Ny alarm: OpenSSL bløder igen

Krypteringsprotokollen OpenSLL er under pres igen. Efter den katastrofale Heartbleed-sårbarhed er der fundet nye huller i OpenSLL-protokollen.

Annonce:
Annonce:
Så er den gal igen i krypteringsprotokollen OpenSLL, efter sikkerhedsmiseren Heartbleed tilbage i april.

Flere sårbarheder er blevet identificeret i forskellige versioner af OpenSLL, som nu har udsendt advarsler om blandt andet risici for man-in-the-middle-angreb, hvis både servere og klienter er inficerede af sårbarhederne.

Sikkerhedsselskabet CSIS Security Group fortæller i en informationsmail, at sårbarhederne ikke er i Heartbleed-klassen, men skal tages alvorligt under alle omstændigheder.

"Den formidlende omstændighed ved denne sårbarhed, som gør et angreb mindre sandsynligt end Heartbleed, er at både klient og server skal være sårbare på samme tid. Et bredspekteret angreb som Heartbleed er ikke isoleret set muligt," skriver CSIS i sin informationsmail.

Samtidig understreger sikkerhedsselskabet, at eksempelvis offentlige access points (AP) er oplagte mål for angreb.

"Man kan simulere at være et AP og dermed opsnappe kommunikation, som på trods af at være krypteret, kan eksponere brugernavne og passwords samt andet sensitivt data," lyder advarslen fra CSIS Security Group.

Sådan opstår problemerne
Problemerne med OpenSSL opstår, når det skal skabes forbindelse mellem server og klienter.

"SSL/TLS sessions initeres med et "ClientHello" og "ServerHello" handshake på begge sider. Disse indeholder forskellige data som er nødvendige for at oprette den krypterede, sikrede forbindelse og inkluderer blandt andet protokol version, encryption protokoler, encryption nøgler, Message Authentication Code (MAC) secret og Initializaton Vectors (IV)," beskriver CSIS.

Sikkerhedsselskabet forklarer, at ved at gøre brug af ChangeCipherSpec (CCS) er det muligt at ændre attributer, hvorved der opstår risiko for man-in-the-middle-angreb, da "ChangeCipherSpec"-standarden ikke overholdes.

"Sårbarheden kan således udnyttes ved at etablere et falsk AP og vente på en bruger anvender det. Dernæst vente på, at en ny TLS forbindelse oprettes efterfulgt af et ClientHello/ServerHello handshake.

Herefter kan der udstedes en CCS-pakke, som sendes i begge retninger, der får OpenSSL til at udstede en 0-længe premaster secret key," lyder forklaringen fra CSIS.

"Samtlige sessioner i den åbne OpenSSL session vil være påvirket af denne 0-længe master secret nøgle, hvilket gør at man kan genforhandle handshaket og dekryptere alt indhold og endda modificere pakker i transsit over linjen," fortsætter sikkerhedsselskabet sin forklaring i sin informationsmail.

Sårbarheden er blevet lappet, og CSIS anbefaler, at man følger anvisningerne på OPenSLL's hjemmeside, som du kan finde her.

Læs også:
Heartbleed-hackere har været forbi Danmark


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Targit A/S
Udvikling og salg af software til business intelligence.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Få succes med sourcing

Sourcing er en af de vigtigste strategiske discipliner i moderne it-drift. Uanset om du overvejer at in- eller outsource og hvad enten det er globalt eller lokalt, så kræver det viden og styr på aftaler og kontrakter. Læs mere

Whilborgs Konferencecenter - 2750 Ballerup



Datasikkerhed

Aldrig tidligere har det været mere afgørende, at vores it-systemer og data er sikre, for aldrig tidligere har vi været så afhængige af data. Og aldrig tidligere har vores data og systemer været så udsatte med så mange indgangsveje og muligheder for at blive ramt: Cloud, mobilbrug, BYOD samt virksomhedernes ofte meget fragmenterede it-infrastruktur med mange forskellige applikationer på kryds og tværs har givet mange nye kanaler ind til virksomhedernes netværk og systemer. Læs mere

Comwell Hotel Aarhus - 8000 Aarhus



Softwaretest

Kvalitetssikring af software kræver test. Som disciplin er softwaretest i rivende udvikling. Hvad der for få år siden kun var forbeholdt få store it-afdelinger er i dag godt på vej til at blive standard. For når informationsteknologien bliver afgørende for forretningen og driften af virksomheden, så er det nødvendigt at teste alle nye softwarekomponenter og nyudviklinger. Modenhed, testprocesser og lignende kommer i fokus. Læs mere

Wihlborgs Konferencecenter - 2750 Ballerup







Computerworld
Sommeren bliver varm for danske film-pirater: Nu ruller retssagerne
Knap et år efter de første opkrævningsbreve for ulovlig fildeling blev sendt ud er antipirat advokaterne Opus Law på vej i retten.
CIO
"Over halvdelen af mine ledere i it-afdelingen er folk uden en it-baggrund"
Morten Gade landede et af Danmarks største it-projekter til tiden og uden skandaler. Hør ham fortælle om ledelse, tillid, kontraktstrukturer, og hvorfor hans it-ledere ofte ikke har en it-baggrund.
Comon
Test af 10-kernet entusiastprocessor: i7-6950X er et monster uden lige
Det her er den vildeste processor til entusiastiske forbrugere, men har du egentlig brug for så meget brutal kraft?
Channelworld
27 offentligt ansatte sigtet i stor razzia: Mistænkes for at have modtaget it-bestikkelse
Bagmandspolitiet har i stor aktion anholdt 26 it-folk for bestikkelse i forbindelse med den store bestikkelsessag i Region Sjælland. Udenrigsministeriet, DSB og Rigsadvokaten er blandt de ramte.
White paper
Støt produktiviteten med virtuelt samarbejde
Virtuelle samarbejdsløsninger kan være med til at øge produktivitet og samarbejde internt i virksomheden og eksternt med kunder og samarbejdspartnere. Bliv klogere på collaboration i dette White paper, skrevet af Computerworld.