Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

OpenSSL Sicherheitslücke Heartbleed: Schlüssel eines TLS-Servers auslesen

Mitglied: Frank

Frank (Level 5) - Jetzt verbinden

08.04.2014, aktualisiert 11:30 Uhr, 3234 Aufrufe, 5 Kommentare, 7 Danke

Eine neue gefährliche OpenSSL-Sicherheitslücke wurde bekannt. Die mit dem Namen "Heartbleed" entdeckte Sicherheitslücke ermöglicht das Auslesen des privaten Schlüssel eines TLS-Servers. Jeder Server, auf dem OpenSSL installiert ist, sollte von einem Administrator dringend überprüft werden!

Korrigierte Pakete für Ubuntu, Debian und Fedora sind bereits verfügbar. Die CVE dazu lautet: CVE-2014-0160

Hier findet ihr einen Online-Check für HTTPS Seiten: http://possible.lv/tools/hb/
Hier findet ihr weitere Informationen zu "Heartbleed" : http://heartbleed.com/

Gruß
Frank

Mitglied: AndiEoh
08.04.2014, aktualisiert um 12:33 Uhr
Zusätzlich sollten alle Server die mit den betroffenen OpenSSL Versionen betrieben wurden neue Private Keys/Zertifikate erhalten, da ein Auslesen des Private Key bereits erfolgt sein kann, ohne das Spuren hinterlassen wurden

Was für ein Desaster!

Gruß

Andi
Bitte warten ..
Mitglied: AndiEoh
08.04.2014 um 17:25 Uhr
Noch ein Punkt der beachtet werden sollte:

Die auf betroffenen Systemen eingesetzten Zertifikate sollten nicht nur entfernt sondern bei der zuständigen CA widerrufen werden. Ansonsten ist es auch später noch möglich das ein MitM Angriff mit dem geleakten Key und dem öffentlich verfügbaren Zertifikat durchgeführt wird, ohne das der Client eine Möglichkeit hat den Betrug zu bemerken. Falls der Client keine OCSP oder CRL Prüfung durchführt hilft das dann allerdings auch nicht mehr...

Es wird wohl endlich Zeit für DANE (http://en.wikipedia.org/wiki/DNS-based_Authentication_of_Named_Entities)

Gruß

Andi
Bitte warten ..
Mitglied: C.R.S.
08.04.2014, aktualisiert um 20:46 Uhr
Wer lieber offline testet: https://gist.github.com/takeshixx/10107280
Bitte warten ..
Mitglied: sk-it83
09.04.2014 um 14:42 Uhr
Hier ein etwas umfangreicherer Check:

https://www.ssllabs.com/ssltest/

Ergebis für meine owncloud Installation A-
Bitte warten ..
Mitglied: aqui
10.04.2014 um 15:15 Uhr
Wie im anderen Post schon geschrieben sind wir hier sauber...

root@raspi:/home/pi# python hb-test.py www.administrator.de
Connecting...
Sending Client Hello...
Waiting for Server Hello...
... received message: type = 22, ver = 0302, length = 58
... received message: type = 22, ver = 0302, length = 3242
... received message: type = 22, ver = 0302, length = 4
Sending heartbeat request...
Unexpected EOF receiving record header - server closed connection
No heartbeat response received, server likely not vulnerable

und
root@raspi:/home/pi# ./check-ssl.pl www.administrator.de:https
...ssl received type=22 ver=0x302 ht=0x2 size=54
...ssl received type=22 ver=0x302 ht=0xb size=3238
...ssl received type=22 ver=0x302 ht=0xe size=0
...send heartbeat#1
no reply - probably not vulnerable


Die entsprechenden Python und Perl Scripte zum Test gibt es frei zum Download.
Bitte warten ..
Ähnliche Inhalte
Humor (lol)
Heartbleed in Homeland
Tipp von C.R.S.Humor (lol)

Die neue Staffel Homeland bedient sich nicht nur inhaltlich an IT-Themen der letzten zwei Jahren: An den Movie-Dauergast nmap ...

Windows Systemdateien

Registry-Schlüssel per Batch auslesen und in Datei schreiben

gelöst Frage von PhilzipWindows Systemdateien9 Kommentare

Hallo zusammen, ich habe mir vorhin einen Befehl gebastelt, der die Installierte Version von NET Framework auslesen und in ...

Sicherheit

TLS-Zertifikat und privater Schlüssel von Microsofts Dynamics 365 geleakt

Information von Penny.CilinSicherheit

Microsoft hat versehentlich das TLS-Zertifikat inklusive dem privaten Schlüssel seiner Business-Anwendung Dynamics 365 geleakt. TLS-Zertifikat und privater Schlüssel von ...

Verschlüsselung & Zertifikate

Angabe Zertifikatstyp in OpenSSL

Frage von supernickyVerschlüsselung & Zertifikate1 Kommentar

Hallo, ich habe mir mit OpenSSL eine CA aufgebaut und damit Zertifikate zum signieren und verschlüsseln von Email erstellt, ...

Neue Wissensbeiträge
Erkennung und -Abwehr

VPNFilter Maleware - Großes Botnetz auf NAS und Routern in 54 Ländern aufgedeckt

Information von Frank vor 9 MinutenErkennung und -Abwehr

Nach Angaben von Cisco und der Sicherheitsfirma Talos wurde ein sehr großes Botnet auf Routern und NAS-System entdeckt. Die ...

Windows Server

Scheduled Task zum Log - Löschen direkt aus der SCOM Console

Tipp von Juanito vor 7 StundenWindows Server

SCOM Agent Task - Create Log Deletion Job Einleitung: Viele Applikationen und Dienste die auf Servern laufen erstellen Log ...

Humor (lol)

Ratgeber: Die wichtigsten Fragen und Antworten zur neuen Datenschutz-Grundverordnung (DSGVO)

Information von BassFishFox vor 7 StundenHumor (lol)2 Kommentare

Hier bleiben keine Fragen offen. ;-)

Humor (lol)
Wieder mal DSGVO
Information von brammer vor 19 StundenHumor (lol)2 Kommentare

Mal was zum Lachen: Der Countdown zur Datenschutz-Grundverordnung läuft. Ab 25. Mai sollte man folgende Regeln beachten: Visitenkarten nur ...

Heiß diskutierte Inhalte
HTML
Link nicht vollständig
Frage von jensgebkenHTML33 Kommentare

Hallo Gemeinschaft, ich erstelle mit Word einen Serienbrief, den ich per Mail versende. Nun mein Problem der Wordserienbrief holt ...

Datenschutz
E-Mail Verschlüsselung DSGVO 2018
Frage von SoccerdeluxDatenschutz28 Kommentare

Hallo zusammen, ich verzweifele langsam und wende mich an euch und hoffe vielleicht ein paar Antworten zu finden. Ich ...

Rechtliche Fragen
DISKUSSION: Was bringt der Disclaimer "Wenn Sie nicht der Empfänger sind."
Frage von N8DragonRechtliche Fragen23 Kommentare

So oder ähnlich, lese ich immer wieder Kleingedrucktes am Ende diverser Mails. Letzten Endes wollen sie mir alle sagen, ...

Server-Hardware
HPE DL 360e GEN8 - P420 - Lüfter drehen auf nach Festplattenwechsel
Frage von maniacmacpainServer-Hardware20 Kommentare

Hallo, ich kenne den Effekt, dass man bei der GEN8 von HP ein Array eingerichtet haben muss, damit die ...