IT-Sicherheit: Massenepidemie fehlerhafter SSL-Umsetzungen

Die Verwendung von Secure Socket Layer (SSL) oder dem Nachfolger TLS kann viele über das Internet stattfindende Transaktionen absichern. Dabei müssen jedoch gewisse Standards bei der Handhabung eingehalten werden. Genau daran hapert es nach Untersuchungen des IT-Sicherheitsexperten Rodney Thayer sogar bei großen Unternehmen und Regierungsbehörden: Viele dieser "Big Players" verwenden für ihre Websites fehlerhafte Zertifikate, die Angriffe begünstigen.

"Krankenhäuser, Banken und sogar Geheimdienste" gehören laut Thayer, der für das IT-Sicherheitsunternehmen Canola & Jones in der Forschung tätig ist, zu den Firmen, die es mit der SSL-Implementierung nicht so genau nehmen. Diese Fehler aufzudecken gelang dem Sicherheitsexperten schon mit Hilfe einer denkbar simplen Methode: Er "verbrachte eineinhalb Tage damit, verwundbare Seiten ausfindig zu machen, wozu er nichts anderes benutzte als eine Handvoll Suchanfragen bei Google". Nicht weniger als 31 Websites landeten dabei auf seiner Liste, darunter die der CIA, der NASA, der Weltbank und einiger Großunternehmen wie Intuit, Google, Mercedes Benz und Adobe.

Zu den von Thayer aufgedeckten Fehlern gehören zahlreiche abgelaufene Zertifikate, falsch konfigurierte Zertifikate oder die Benutzung veralteter und als unsicher bekannten Versionen von SSL oder den verwendeten Verschlüsselungsalgorithmen. In einigen Fällen könnte es sogar sein, dass die betreffenden Unternehmen oder Behörden mit ihrer fehlerhaften Sicherheitstechnologie gegen Vorschriften verstoßen haben.

Bei den US-amerikanischen Behörden scheint sich das Thema "mangelnde IT-Sicherheit" so langsam zum Dauerbrenner zu entwickeln. Insbesondere die NASA erntete diesbezüglich jüngst heftige Kritik, als Beschwerden ehemaliger Angestellter über angeblich katastrophale Sicherheitsstandards bei der Weltraumbehörde und Informationen über angeblich von Russland und China ausgehende Einbrüche und Datendiebstähle ins NASA-Netz an die Öffentlichkeit drangen (gulli:news berichtete). (Annika Kremer)

(via The Register, thx)

News Redaktion am Dienstag, 16.12.2008 00:29 Uhr

tags Tags: google ssl sicherheitslücke cia nasa intuit mercedes benz weltbank adobe

Weitere interessante News

4 Reaktionen zu dieser Nachricht

am 18.12.2008 19:16:05

nope link ist ftusch ...
_020200 am 16.12.2008 23:27:24

Link repariert. ...
Kinimod92 am 16.12.2008 21:20:59

Die Datei oder die Seite www.gulli.com/news/it-sicherheit-massenepidemie-2008-12-15 ist nicht vorhanden Link kaputt;) ...
am 16.12.2008 21:19:55

mh.. ...
gullinews am 15.12.2008 23:57:40

Die Verwendung von Secure Socket Layer (SSL) oder dem Nachfolger TLS kann viele über das Internet stattfindende Transaktionen absichern. Dabei müssen jedoch gewisse Standards bei der Handhabung eingehalten werden. Genau daran hapert es nach Untersuchungen des IT-Sicherheitsexperten Rodney Thaye ...

weitere Kommentare lesen Nachricht kommentieren

News [Interviews]

ACTA: Viel Geschrei um nichts? Jurist Jens Ferner im Interview

Lars Sobiraj am 04.02.2012, 11:32 Uhr

Während Die Linke zur Teilnahme an einem europaweiten Aktionstag gegen ACTA aufruft und Justizministerin Leutheusser-Schnarrenberger die Kritik am internationalen Handelsabkommen zurückweist, führte der Jurist Jens Ferner eine ausführliche Analyse jedes einzelnen Artikels durch. Wir fragten ihn, wie gefährlich ACTA tatsächlich ist. In welchem Rahmen bedroht dieses Abkommen unser aller Freiheit?

mehr mehr lesen...

News [Kurioses]

Überwachung mal anders: Polizist in Zivil jagte sich 20 Minuten selbst

Lars Sobiraj am 09.02.2012, 11:40 Uhr

In der südenglischen Grafschaft Sussex ereignete sich letzten Monat ein Fauxpas der besonderen Art. Statt einen Einbrecher zu fassen, jagte ein Polizist mit Hilfe von Kameras für etwa 20 Minuten sich selbst. Sein Kollege an den Monitoren hatte ihn nicht erkannt und fand sein Verhalten sehr auffällig. Der beobachtete Mann habe auf heißen Kohlen gesessen, weswegen er dringend tatverdächtig sei.

mehr mehr lesen...

Browsergames