Frage zum "Heartbleed" Bug
3 
molily
0 2 0 0 
Auge
0
1 
Matthias Apsel
Frage zum "Heartbleed" Bug
Geschätzte Experten,
Jetzt. Muss. Jeder. Jedes. Passwort. Ändern! behauptet die FAZ.
Frage 1: Stimmt das auch für Foren/Wikipedia-Accounts?
Frage 2 (interessiert mich besonders): Wie mach ich das, logge ich mich mit meinem alten Passwort ein, ändere es/lasse mir ein neues per Mail (via SSL, ha-ha) zuschicken? Wenn sich da jemand schon reingehackt hat, kann der das nicht mitlesen?
Frage 3: ich selbst verwende das Internet nicht zum bezahlen, was empfehle ich Bekannten, die das tun? Passwort wie unter 2 ändern?
Gruß, Ernst
-
Hallo,
Frage 1: Stimmt das auch für Foren/Wikipedia-Accounts?
Wenn sie TLS verwenden und verwundbar waren: Ja.
Passwörter, die unverschlüsselt übertragen werden (wie in diesem Forum), können einfach mitgeschnitten werden. Wobei sie zumindest nicht so einfach von Remote mittels Heartbleed ausgelesen werden können, da TLS fehlte.
Für die Wikipedia: Ja, solltest du tun.
Wie mach ich das, logge ich mich mit meinem alten Passwort ein, ändere es/lasse mir ein neues per Mail (via SSL, ha-ha) zuschicken?
Idealerweise:
1. Der Serverbetreiber sorgt dafür, dass OpenSSL aktualisiert und das System sauber ist, also keine Schadsoftware läuft.
2. Der Serverbetreiber ändert den Secret Key bzw. aktiviert PFS und installiert ein neues Zertifikat.
3. Du besuchst die Seite mit HTTPS. Die Verbindung ist verschlüsselt. Angenommen die vorherigen Schritte waren erfolgreich, ist die Verbindung nun sicher (d.h. so sicher wie vor Heartbleed).
4. Du loggst dich mit deinem alten Passwort ein und änderst auf der Website dein Passwort. Die üblichen Formulare erfordern dazu das alte Passwort und die zweimalige Eingabe eines neuen sicheren Passworts.E-Mail hat damit nichts zu tun. E-Mail ist in nahezu allen Fällen unverschlüsselt. Eine E-Mail wird höchstens zwischen einigen Mailservern verschlüsselt übertragen, aber der unverschlüsselte Inhalt ist einsehbar. Wie eine Postkarte, die mal sicherer (plombierter Container), mal unsicherer (Zusteller) zu einem gelangt.
Wenn sich da jemand schon reingehackt hat, kann der das nicht mitlesen?
Wenn der Server kompromittiert worden ist, ja. Dann sitzt der Angreifer an der Quelle und interessiert sich nicht mehr für einzelne Passwörter.
Frage 3: ich selbst verwende das Internet nicht zum bezahlen, was empfehle ich Bekannten, die das tun? Passwort wie unter 2 ändern?
Nachdem der Provider OpenSSL, Schlüssel und Zertifikate aktualisiert hat: Einloggen und Passwort ändern.
Kein sicherer Service verschickt Passwörter per E-Mail. Höchstens einmal verwendbare Token zum Zurücksetzen des Passworts.
Mathias
-
Danke für diese ausführliche Antwort!
Habe meine Passwörter geändert.
Nachdem der Provider OpenSSL, Schlüssel und Zertifikate aktualisiert hat: Einloggen und Passwort ändern.
Hier ist eine Liste mit Betreibern, die das bereits gemacht/noch nicht gemacht haben.
Viele Grüße, Ernst
-
Moin!
Passwörter, die unverschlüsselt übertragen werden (wie in diesem Forum), können einfach mitgeschnitten werden. Wobei sie zumindest nicht so einfach von Remote mittels Heartbleed ausgelesen werden können, da TLS fehlte.
Sie können EINFACHER mitgeschnitten werden, da keinerlei Verschlüsselung zu überwinden ist.
- Der Serverbetreiber sorgt dafür, dass OpenSSL aktualisiert und das System sauber ist, also keine Schadsoftware läuft.
- Der Serverbetreiber ändert den Secret Key bzw. aktiviert PFS und installiert ein neues Zertifikat.
- Du besuchst die Seite mit HTTPS. Die Verbindung ist verschlüsselt. Angenommen die vorherigen Schritte waren erfolgreich, ist die Verbindung nun sicher (d.h. so sicher wie vor Heartbleed).
- Du loggst dich mit deinem alten Passwort ein und änderst auf der Website dein Passwort. Die üblichen Formulare erfordern dazu das alte Passwort und die zweimalige Eingabe eines neuen sicheren Passworts.
Das bedeutet insbesondere, dass das Passwortändern noch nichts bringt, solange der Server nicht repariert ist.
E-Mail hat damit nichts zu tun. E-Mail ist in nahezu allen Fällen unverschlüsselt. Eine E-Mail wird höchstens zwischen einigen Mailservern verschlüsselt übertragen, aber der unverschlüsselte Inhalt ist einsehbar. Wie eine Postkarte, die mal sicherer (plombierter Container), mal unsicherer (Zusteller) zu einem gelangt.
EMail-Zugänge sind in der Regel TLS-gesichert. Auch hier kommt OpenSSL zum Einsatz. OpenSSL kann die besagte Lücke aufweisen. Folglich sind die Passworte zum Authentifizieren gegenüber dem Mailserver genauso betroffen.
Dass Mails an sich kaum geschützt übertragen werden, ist natürlich richtig.
- Sven Rautenberg
-
Hello Sven,
ich habe ein paar Hosts "in Betreuung" bekommen, die ich auf die SSL-Lücke prüfen sollte.
für die Hosts, die unter Ubuntu laufen, gab es schon ein Update.
Die unter Debian sind angeblich noch nicht betroffen gewesen. OpenSSl 0.9.80 erscheint mit aber sehr alt. Das macht mich jetzt stutzig.
Aber eine weitere Frage bleibt noch. Es wurden ja insbesondere für die Mailzugänge Server-Zertifikate vergeben. Die sind dann doch auch betroffen, oder? Wo finde ich die jeweils?
Und die SSL-Keys? Die muss man dann doch sicher auch händisch löschen?
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
Hallo
Die unter Debian sind angeblich noch nicht betroffen gewesen. OpenSSl 0.9.80 erscheint mit aber sehr alt. Das macht mich jetzt stutzig.
Laut Heise (dritter Absatz (beginnend mit „In erster Linie betroffen …“)) sind nur die Versionen 1.0.1 bis 1.0.1f von der Lücke betroffen.
Tschö, Auge
--
Verschiedene Glocken läuteten in der Stadt, und jede von ihnen vertrat eine ganz persönliche Meinung darüber, wann es Mitternacht war.
Terry Pratchett, "Wachen! Wachen!"
ie:{ fl:| br:> va:) ls:[ fo:) rl:( ss:| de:> js:| zu:}
Veranstaltungsdatenbank Vdb 0.3-
Hello Auge,
Die unter Debian sind angeblich noch nicht betroffen gewesen. OpenSSl 0.9.80 erscheint mir aber sehr alt. Das macht mich jetzt stutzig.
Laut Heise (dritter Absatz (beginnend mit „In erster Linie betroffen …“)) sind nur die Versionen 1.0.1 bis 1.0.1f von der Lücke betroffen.
Ja, danke. Da steht das sogar explizit, dass die 0.9.8 von _diesem_ Bug nicht betroffen ist. Aber ich habe schon fleißig gelesen und habe für die Version andere Warnungen gefunden, die aber wohl nicht so gravierend sind.
Debian hat zwar einige distributuons-interne Patches dazu veröffentlicht, ich finde nur leider keine Infos darüber, ob die "kleinen Probleme" damit erledigt waren.
Bleibt jetzt noch die Frage nach den Zertifikaten und den RSA-Keys. Ich hoffe, dass es reicht, wenn ich alle lösche, die ich finden kann. Dann müssten sie bei Kontaktaufnahme neu angelegt werden, oder?
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
-
Moin!
für die Hosts, die unter Ubuntu laufen, gab es schon ein Update.
Die unter Debian sind angeblich noch nicht betroffen gewesen. OpenSSl 0.9.80 erscheint mit aber sehr alt. Das macht mich jetzt stutzig.
0.9.80 ist so alt, das will man vermutlich wegen der fehlenden Features der modernen TLS-Versionen (1.1, 1.2) nicht mehr verwenden. TLS 1.0 ist zwar nett, aber auch nicht mehr.
Wenn du ohnehin dabei bist, den ganzen Kram mal zu aktualisieren, solltest du dir beliebige TLS- oder SSL-Checker-Seiten googlen und gucken, was die am derzeitigen Zustand zu meckern haben. Und das dann fixen.
Aber eine weitere Frage bleibt noch. Es wurden ja insbesondere für die Mailzugänge Server-Zertifikate vergeben. Die sind dann doch auch betroffen, oder? Wo finde ich die jeweils?
Im Mailserver vermutlich.
Und die SSL-Keys? Die muss man dann doch sicher auch händisch löschen?
SSL-Keys? Du meinst die Zertifikate auf dem Server? Du musst neue Zertifikate generieren. Und ggf. auch signieren lassen, wenn du das mit den alten auch getan hast.
- Sven Rautenberg
-
Hello Sven,
0.9.80 ist so alt, das will man vermutlich wegen der fehlenden Features der modernen TLS-Versionen (1.1, 1.2) nicht mehr verwenden. TLS 1.0 ist zwar nett, aber auch nicht mehr.
Die bieten auch nix neues dafür an.
Da muss vermutlich erst die Server-Version von (6.0) Squeeze auf Wheezy (7) hochgezogen werden, bevor was Neues angeboten wird. Jetzt weiß ich nicht, was ich mir dann damit einfange, ob die aktuelle Wheezy schon die reparierte OpenSSL-Version enthält?Wenn du ohnehin dabei bist, den ganzen Kram mal zu aktualisieren, solltest du dir beliebige TLS- oder SSL-Checker-Seiten googlen und gucken, was die am derzeitigen Zustand zu meckern haben. Und das dann fixen.
Das Schlimme ist, ich hab's "geerbt" von den Vorgängern und keine Unterlagen dazu bekommen. Die haben aber immer nur mittles apt/aptitude gearbeitet, also keine Seitenlinien angefangen.
SSL-Keys? Du meinst die Zertifikate auf dem Server? Du musst neue Zertifikate generieren.
Aber gelten die alten nicht leider noch weiter?
Das gleiche Problem hat man ja auch immer, wenn man User in der passwd "stillegen" muss. Wenn der User dann noch einen pesönlichen RSA-Key hat, sen man übersieht, ist er trotzdem noch im System.
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
SSL-Keys? Du meinst die Zertifikate auf dem Server? Du musst neue Zertifikate generieren.
Aber gelten die alten nicht leider noch weiter?Falls du ein von einer CA signiertes Zertifikat hast, kannst du das bei denen für ungültig erklären. Das kommt dann auf die Certificate Revocation List (CRL).
\0
-
Hello,
SSL-Keys? Du meinst die Zertifikate auf dem Server? Du musst neue Zertifikate generieren.
Aber gelten die alten nicht leider noch weiter?Falls du ein von einer CA signiertes Zertifikat hast, kannst du das bei denen für ungültig erklären. Das kommt dann auf die Certificate Revocation List (CRL).
Ach Du liebe Sch....
Daran habe ich noch gar nicht gedacht. Der eine Host benutzt das. Das kostet aber bestimmt wieder Extrakohle, oder? Da muss ich erst den Eigentümer befragen, ob er das überhaupt verlängern will.
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
SSL-Keys? Du meinst die Zertifikate auf dem Server? Du musst neue Zertifikate generieren.
Aber gelten die alten nicht leider noch weiter?
Falls du ein von einer CA signiertes Zertifikat hast, kannst du das bei denen für ungültig erklären. Das kommt dann auf die Certificate Revocation List (CRL).
Der eine Host benutzt das.Hängen da Nutzer dran, die dem Zertifikat ihr Vertrauen schenken und somit anfällig für MITM-Attacken wären?
Das kostet aber bestimmt wieder Extrakohle, oder?
Das kommt auf den Anbieter an; StartSSL vergibt zum Beispiel kostenlos Zertifikate, lässt sich aber für deren Widerruf bezahlen.
\0
-
-
-
-
-
-
-
Om nah hoo pez nyeetz, Ernst!
Die Ubernauten haben alles wichtige (auch konkret für ihre Server) zusammengefasst.
Matthias
