Hackangriffe auf HTTPS
Wissenschaftler zeigt Sicherheitslücken in TLS-Protokollen
Auf der Black Hat 2014 zeigte Antoine Delignat-Lavaud verschiedene Hackerangriffe, die Sicherheitsprobleme in Verschlüsselungsprotokollen offenbaren.
Auf der Konferenz zur Informationssicherheit "Black Hat 2014 " präsentierte der Forscher Delignat-Lavaud Lösungen zu teilweise bereits bekannten Sicherheitslücken in TPS-Protokollen. Er gehört einer Forschungsgruppe, der sogenannten "Prosecco", an, die am französischen Institut zur Forschung in Computer Science und Automation (INRIA) unter anderem Defizite in den Sicherheitsvorkehrungen von Diensten wie Facebook, Dropbox, LinkedIN, Bing Twitter, Papal und sogar der NSA ermitteln und Lösungen vorschlagen.
TPS-Protokolle, die unter dem Namen SSL-Verschlüsselung bekannter sein dürften, chiffrieren die Datenübertragung vor allem sensibler Dateien im Internet. Doch diese können gehackt werden. Anhand zweier exemplarischer Angriffe in Verbindung mit TPS-Protokollen zeit Delignat-Lavaud neue Lösungsstrategien gegen Hackerangriffe auf.
Zuerst wurde der Hackangriff "Cookie Clutter" vorgeführt. Über die gezielte Aussendung eines Cookie-Doppelgängers kann der Hacker erreichen, dass der Nutzer auf eine vom Hacker kontrollierte Seite weitergeleitet wird. Obwohl die meisten Browser bereits Gegenmaßnahmen ergriffen haben, hat Delignat-Lavaud eine weitere nur Sekunden dauernde Lücke gefunden. Sein Lösungsvorschlag: Entgegen der gängigen Praxis ("Be liberals in what you accept, be conservative in what you send") sollten man Eingaben nicht mehr so großzügig akzeptieren. Es wäre seiner Meinung nach besser, bei fehlerhaften oder unvollständigen Daten besser einen Fehler auszugeben.
Zu einem ähnlichen Schluss kommt er auch beim zweiten Hacker-Experiment, der "Virtual Host Confusion". Delignat-Lavaud schaffte es, unter einem unbekannten Hostnamen Accounts anderer User zu übernehmen. Während der Angriff bei Dropbox durchgeführt wurde, könnte man diese Sicherheitslücke aber auch bei anderen Content-Delivery-Netzwerken wie Akamai ausnutzen. Das ist besonders verheerend, denn Akamai versorgt Websites wie LinkedIn, Twitter, Paypal, Bing, Apple, und sogar die NSA mit Zertifikaten. Weiterhin könnte eine abgeänderte Variante des Hackings auch auf Googles Sicherheitsprotokoll SPDY übertragen werden.
Die Probleme in den Sicherheitsprotokollen und in den Sicherheitsvorkehrungen würden längst keine Neuheiten sein. Laut Delignat-Lavaud würde dies offenbaren, dass Sicherheitsprobleme bisher eher mit einer laxen Praxis behandelt wurden. Es ist wohl erwartbar, dass weitere Hacker-Angriffe dieser Art folgen werden, solange die Lücken nicht geschlossen werden, so vermutet golem.de.
Weiter zur Startseite
