OpenSSL Bug Im April 2014 wurde bekannt, dass die Versionen 1.0.1 bis einschließlich 1.0.1f, als auch 1.0.2-beta – 1.0.2-beta1 vom sogenannten „Heartbleed-Bug“ betroffen sind. In erster Linie betroffen sind jetzt alle Betreiber von Servern, die SSL zur Verschlüsselung einsetzen. Die Version OpenSSL 1.0.1g enthält den Fehler nicht mehr. Aufgrund eines Zugriffs auf uninitialisierten Speicher kann ein Angreifer dabei bis zu 64 KByte des Hauptspeichers der Gegenstelle auslesen. Den Entwicklern gelang es bei Tests, damit u. a. den privaten Schlüssel des Serverzertifikats, Benutzernamen und Passwörter auszulesen.Das Abgreifen dieser Daten hinterlässt kaum Spuren auf dem angegriffenen System, daher ist nicht sicher, ob der Fehler in der Vergangenheit bereits ausgenutzt wurde, es gibt jedoch Hinweise auf einen Missbrauch im November 2013. Abgesehen von möglicherwiese abgegriffenen Zugangsdaten wie Benutzernamen und Passwörter kann mit dem privaten Schlüssel des Serverzertifikats ein, auch lange vor dem Bekanntwerden des Fehlers, aufgezeichneter Datenverkehr nachträglich entschlüsselt werden, sofern die Verschlüsselung nicht mit Perfect Forward Secrecy geschützt war. Außerdem können mit dem privaten Schlüssel des Serverzertifikats Man-in-the-middle-Angriffe durchgeführt werden, sofern das Serverzertifikat noch nicht abgelaufen oder widerrufen ist. Es sind alle Dienste betroffen, wie beispielsweise E-Mail-Verkehr /VPN / FTP Dienste oder verschlüsselte Chats, sofern eine betroffene OpenSSL-Version verwendet wurde. Das heißt auch Banken […]