Die Drown-Attacke ermöglicht es Angreifern, die verschlüsselten Verbindungen etlicher Server zu knacken. Schuld ist ein Protokoll, das eigentlich längst vergessen ist: SSLv2.
Posts Tagged: ssl
Im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik haben zwei Firmen den Zufallsgenerator der OpenSSL-Bibliothek unter die Lupe genommen. Außerdem wurde die Absicherung gegen bekannte Angriffe auf SSL/TLS-Angriffe abgefragt.
Eine Schwachstelle in der nicht vollständig implementierten Roaming-Funktion von OpenSSH kompromittiert die privaten Schlüssel der Serverbenutzer.
Eine unfertige Option, die bei OpenSSH seit 2010 standardmäßig aktiviert ist, führt dazu, dass gekaperte Server die geheimen Schlüssel der sich verbindenden Nutzer auslesen können. Updates, welche die Lücke schließen, stehen bereit.
Einige Sicherheits-Appliances, die Man-in-the-Middle-Analysen durchführen, kommen nicht damit klar, dass Firefox ab dem 1. Januar SHA-1-Zertifikate ablehnt. Darum hat Mozilla SHA-1 fürs erste wieder für akzeptabel erklärt.
HTTPS-Webseiten wecken Vertrauen. Doch auch Online-Gauner können sich oft über Umwege vertrauenswürdige Zertifikate ausstellen. Nun haben Kriminelle das erste Let’s-Encrypt-Zertifikat genutzt, um Vertrauenswürdigkeit vorzugaukeln.
Let’s Encrypt erstellt vermeintlich Zertifikate für Domains, über die Malware verteilt wird. Das zumindest behauptet ein Anti-Viren-Hersteller, der gleichzeitig eine konkurrierende Zertifizierungsstelle ist. Das beschriebene Problem scheint jedoch ganz andere Hintergründe zu haben. (Let’s Encrypt, Virus)
Neue Angriffe gegen TLS: Krypto-Forscher präsentieren mit Sloth mehrere Schwächen in TLS-Implementierungen und im Protokoll selbst. Am kritischsten ist ein Angriff auf Client-Authentifizierungen mit RSA und MD5. (Verschlüsselung, Technologie)
Mit kostenlosen digitalen Zertifikaten will das Open-Source-Projekt “Let’s Encrypt” den Datenverkehr im Web sicherer machen.
Ab Anfang nächsten Jahres wird Google Chrome keine neu ausgestellten SHA-1-signierten SSL-Zertifikate von öffentlichen CAs mehr akzeptieren. SHA-1 gilt seit zehn Jahren als unsicher, wird aber immer noch von HTTPS-Sites verwendet.