Am 15.10.2014 wurde eine Schwachstelle in der veralteten Secure Socket Layer
(SSL) Version 3 bekannt, über die unter dem Namen POODLE (Padding Oracle On
Downgraded Legacy Encryption) berichtet wird. Angreifer können diese
Schwachstelle nutzen, um an vertrauliche Daten zu gelangen oder Daten während
der Übertragung zu manipulieren.
Grundsätzlich ist nicht nur HTTPS sondern jeder Netzwerkdienst, der durch eine
SSL-Verschlüsselung geschützt wird, potenziell verwundbar. Weitergehende
Informationen zur Schwachstelle und wie der Angriff funktioniert finden Sie
unter [1] und [2].
Da die Schwachstelle sich im SSL-Protokoll selbst und nicht in einer
Implementierung davon befindet, ist die einzige Möglichkeit, sich zu schützen,
die Unterstützung für SSL 3.0 in Clients und Servern abzuschalten. Danach ist
kaum mit Beeinträchtigungen zu rechnen, weil nahezu alle Systeme das
Nachfolge-Protokoll (TLS, durch POODLE nicht verwundbar) unterstützen.
Für Client Systeme ergreifen Sie bitte schnellst möglich die vom BSI unter [3]
beschriebenen Maßnahmen und deaktivieren damit die Nutzung von SSL3.0 in den
installierten Browsern. Bei zentral administrierten Systemen hat der
IT-Dienstleister die Maßnahme durchzuführen, z.B. in Windows-Domänen durch
Vergabe einer GPO.
Für Server-Systeme, insbesondere diejenigen, die über eine Freischaltung in der
zentralen Firewall verfügen, ist SSL 3.0 in den Servern zu deaktivieren, vgl.
[4].
Anmelden
Team - Mitglieder
Mitgliedersuche
