Kommentar zu Amazons TLS-Variante

Amazon s2n ist das bessere TLS

| Autor / Redakteur: Tod Beardsley* / Peter Schmitz

Mit s2n (Signal to Noise) will Amazon seine AWS-Infrastruktur besser absichern. Das auf GitHub gehostete Open Source Projekt will eine schlankere und damit leichter zu pflegende TLS-Library im Gegensatz zur Implementierung in OpenSSL schaffen.
Mit s2n (Signal to Noise) will Amazon seine AWS-Infrastruktur besser absichern. Das auf GitHub gehostete Open Source Projekt will eine schlankere und damit leichter zu pflegende TLS-Library im Gegensatz zur Implementierung in OpenSSL schaffen. (Bild: VBM)

Seit Heartbleed ist klar, dass der Code von OpenSSL kaum mehr sinnvoll zu pflegen ist. Immer mehr Projekte versprechen eine abgespeckte, leichter pflegbare Version von SSL/TLS. Mit s2n von Amazon kommt jetzt eine neue Variante, die OpenSSL nicht ersetzen will, sondern nur eine neue TLS-Implementierung liefert.

Amazons Ankündigung zu s2n („Signal to Noise“) ist eine ziemlich aufregende Neuigkeit. Es ist fast immer eine gute Sache, wenn ein großes Internetunternehmen wie Amazon bei der Verbesserung zentraler Internettechnologie wie Transport Layer Security (TLS) nach dem Open-Source-Prinzip vorgeht. Nach Heartbleed sahen wir ähnliches von Google mit dem Release von BoringSSL, sowie OpenBSDs LibreSSL. Alle diese Projekte versprechen eine abgespeckte Version von SSL/TLS, mit einem Auge darauf, überflüssigen Programmcode zu entfernen, der zu Schwachstellen und seltsamen Code-Pfaden in OpenSSL führt.

Das bemerkenswerteste Feature von s2n ist, dass es über nur 6.000 Zeilen Code verfügt, was manuelle Code-Audits sehr viel einfacher macht. Es ist nicht zu erwarten, dass diese extrem kleine Basis bleibt, da – in ihrer jetzigen Form – keine integrierte Unterstützung für wichtige Funktionen wie Zertifikats-Parsing enthalten ist. Es handelt sich also um eine kleine Code-Basis, die bis zum breit gestreuten Produktionseinsatz noch von weiteren Projekten abhängig sein wird. Es scheint jedoch eine gute Idee zu sein, die TLS-Funktionalität von der allgemeineren Kryptographie-Funktionalität zu trennen, so dass Bugs und Features dort bearbeitet und isoliert getestet werden können.

s2n ist auf GitHub gehostet, derzeit der Ort schlechthin für die Zusammenarbeit an Open-Source-Projekten. Dank GitHub profitieren neben Amazon auch die Community und andere Unternehmen, die einen Mehrwert in s2n sehen. Schließlich kann Amazon ein anerkannt gutes, ausgereiftes Programm zum Handling von Sicherheitslücken vorweisen. Amazon nimmt zwar noch nicht an Bug Bountys teil, ist aber auf jeden Fall erfahren, wenn es um die Zusammenarbeit mit Forschern auf eine kooperative, konfrontationsfreie Weise geht, wenn Sicherheitsprobleme in AWS oder anderen Amazon-Bereichen auftauchen.

Fraglich ist, warum s2n noch einige ältere Protokolle wie SSLv3 unterstützen soll, auch wenn dies standardmäßig deaktiviert ist. Dies ist eine seltsame Entscheidung, wenn man bedenkt, das SSLv3 jetzt völlig veraltet ist und nicht als sicher gilt. Im Vergleich dazu deaktiviert BoringSSL SSLv3 auch standardmäßig und LibreSSL wird die Unterstützung bald völlig streichen.

Auch das angepriesene Konzept „zweier getrennter Zufallszahlengeneratoren“, um Werte für „öffentliche“ und „private“ Operationen zu setzen, ist nicht zu Ende gedacht. Wenn ein Zufallszahlengenerator sicher genug ist, werden nicht zwei davon benötigt. Ein Grundprinzip der Kryptographie ist, dass eine Reihe von sicher generierten Zahlen keine Hinweise darauf liefern sollte, welche Zahlen danach folgen. Die Implementierung von zwei Zufallszahlengeneratoren könnte also zukünftig für Probleme sorgen.

Alles in allem ist es erfreulich zu sehen, dass wir aus Heartbleed und ähnlichen Fiaskos unsere Lehren ziehen. OpenSSL ist ein erstaunliches Stück Technologie, das von Freiwilligen geschrieben und von Philanthropie finanziert wird. Es ist zudem ein wesentlicher Grund, warum wir Arbeitsplätze im Internet haben und online einkaufen können. Es ist jedoch an der Zeit, eine ernsthafte Investition in Sachen Kryptografie zu tätigen. Damit ist es als positiv zu werten, dass sich Amazon hier einer Führungsrolle annimmt.

* Tod Beardsley ist Security Engineering Manager bei Rapid7

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43499023 / Protokolle und Standards)