- Die Ergebnisse
- Was sagen Experten?
- Was kannst du tun?
Wenn Sie der Meinung sind, dass Ihre Daten sicher sind, denken Sie erneut darüber nach. Laut akademischen Studien wurde festgestellt, dass Hacker aufgrund der TLS 1.3-Sicherheitslücke nun auf einen gesicherten Kanal zugreifen und Daten für böswillige Absichten sammeln können.
Das Forschungspapier wurde von der Tel Aviv University, der University of Adelaide und der University of Michigan sowie dem Weizmann Institute veröffentlicht. Darüber hinaus haben die NCC Group und Data61 ähnliche Ergebnisse erzielt.
Die Ergebnisse
Die Attacke ist eine modifizierte Version der eigentlichen Bleichenbacher-Orakelattacke, die in der Vergangenheit eine RSA-verschlüsselte Nachricht mithilfe der Public-Key-Kryptographie entschlüsseln konnte.
Diese neue Welle versucht jedoch, gegen TLS 1.3 vorzugehen, der neuesten Version unter den TLS-Protokollen. Die Behörden hielten es für sicher, aber anscheinend nicht, und das ist alarmierend!
Da TLS 1.3 keinen RSA-Schlüsselaustausch unterstützt, hielten die Forscher es für am besten, mit der Downgrade-Version, dh TLS 1.2, fortzufahren, um den Angriff zu bewerten.
Infolgedessen werden Herabstufungsreduzierungen wie eine Server- und eine Zwei-Client-Seite durchgeführt, die den Herabstufungsangriff umgehen. Daraus folgt, dass bei größeren RSA-Schlüsseln diese Angriffe hätten verhindert werden können und sich auch das Zeitlimit für den Handshake verkürzt hätte.
Es wurden neun verschiedene TLS-Implementierungen untersucht. OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL und GnuTLS, von denen BearSSL und Googles BoringSSL sicher waren. Alle anderen blieben verwundbar.
Was sagen Experten?
In Bezug auf die Anzahl der Angriffe glaubt Broderick Perelli-Harris, Senior Director bei Venafi, dass sie seit 1988 unter Variationen von Bleichenbacher aufgetaucht sind. Daher ist es nicht verwunderlich, dass TLS 1.3 ebenfalls anfällig ist.
Jake Moore, Cybersicherheitsspezialist bei ESET UK, ist der Ansicht, dass der Angriff kryptografischer Art nicht der erste und nicht der letzte seiner Art ist. Er ist auch der Meinung, dass es dem Spiel Whac-A-Mole ähnelt - jedes Mal, wenn ein Sicherheitsupdate angewendet wird, erscheint ein neues.
Was kannst du tun?
Alles in allem liegt der Fehler im ursprünglichen Aufbau des TLS-Verschlüsselungsprotokolls. Aber für den Moment ist das Patchen aufgrund der Gestaltung des Protokolls der einzige Weg nach vorne.
Was können Sie tun, um sich in der Zwischenzeit zu schützen? Verwenden Sie die Zwei-Faktor-Authentifizierung (2FA), halten Sie Ihre Software auf dem neuesten Stand, z. B. Anti-Malware / Antivirus, setzen Sie sicherere Kennwörter und einen anständigen VPN-Dienst wie Ivacy.
