Was ist so gefährlich an Heartbleed? Eine Attacke auf die fehlerbehaftete Verschlüsselungssoftware SSL, die zur Verschlüsselung der Kommunikationen zwischen Clients und Servern verwendet wird, zielt darauf, den geheimen Schlüssel im Server auszulesen. Bei einem öffentlichen Community-Test am vergangenen Wochenende ist das mehrfach gelungen.
Dabei ist die Sicherheitslücke selbst nicht gefährlicher als alle anderen Sicherheitslücken von Software. Das besondere an Heartbleed ist nur, dass die Anzahl der betroffenen Benutzer besonders hoch ist. Warum?
SSL wird unter anderem zur Verschlüsselung der Kommunikation zwischen Webservern und Browsern verwendet. Jeder kennt dieses „https“, wie es z.B. beim Online-Banking zwingend verwendet wird. Das „s“ hinter dem „http“ steht für „secure“, also sicher.
Die Kommunikation zwischen dem Browser eines Benutzers und dem Webserver wird mit Hilfe von SSL (Secure Sockets Layer) verschlüsselt und ist „normalerweise“ durch fremde „Dritte“ nicht lesbar. Wie ich schon hier ausgeführt habe, ist eine Verschlüsselung dann sicher, wenn die Schlüssellänge lang genug ist und wenn der geheime Schlüssel auch geheim bleibt.
Durch Heartbleed kann nun der geheime Schlüssel (der auf dem Webserver liegt) durch Fremde ausgelesen werden und ist deshalb nicht mehr geheim. Also ist die Kommunikation zwischen Browser und Server auch nicht mehr sicher, denn mit Hilfe des Schlüssels kann sie entziffert werden. Also können können auch Passwörter, PIN-Nummern, Bank- und Kreditkartendaten, etc. von Fremden gelesen und genutzt werden, die „normalerweise“ sicher übertragen werden.
Dieses Problem betrifft Millionen, wenn nicht Milliarden Menschen. Das ist macht Heartbleed so gefährlich…
Apr 132014