Everand Logo

Welcome to Everand!

  • Discover millions of ebooks, audiobooks, and so much more with a free trial

    Only $11.99/month after trial. Cancel anytime.

    Websecurity: Jahresrückblick
    Websecurity: Jahresrückblick
    Websecurity: Jahresrückblick
    Ebook66 pages38 minutes

    Websecurity: Jahresrückblick

    By Carsten Eilers

    ()

    Read preview

    About this ebook

    Dieser shortcut liefert einen Rückblick auf Sicherheitslücken und Angriffe im Jahr 2014. Im ersten Kapitel stehen dabei vor allem OpenSSL, SSL und TLS im Fokus. Das zweite Kapitel befasst sich unter anderem mit den Angriffen Shellshock und Poodle sowie der Frage, wie sehr das Internet im Jahre 2014 nun tatsächlich zur Zielscheibe von Angriffen wurde.
    LanguageDeutsch
    Publisherentwickler.press
    Release dateMar 2, 2015
    ISBN9783868025378
    Websecurity: Jahresrückblick

    Read more from Carsten Eilers

    Related to Websecurity

    Titles in the series (100)

    View More
    View More

    Related ebooks

    Security For You

    View More
    View More

    Related podcast episodes

    Related articles

    • Article

      Angriffstechnik

      Sep 1, 2021

      Angriffstechnik
      7 min read

    • Article

      Beglaubigt

      Sep 1, 2021

      Beglaubigt
      7 min read

    • Article

      Private Post

      Dec 1, 2021

      Private Post
      10 min read

    • Article

      Schlüsseldienst

      Jun 16, 2022

      Schlüsseldienst
      1 min read

    • Article

      Unsichtbar

      Jan 19, 2023

      Unsichtbar
      7 min read

    • Article

      Unsichtbar

      Jan 19, 2023

      Unsichtbar
      7 min read

    • Article

      Tunnelbauer

      Jan 19, 2023

      Tunnelbauer
      5 min read

    • Article

      Tunnelbauer

      Jan 19, 2023

      Tunnelbauer
      5 min read

    • Article

      Was Können VPNs Wirklich?

      Apr 1, 2021

      Was Können VPNs Wirklich?
      3 min read

    • Article

      Was Können VPNs Wirklich?

      Mar 11, 2021

      Was Können VPNs Wirklich?
      3 min read

    • Article

      Appetithappen

      Apr 7, 2021

      Appetithappen
      10 min read

    • Article

      Unleserlich

      Dec 1, 2021

      Unleserlich
      10 min read

    • Article

      Weggesperrt

      Jan 20, 2022

      Weggesperrt
      10 min read

    • Article

      Einfach Sicher

      Jan 20, 2022

      Einfach Sicher
      3 min read

    • Article

      Schlüsselfragen

      Dec 1, 2021

      Schlüsselfragen
      11 min read

    • Article

      Selbst Ist Der Admin

      Apr 21, 2021

      Selbst Ist Der Admin
      7 min read

    • Article

      Wenig Wahl, viel Qual

      Jan 19, 2023

      Wenig Wahl, viel Qual
      11 min read

    • Article

      Geheimsache

      Oct 20, 2022

      Geheimsache
      13 min read

    • Article

      Wenig Wahl, viel Qual

      Jan 19, 2023

      Wenig Wahl, viel Qual
      11 min read

    • Article

      Sichere Brücke

      Jan 19, 2023

      Sichere Brücke
      6 min read

    • Article

      Mit SICHERHEIT in die Arbeitswelt VON MORGEN

      Jul 10, 2020

      „Anti-Virus ist tot“. Diese Aussage aus der Führungsriege des Anti-Virus-Herstellers Norton hat schon 2014 für Aufsehen gesorgt. Bevor die Anti-Virus-Software auf dem PC nun aber deinstalliert wird, sollte die Aussage im Kontext betrachtet werden. Kl

      3 min read

    • Article

      Sichere Brücke

      Jan 19, 2023

      Sichere Brücke
      6 min read

    • Article

      Integration Ausbauen

      Oct 6, 2021

      Integration Ausbauen
      9 min read

    • Article

      Simple Server

      Mar 17, 2021

      Simple Server
      5 min read

    • Article

      Wachposten

      Mar 3, 2022

      Wachposten
      6 min read

    • Article

      Verschlusssache

      Oct 19, 2023

      Verschlusssache
      6 min read

    • Article

      Tunnelblick

      Mar 17, 2022

      Tunnelblick
      14 min read

    • Article

      Sicherer Draht

      Aug 4, 2021

      Sicherer Draht
      6 min read

    • Article

      Sicherer Draht

      Aug 4, 2021

      Sicherer Draht
      6 min read

    Related categories

    Reviews for Websecurity

    0 ratings

    0 ratings0 reviews

    What did you think?

    Tap to rate

    Review must be at least 10 words

      Book preview

      Websecurity - Carsten Eilers

      GmbH

      1 Angriffe in OpenSSL und SSL/TLS

      Noch nie war es mit der Sicherheit im Internet so schlecht bestellt wie 2014. Jedenfalls gewinnt man diesen Eindruck, wenn man die ganzen Vorfälle im vergangenen Jahr betrachtet. Inzwischen gibt es sogar eine Website, die laufend die Frage „Is The Internet On Fire?" beantwortet [1]. Ganz vorne mit dabei: OpenSSL und SSL/TLS allgemein. Wir blicken zurück.

      Zwar steht nicht das ganze Internet in Flammen, aber es kokelt doch an etlichen Ecken. Leider mal wieder an vorderster Front involviert: SSL/TLS. Dass das dafür verwendete Zertifizierungssystem eher einem brennenden Kartenhaus als der nötigen stabilen Festung gleicht, mussten wir ja schon 2011/2012 zur Kenntnis nehmen [2]. 2014 waren erneut die Protokolle selbst sowie ihre Implementierungen die Quelle des Übels. Los ging es mit OpenSSL und ganz viel Herzblut.

      Der Heartbleed-Bug in OpenSSL

      Am 7. April 2014 wurde von OpenSSL ein Security Advisory [3] zu einer neu behobenen Schwachstelle mit der CVE-ID CVE-2014-0160 [4] veröffentlicht, die folgendermaßen beschrieben wurde: A missing bounds check in the handling of the TLS heartbeat extension can be used to reveal up to 64k of memory to a connected client or server.

      Eine parallel veröffentlichte Website [5] einiger Entdecker des Sicherheitsrisikos machte dann schnell deutlich, dass die Schwachstelle das Potenzial hat, zu einem großen Problem zu werden. Nebenbei bekam die Entdeckung im Gegensatz zu den meisten anderen sogar einen eigenen Namen: Heartbleed-Bug.

      Der Heartbleed-Bug basiert auf einer fehlenden Bereichsprüfung in der Heartbeat-Funktion. Ein Angreifer kann darüber einen „buffer over-read auslösen. Als Antwort auf einen präparierten Heartbeat-Request sendet OpenSSL bis zu 64 KB Speicherinhalte an den Angreifer. Dieser Speicher kann unter anderen den privaten Schlüssel des Servers, Sessionschlüssel oder über TLS übertragene Zugangsdaten enthalten. Der Angriff kann ggf. wiederholt werden, um weitere Speicherbereiche auszulesen. Das ist schlimm, sehr schlimm. Oder wie Bruce Schneier es formuliert hat, eine Katastrophe [5]: „‘Catastrophic’ is the right word. On the scale of 1 to 10, this is an 11.

      Wie funktioniert der Angriff?

      Die „Transport Layer Security (TLS) and Datagram Transport Layer Security (DTLS) Heartbeat Exten­sion [6] dient dazu, eine Verbindung aufrechtzuerhalten, obwohl keine Daten übertragen werden („keep-alive). Heartbeat-Nachrichten bestehen aus zufälligen Daten und einem Feld mit der Payload-Länge. Der Kommunikationspartner muss auf einen Heartbeat-Request mit genau den gleichen Daten antworten.

      Der Heartbleed-Bug besteht darin, dass die Payload-Länge nicht geprüft wird, bevor sie verwendet wird. OpenSSL reserviert entsprechend dem Wert im Längenfeld einen Puffer. Danach werden die Daten entsprechend diesem Wert aus der Eingabe in den Puffer kopiert. Gibt ein Angreifer eine größere Länge als Payload-Länge an, als die von ihm gesendete Payload tatsächlich umfasst, werden die hinter der Payload liegenden Speicherbereiche in den Puffer kopiert.

      Wird zum Beispiel die Payload-Länge mit 64 KB angegeben (das ist der Maximalwert), obwohl nur 1 KB Payload gesendet wird, werden also 63 KB des vorhandenen Speichers in den Puffer kopiert – samt der zuvor darin enthaltenen und nicht überschriebenen, möglicherweise sensitiven, Daten. Nach dem Kopieren der Daten wird der gefüllte Puffer als Antwort auf den Heartbeat-Request an den Kommunikationspartner gesendet.

      Der Angriff funktioniert sowohl gegen Server als auch gegen Clients, ist gegen Server aber deutlich einfacher, da der Angreifer von sich aus eine Verbindung zum Opfer aufnehmen kann. Beim Angriff auf einen Client muss der sich dafür mit einem bösartigen Server verbinden. Was im Zweifelsfall mit etwas Social Engineering oder

      Enjoying the preview?
      Page 1 of 1