Sicherheitslücke „Heartbleed“: Eine Backdoor ist keine Backdoor?

Nach dem Fehler in der Verschlüsselungssoftware OpenSSL spekulieren Experten, ob bewusst eine Hintertür geschaffen wurde. Etwa für Geheimdienste.

Das Logo von Heartbleed. Bild: dpa/heartbleed.com

BERLIN taz | Nach der Entdeckung der schweren Sicherheitslücke „Heartbleed“ hat der Programmierer des fehlerhaften Codes Spekulationen über eine mögliche Absicht hinter der Schwachstelle widersprochen. „Es war ein einfacher Programmierfehler in einem neuen Feature, der unglücklicherweise in einem sicherheitsrelevanten Bereich aufgetreten ist“, sagte er der australischen Zeitung Sydney Morning Herald.

Zuvor hatte es Spekulationen gegeben, dass die Lücke bewusst in die Software programmiert worden sein könnte. „Aus meiner Sicht riecht das wie eine Backdoor, es schmeckt wie eine Backdoor, es hat die Konsistenz einer Backdoor, und es sieht aus wie eine Backdoor“, schreibt etwa der IT-Sicherheitsexperte Felix von Leitner in seinem Blog. Der Programmierer des Codes hält dagegen, dass auch einem Prüfer der Fehler entgangen sei.

Die Sicherheitslücke in der Verschlüsselungssoftware OpenSSL gilt als eine der größten jemals entdeckten, zunächst sollen eine halbe Million Webseiten betroffen gewesen sein. Dazu gehörten unter anderem web.de, Flickr oder die Hypovereinsbank. Als „katastrophal“ bezeichnet etwa der Sicherheitsexperte Bruce Schneier die Lücke. „Auf einer Skala von 1 bis 10 ist es die 11.“ Er gehe aber davon aus, dass es sich bei dem Programmierfehler um ein Missgeschick gehandelt habe.

Eigentlich dient SSL dazu, dass Dritte, die zwischen dem heimischen Computer und etwa der Webseite einer Bank übermittelte Daten abfangen, nur unverständliche Zeichenketten zu sehen bekommen. Die Sicherheitslücke in der Software OpenSSL führt jedoch dazu, dass Angreifer an den Schlüssel herankommen können – und so die übermittelten Daten doch mitlesen können. Das können etwa Passwörter für das Login beim Email-Anbieter sein oder die PIN beim Online-Banking.

Lücke seit November genutzt

Hintergrund der Spekulationen über eine mögliche Absicht bei dem Fehler sind auch die Enthüllungen über Überwachungsmethoden von US-Geheimdiensten aus den vergangenen Monaten. So wurde beispielsweise bekannt, dass die NSA eine Sicherheitslücke in einen Zufallszahlengenerator einbaute – dessen generierte Zahlen damit nicht mehr ganz so zufällig waren. Zufallszahlen spielen eine zentrale Rolle bei Verschlüsselungsmechanismen.

Auch wenn die Lücke ein schlichter Programmierfehler war, ist es gut möglich, dass sie bereits ausgenutzt wurde: So wurde die Software-Version mit dem Fehler bereits im März 2012 veröffentlicht und wird seitdem eingesetzt. Zudem deuten laut der Electronic Frontier Foundation (EFF) Indizien darauf hin, dass die Lücke seit dem vergangenen November ausgenutzt wurde. Das dabei gezeigte Verhalten passe dabei eher zu Geheimdiensten als etwa zu Akteuren mit finanziellen Interessen, so die Einschätzung der Bürgerrechtsorganisation.

Sicherheitsxperten raten Nutzern nun, ihre Passwörter zu ändern. Vorher lohnt es sich jedoch zu überprüfen, ob die Betreiber des jeweiligen Dienstes schon ein Software-Update eingespielt und ein neues Verschlüsselungszertifikat installiert haben, so dass der Fehler behoben ist. Das geht beispielsweise unter filippo.io/Heartbleed.

Die Sicherheitslücke ist ein weiteres Argument für eine Technik namens Perfect Forward Secrecy. Sie verhindert, dass sich über Jahre aufgezeichneter verschlüsselter Datenverkehr nachträglich dechiffrieren lässt, wenn ein Angreifer an den Schlüssel gelangt. Doch auch in Deutschland wird sie nur zögerlich eingesetzt – so nutzt nur ein Teil der Banken überhaupt diese Möglichkeit.

Comments

[tazzy]

Im Artikel wird nur auf die Startseite des Blogs verlinkt, in ein paar Tagen findet so niemand den Eintrag, auf den sich der Artikel bezieht. Also hier der Direktlink zur Aussage von Fefe: http://blog.fefe.de/?ts=adba343f