idw – Informationsdienst Wissenschaft
Nachrichten, Termine, Experten
Nachrichten, Termine, Experten
Im Januar und April hat Oracle kritische Softwareupdates für Java herausgegeben. Sie beheben unter anderem drei Schwachstellen, die Forscher vom Horst Görtz Institut für IT-Sicherheit der Ruhr-Universität entdeckt haben. Die Sicherheitslücken betreffen die „Java Secure Socket Extension“, kurz JSSE. Diese Software-Bibliothek implementiert das Sicherheitsprotokoll „Transport Layer Security“ (TLS), um den Datentransfer zwischen Browsern und Web-Servern zu verschlüsseln, etwa um Passwörter oder Kreditkartendaten sicher zu übermitteln.
Wie bei Heartbleed: TLS-Implementierung als Schwachstelle
In den vergangenen Tagen hat der Heartbleed-Angriff auf OpenSSL für Schlagzeilen gesorgt. Wie OpenSSL ist auch JSSE für Java eine TLS-Implementierung; Oracle stellt sie als Open Source-Software zur Verfügung. Über zwei der drei entdeckten Schwachstellen in JSSE konnten die IT-Sicherheitsforscher die Verschlüsselung mittels TLS komplett brechen. Sie informierten Oracle über die Sicherheitslücken, bevor sie diese öffentlich machten. Das Team um Prof. Dr. Jörg Schwenk rät, die Updates für Anwendungen, die JSSE nutzen, schnell zu installieren.
So lässt sich die TLS-Verschlüsselung in Java aushebeln
JSSE war anfällig für sogenannte Bleichenbacher-Angriffe. Die Forscher mussten einmal eine verschlüsselte Verbindung zwischen Server und Client – etwa einem Web-Browser – aufzeichnen. Anschließend stellten sie ein paar tausend Anfragen an den Server. Aus den Antworten des Servers konnten sie den Schlüssel berechnen und den aufgezeichneten Datenaustausch zwischen Server und Client entschlüsseln. Bei der ersten Schwachstelle gab der TLS-Server über Fehlermeldungen kritische Informationen weiter. Die zweite Schwachstelle basierte auf unterschiedlichen Antwortzeiten des JSSE-Servers. Bleichenbacher-Angriffe zählen zu den komplexesten kryptografischen Angriffen, den sogenannten adaptiven Chosen-Ciphertext-Angriffen.
April-Patch von Oracle löst weiteres Problem
Mit dem April-Patch fixt Oracle einen weiteren kryptografischen Algorithmus (PKCS#1 v2.1, auch bekannt als RSA-OAEP), der ebenfalls für einen adaptiven Chosen-Ciphertext-Angriff anfällig war, wie das Bochumer Team zeigte. Dieser Algorithmus steht nicht mit TLS in Zusammenhang, wird aber in anderen Anwendungen wie Web Services eingesetzt.
Weitere Informationen
Prof. Dr. Jörg Schwenk, Lehrstuhl für Netz- und Datensicherheit, Horst Görtz Institut für IT-Sicherheit der Ruhr-Universität, 44780 Bochum, Tel. 0234/32-26692, E-Mail: joerg.schwenk@rub.de
Angeklickt
Blog-Post von RUB-Forscher Christopher Meyer zum „Oster-Hack“
http://armoredbarista.blogspot.de/2014/04/easter-hack-even-more-critical-bugs-in...
Informationen zu Heartbleed
http://heartbleed.com/
Criteria of this press release:
Journalists
Information technology
transregional, national
Research results
German
You can combine search terms with and, or and/or not, e.g. Philo not logy.
You can use brackets to separate combinations from each other, e.g. (Philo not logy) or (Psycho and logy).
Coherent groups of words will be located as complete phrases if you put them into quotation marks, e.g. “Federal Republic of Germany”.
You can also use the advanced search without entering search terms. It will then follow the criteria you have selected (e.g. country or subject area).
If you have not selected any criteria in a given category, the entire category will be searched (e.g. all subject areas or all countries).
