09.03.2015 09:50

Update - Notizen zu FREAK

Update 9. März 2015

In den letzten Tagen gab es wieder einmal große mediale Aufmerksamkeit für eine Schwachstelle in OpenSSL und anderen Crypto-Libraries. Der Eintrag für die zugehörige CVE-ID CVE-2015-0204 besteht seit November letzten Jahres, aktualisierte Versionen von OpenSSL wurden heuer im Jänner veröffentlicht.

Die FREAK-Attacke basiert - stark verkürzt gesagt - darauf, dass in der Kommunikation zwischen einem anfälligen Client und einem anfälligen Server ein "Man-In-The-Middle" die Verwendung von sog. "Export Ciphers" erzwingen kann, die keine ausreichend starke Verschlüsselung bieten.

Dadurch ergeben sich in weiterer Folge eine Reihe von Angriffsmöglichkeiten, bzw. sind gewisse Attacken dann deutlich leichter durchführbar.

Detaillierte Beschreibungen des Problems und der Hintergründe gibt es hier:

• https://isc.sans.edu/diary/Freak+Attack+-+Surprised%3F+No.++Worried%3F+A+little.+/19407
• http://blog.cryptographyengineering.com/2015/03/attack-of-week-freak-or-factoring-nsa.html
• https://www.smacktls.com/#freak
• http://www.heise.de/security/meldung/Freak-Attack-SSL-Verschluesselung-von-Millionen-Webseiten-angreifbar-2566444.html
• http://www.heise.de/security/meldung/Freak-Attack-Microsoft-bestaetigt-Luecke-in-Windows-2569724.html

Auf https://freakattack.com/ werden unter anderem betroffene Browser sowie mögliche Gegenmassnahmen aufgelistet. Weiters wird dort eine Testseite angeboten, mit der man feststellen kann, ob der eigene Webbrowser gegen den Angriff geschützt ist. Benutzer für deren Browser es (noch) keine Updates gibt sollten nach Möglichkeit - zumindest temporär - auf einen sicheren Browser umsteigen.

Der SSL Server Test von Qualys gibt Auskunft zur Sicherheit von Servern (nicht nur hinsichtlich FREAK).

Benachrichtigungen zu Webservern, die für die FREAK-Attacke anfällig sind werden wir demnächst versenden.

Autor: Stephan Richter