"Heartbleed"-Sicherheitslücke: NSA dementiert Ausnutzen
Schon nach Auftauchen des Problems war spekuliert worden, die NSA könnte ihre Finger im Spiel gehabt haben. Seit Monaten ist bekannt, dass der US-Geheimdienst die Verschlüsselung im Internet massiv ins Visier genommen hatte. Die NSA forschte aktiv nach Fehlern und versuchte auch, Schwachstellen einzuschleusen und Verschlüsselungs-Algorithmen aufzuweichen. Wenn der Geheimdienst eine Lücke von diesem Ausmaß gekannt und nichts gegen unternommen hätte, würde er damit Hunderte Millionen Nutzer schutzlos gegen mögliche Angriffe von Online-Kriminellen dastehen lassen.
Bloomberg hatte berichtete, das Ausnutzen der Schwachstelle habe zum Standard-Werkzeugkasten der NSA gehört. Bei Nachfragen vor Veröffentlichung des Berichts habe der Geheimdienst einen Kommentar zu der Information noch abgelehnt, schrieb die Nachrichtenagentur.
OpenSSL: Einer der Baukästen des Sicherheitsprotokolls
OpenSSL ist ein sogenanntes Open-Source-Projekt, bei dem jeder den Software-Code einsehen und weiterentwickeln kann. Die Programmierer arbeiten unentgeltlich daran. Die Änderungen werden dokumentiert, damit konnte auch der Verantwortliche schnell ausfindig gemacht werden.
Die SSL-Verschlüsselung wird von einer Vielzahl von Webseiten, E-Mail-Diensten und Chat-Programmen genutzt. OpenSSL ist einer der Baukästen des Sicherheitsprotokolls. Die Schwachstelle findet sich in einer Funktion, die im Hintergrund läuft. Sie schickt bei einer verschlüsselten Verbindung regelmäßig Daten hin und her, um sicherzugehen, dass beide Seiten noch online sind. Da der deutsche Programmierer eine sogenannte Längenprüfung vergessen hatte, konnten bei eigentlich harmlosen Verbindungsabfragen zusätzliche Informationen aus dem Speicher abgerufen werden. Die Funktion heißt "Heartbeat", Herzschlag. Die Schwachstelle wurde in Anlehnung daran "Heartbleed" genannt.
Erst kürzlich wurden 18 Millionen von Passwörtern geknackt, möglicherweise ist der Bug eine von vielen Erklärungen dafür. In unserem Editorial zu dem großen Passwortklau erhalten Sie eine Einschätzung zu der Sicherheitslücke sowie, warum der BSI nur wenig dagegen unternehmen kann. Über eine spezielle Webseite des BSI [Link entfernt] kann die eigene E-Mail-Adresse überprüft werden. Wer von der Sicherheitslücke betroffen ist, sollte unbedingt die Passwörter ändern.