Frage von Electroman, 53

Was sind die Schwachstellen des HTTPS?

ich recherchiere gerade über die wichtigsten Internet Protokolle und würde gerne wissen welche Schwachstellen das Protokoll https hat.

Danke im Voraus(bitte keine Wikipedia links)

Antwort
von franzhartwig, 7

Ein weites Feld ...

Zunächst einmal geht es um SSL und TLS. HTTPS ist HTTP über SSL oder TLS. SSL gibt es bis zur Version 3, alle Versionen gelten inzwischen als unsicher und sollten vermieden werden. TLS gibt es in den Versionen 1.0, 1.1 und 1.2. Die Versionen 1.1 und 1.2 gelten derzeit als sicher.

Bevor wir TLS auseinander pflücken muss man unterscheiden zwischen Schwachstellen des Protokolls selbst (hier geht es im Prinzip um Designfehler im Protokoll), Fehler in der Implementierung (Heart Bleed als Beispiel für eine Implementierungsfehler in der Bibliothek OpenSSL wurde schon erwähnt) oder aber in Fehlern anderer verwendeter Protokolle/Algorithmen.

TLS selbst verwendet für die Verschlüsselung, Authentisierung von Peers und Daten sowie zur Schlüsselaushandlung wohlbekannte Protokolle und Algorithmen: AES, RC4; MD5, SHA1, SHA2; RSA, DH in verschiedenen Varianten. Der Verschlüsselungsalgorithmus RC4 gilt inzwischen auch als unsicher. "State of the Art" ist AES. MD5 als Hashwertalgorithmus ist ebenfalls unsicher, SHA1 ist deutlich angezählt bis unsicher, heute sollte man SHA2 verwenden.

Du siehst: Du musst nach diversen Protokollen schauen.

TLS selbst hat mindestens eine große Designschwache: Es wird erst ein Hashwert für die Sicherstellung der Datenintegrität berechnet, dann wird verschlüsselt. Der Empfänger muss also erst die Daten relativ aufwändig entschlüsseln, danach stellt er ggf. anhand des Hashwertes fest, dass das Paket kaputt ist. Umgekehrt wäre besser, so arbeitet z.B. SSH oder IPSec.

Diverse Designfehlers in unterschiedlichen TLS-Versionen führten zu diverses Angriffen wie Poodle, Beast und Lucky13.

Dazu kommt noch, dass sich bei SSL und TLS mindestens die Server per Zertifikat ausweisen. Das gesamte Zertifikatssystem (PKI) hat Schwächen. Es steht und fällt mit der sorgfältigen Arbeitsweise der Zertifizierungsstellen. Da hat es in der Vergangenheit diverse "Pannen" gegeben. Die größte "Panne" hat zur Abwicklung der Zertifizierungsstelle Diginotar aus den Niederlanden geführt.

Mal auf die Schnelle ein paar Links zum Weiterlesen:

https://codeinsecurity.wordpress.com/2013/04/05/quick-crypto-lesson-why-mac-then...

https://en.wikipedia.org/wiki/Transport_Layer_Security#Security

http://www.guntiahoster.de/blog/2011/allgemein/beast-attack-ssl-jederzeit-angrei...

https://blog.qualys.com/ssllabs/2013/09/10/is-beast-still-a-threat

(Weit entfernt von Vollständigkeit.)

Antwort
von TeeTier, 13

HTTPS ist ja einfach nur HTTP über TLS getunnelt und HTTP an sich ist absolut unsicher, wenn man das überhaupt so nennen kann. :)

"Relativ" sicher wird das ganze durch den TLS-Wrapper, wenn man nicht gerade die Implementierung verhunzt. (wie in letzter Zeit gefühlt wöchentlich bei OpenSSL ... die armen Entwickler dort ... auf denen wird immer rumgehackt ... hahaha, "rumgehackt" ... alles klar? ... "rumgeHACKT" ... was ich doch für ein Scherzkeks bin) :)

Aber ein großes und sogar realistisches Problem, sind die sog. Seitenkanal-Angriffe. Das betrifft dann leider nicht nur TLS, sondern auch viele andere Verschlüsselungen. Verhältnismäßig aufwändig, aber ein verdammt spannendes Thema!

Lies dir zu den oben genannten Begrifflichkeiten einfach mal die entspr. Wikipedia-Artikel durch, um einen Überblick zu bekommen.

Viel Spaß! :)

Antwort
von AnonYmus19941, 30

http://heise.de/-2843203

Der Teil, den du gratis lesen kannst, wird dir vermutlich schon reichen, danach kommen noch ein paar Beispiele und wie man es verhindert. Wenn dich das auch interessiert, kostet es 1,49 €.

Antwort
von demdennis, 29

ich glaube es gab mal das  "Heart bleed" porblem, wo bei OpenSSL (httpS) durch Anfragen ein befehl auf dem Server des Anbieters ausgeführt werden kann.

https://de.wikipedia.org/wiki/Heartbleed (sry :3 )

Kommentar von AnonYmus19941 ,
Kommentar von franzhartwig ,

Heart Bleed ist keine Schwachstelle eines Protokolls. Heart Bleed ist eine Schwachstelle der Implementierung von OpenSSL.

Keine passende Antwort gefunden?

Fragen Sie die Community

Weitere Fragen mit Antworten