Definition Heartbleed Was ist Heartbleed?

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Heartbleed ist der Name einer schwerwiegenden, im Jahr 2014 entdeckten Sicherheitslücke in der von vielen Webservern verwendeten Open-Source-Bibliothek OpenSSL. Durch einen Programmierfehler in der Verarbeitung von Heartbeat-Nachrichten verschlüsselter TLS-Verbindungen lassen sich unbefugt Speicherinhalte wie Benutzernamen oder Passwörter von Servern und Clients auslesen. Die Sicherheitslücke war von 2012 bis 2014 vorhanden und wurde mit der OpenSSL-Version 1.0.1g im April 2014 geschlossen.

Heartbleed ist die Bezeichnung einer schwerwiegenden Sicherheitslücke in der Open-Source-Bibliothek OpenSSL. Die Sicherheitslücke war in den OpenSSL-Versionen 1.0.1 bis 1.0.1f ab 2012 vorhanden und wurde im Jahr 2014 von Sicherheitsexperten entdeckt. Sie wurde mit der OpenSSL-Version 1.0.1g geschlossen. Aufgrund der hohen Verbreitung von OpenSSL waren weltweit viele Webseiten, Online-Dienste, Anwendungen und Geräte wie Router oder Smartphones von der Schwachstelle betroffen. Nach Schätzungen waren beispielsweise bis zu circa zwei Drittel aller Webseiten weltweit für die Heartbleed-Sicherheitslücke anfällig. Damit zählt Heartbleed zu den schwerwiegendsten bis heute entdeckten Sicherheitslücken im Internet.

Ein Jahr nach Heartbleed

Viele Server immer noch verwundbar

Noch heute existieren Systeme, bei denen der Fehler nicht behoben wurden. Durch einen Programmierfehler in der Verarbeitung von Heartbeat-Nachrichten verschlüsselter TLS-Verbindungen lassen sich auf den betroffenen Systemen unbemerkt Speicherinhalte auslesen. Dadurch ist es Angreifern möglich, unbefugt an Informationen wie Benutzernamen, Passwörter, private Schlüssel oder andere sensible Daten zu gelangen.

Technische Details zur Sicherheitslücke

Die Heartbleed-Schwachstelle wurde durch einen Programmierfehler im Programmcode von OpenSSL verursacht. Im Detail ist der Fehler in der Verarbeitung von Heartbeat-Nachrichten zu finden. Heartbeat-Nachrichten werden bei verschlüsselten TLS-Verbindungen ausgetauscht, um die Verbindung zwischen Client und Server aufrechtzuerhalten. Heartbeat-Requests haben eine Payload definierter Länge mit Zufallsdaten, die die Gegenstelle mit den gleichen Zufallsdaten unverändert beantworten muss. Die Programmierer haben es aber versäumt, die ebenfalls übermittelte Längenangabe dieser Zufallsdaten und die tatsächlich versendete Payload-Länge zu prüfen. Sendet eine Seite (Client oder Server) eine Heartbeat-Nachricht mit weniger Payload-Daten als in der Längenangabe angegeben, beantwortet die Gegenseite diese Nachricht mit der vollen Payload-Länge an Daten und füllt die fehlenden Daten mit zufälligen Daten aus dem aktiven Arbeitsspeicher auf. Mit einer einzigen Heartbeat-Nachricht lassen sich bis zu 64 KB des Arbeitsspeichers unbefugt auslesen. Der Angriff ist beliebig oft hintereinander ausführbar, um immer mehr Speicher der Gegenstelle auszulesen. Die übermittelten Daten können unbrauchbare Zeichenreihen, aber auch Informationen wie Benutzernamen, Passwörter oder private Schlüssel und andere sensible Informationen enthalten.

Mögliche Folgen von Heartbleed

Das unbefugte Auslesen von Daten mithilfe manipulierter Heartbeat-Nachrichten hinterlässt kaum Spuren und kann schwerwiegende Folgen haben. In welchem Umfang die fast zwei Jahre unentdeckt gebliebene Sicherheitslücke ausgenutzt wurde, ist nicht bekannt. Es ist aber davon auszugehen, dass große Mengen sensibler Daten unbemerkt abgefragt wurden. Zu diesen Daten zählen beispielsweise:

• Zugangsdaten wie Benutzernamen und Passwörter

• private Schlüssel von Serverzertifikaten

• Session-Cookies

Mit den erbeuteten Informationen können Angreifer sich unbefugt Zugang zu Systemen verschaffen, verschlüsselten Verkehr entschlüsseln oder Man-in-the-Middle-Angriffe ausführen. Als Maßnahmen zum Schutz vor Heartbleed wird empfohlen, bis April 2014 verwendete Passwörter zu ändern, Serverzertifikate zu ersetzen und natürlich die neueste OpenSSL-Version zu verwenden.

(ID:48257464)