Sicherheitsforscher stehlen Schlüssel via Heartbleed
Am Freitag hat CloudFlare die Theorie geäußert, dass es nahezu unmöglich sei, Private Keys über die Heartbleed-Lücke in OpenSSL zu stehlen. Daraufhin startete es einen Wettbewerb und rief die Sicherheitsgemeinschaft auf, den Schlüssel eines präprierten, für Heartbleed anfälligen Systems zu stehlen. Kurz darauf meldeten die Forscher Fedor Indutny und Illkka Mattila ihren erfolgreichen Diebstahl.
Der Programmcode der Funktion Heartbeat beinhaltet die Heartbleed-Lücke. Dabei schicken sich ein Client und ein Server zufällige Daten zu, um so ihre Verbindung mit Transport Layer Security (TLS) zu bestätigen. Das Problem besteht darin, dass ein Angreifer die Paketgröße größer angeben kann als es tatsächlich der Fall ist. Anschließend füllt der Server das Paket mit Daten aus seinem Speicher auf, bevor er es zurückschickt. Dabei erfolgt keine Prüfung der Größe.
Ein bestimmter Speicherbereich kann mit Heartbleed aber nicht zielgerichtet ausgelesen werden. Indutny benötigte daher 2,5 Millionen Heartbeat-Anfragen, die er einen Tag lang durchführte, um den Schlüssel zu entwenden. Nach nur 100.000 Versuchen war Mattila erfolgreich. Kurze Zeit später vermeldeten auch die Forscher Rubin Xu und Ben Murphy ihren geglückten Diebstahl.
CloudFlare hatte den Server mit nginx und einer anfälligen OpenSSL-Version aufgesetzt. Während des Testlaufs hat das Unternehmen nach eigenen Angaben den Server einmal zurückgesetzt, das könnte den Schlüsseldiebstahl erleichtert haben. Denn für die Zurücksetzung musste der Schlüssel frisch in den Speicher geladen werden. Das Unternehmen überlässt es nun den erfolgreichen Angreifern, ihre Methoden zu erklären.
Bereits am 8. April erklärte Google-Security-Mitarbeiter Neel Mehta – einer der Entdecker von Heartbleed – in einem Tweet, dass es recht unwahrscheinlich sei, einen Private Key über Heartbleed zu erlangen. Dieser ist allerdings Voraussetzung, damit sich ein Angreifer gegenüber Dritten als der jeweilige Server ausgeben kann.
[mit Material von Florian Kalenda, ZDNet.de]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.