Risiko für HTTPS, SSH und VPN
Logjam-Lücke gefährdet verschlüsselte Verbindungen
Eine Schwachstelle im Schlüsselaustauschverfahren Diffie-Hellman macht verschlüsselte Verbindungen angreifbar und gefährdet HTTPS-, SSH- und VPN-Verbindungen.
Sicherheitsexperten haben ein Leck in den Verschlüsselungsalgorithmen entdeckt, die für viele sichere Verbindungen im Internet genutzt werden. Dieses wurde »Logjam« getauft und ermöglicht Angreifern Man-in-the-Middle-Attacken unter anderem auf HTTPS, SSH und VPNs. Mit ausreichend Ressourcen könne die Verschlüsselung gebrochen und der verschlüsselte Datenverkehr mitgelesen werden, schreibt Trend Micro in seinem Weblog.
Dem Sicherheitsanbieter zufolge ist Logjam mit der Freak-Lücke vergleichbar, die Ende März entdeckt wurde. Beide haben als Ursache, dass die US-Regierung lange die Ausfuhr starker Verschlüsselungssysteme beschränkte und viele Systeme daher die Schlüssellängen reduzieren konnten. Durch die Schwachstellen lässt sich die Kommunikation jedoch so manipulieren, dass auch heute noch die kürzeren Schlüssel genutzt werden. Früher war es unmöglich, diese Verbindungen zu knacken, doch dank der weitaus höheren Rechenleistung aktueller Computer ist das heute anders.
Viele der Berechnungen konnten die Forscher vorab durchführen, sodass das eigentliche Knacken der Verbindung anschließend ziemlich schnell ging – sie brauchten nur 90 Sekunden für einen Man-in-the-Middle-Angriff auf Algorithmen mit 512 Bit-Schlüsseln. Andere Schwachstellen könnten sogar Verbindungen mit 768 oder 1024 Bit gefährden, heißt es bei Trend Micro.
Die eigentliche Schwachstelle liegt im Diffie-Hellman-Verfahren für den Schlüsselaustausch. Betroffen ist daher jedes Protokoll, das diesen verwendet. Zudem müsste sich ein Angreifer natürlich in die Verbindung einklinken können und über ausreichend große Rechenressourcen verfügen.
Die Sicherheitsexperten schätzen, dass etwa 8,4 Prozent der eine Million wichtigsten Websites angreifbar sind und ebenso viele Mail-Server mit verschlüsselten POP3- und IMAP-Verbindungen. Die großen Browser-Anbieter haben bereits Patches veröffentlicht oder zumindest in Aussicht gestellt. Server-Betreiber sollten sicherstellen, dass die Export-Verschlüsselung deaktiviert ist. Zudem wirde empfohlen, Diffie-Hellman-Gruppen mit 2048 Bit einzurichten, um den Aufwand zum Knacken von Verbindungen massiv zu erhöhen.
Lesen Sie mehr zum Thema
