffen die „Java Secure Socket Extension“, kurz JSSE. Diese Software-Bibliothek implementiert das Sicherheitsprotokoll „Transport Layer Security“ (TLS), um den Datentransfer zwischen Browsern und Web-Servern zu verschlüsseln, etwa um Passwörter oder Kreditkartendaten sicher zu übermitteln.
Wie bei Heartbleed: TLS-Implementierung als Schwachstelle
In den vergangenen Tagen hat der Heartbleed-Angriff auf OpenSSL für Schlagzeilen gesorgt. Wie OpenSSL ist auch JSSE für Java eine TLS-Implementierung; Oracle stellt sie als Open Source-Software zur Verfügung. Über zwei der drei entdeckten Schwachstellen in JSSE konnten die IT-Sicherheitsforscher die Verschlüsselung mittels TLS komplett brechen. Sie informierten Oracle über die Sicherheitslücken, bevor sie diese öffentlich machten. Das Team um Prof. Dr. Jörg Schwenk rät, die Updates für Anwendungen, die JSSE nutzen, schnell zu installieren.
So lässt sich die TLS-Verschlüsselung in Java aushebeln
JSSE war anfällig für sogenannte Bleichenbacher-Angriffe. Die Forscher mussten einmal eine verschlüsselte Verbindung zwischen Server und Client – etwa einem Web-Browser – aufzeichnen. Anschließend stellten sie ein paar tausend Anfragen an den Server. Aus den Antworten des Servers konnten sie den Schlüssel berechnen und den aufgezeichneten Datenaustausch zwischen Server und Client entschlüsseln. Bei der ersten Schwachstelle gab der TLS-Server über Fehlermeldungen kritische Informationen weiter. Die zweite Schwachstelle basierte auf unterschiedlichen Antwortzeiten des JSSE-Servers. Bleichenbacher-Angriffe zählen zu den komplexesten kryptografischen Angriffen, den sogenannten adaptiven Chosen-Ciphertext-Angriffen.
April-Patch von Oracle löst weiteres Problem
Mit dem April-Patch fixt Oracle einen weiteren kryptografischen Algorithmus (PKCS#1 v2.1, auch bekannt als RSA-OAEP), der ebenfalls für einen adaptiven Chosen-Ciphertext-Angriff anfällig war, wie das Bochumer Team zeigte. Dieser Algorithmus steht nicht mit TLS in Zusammenhang, wird aber in anderen Anwendungen wie Web Services eingesetzt.
Weitere Informationen
Prof. Dr. Jörg Schwenk, Lehrstuhl für Netz- und Datensicherheit, Horst Görtz Institut für IT-Sicherheit der Ruhr-Universität, 44780 Bochum, Tel. 0234/32-26692, E-Mail: joerg.schwenk@rub.de
Angeklickt
Blog-Post von RUB-Forscher Christopher Meyer zum „Oster-Hack“
http://armoredbarista.blogspot.de/2014/04/easter-hack-even-more-critical-bugs-in...
Informationen zu Heartbleed
http://heartbleed.com/
Merkmale dieser Pressemitteilung:
Journalisten
Informationstechnik
überregional
Forschungsergebnisse
Deutsch
Sie können Suchbegriffe mit und, oder und / oder nicht verknüpfen, z. B. Philo nicht logie.
Verknüpfungen können Sie mit Klammern voneinander trennen, z. B. (Philo nicht logie) oder (Psycho und logie).
Zusammenhängende Worte werden als Wortgruppe gesucht, wenn Sie sie in Anführungsstriche setzen, z. B. „Bundesrepublik Deutschland“.
Die Erweiterte Suche können Sie auch nutzen, ohne Suchbegriffe einzugeben. Sie orientiert sich dann an den Kriterien, die Sie ausgewählt haben (z. B. nach dem Land oder dem Sachgebiet).
Haben Sie in einer Kategorie kein Kriterium ausgewählt, wird die gesamte Kategorie durchsucht (z.B. alle Sachgebiete oder alle Länder).
