Oh
man, da biste mal ne Woche krank und schon kommt die "ultimative
Netzkrise" daher. Der "Heartbleed Bug" beim "OpenSSL"
Verschlüsselungs-System. Erst einmal ein bisschen grundsätzliches dazu:
Mehr
als die Hälfte der Server auf der Welt verwenden OpenSSL: Banken, Online-Shops,
aber auch im Hintergrund ablaufende automatische Prozesse wie beispielsweise Software-Updates
uvam. werden über dieses System abgewickelt.
Der
aktuell aufgedeckte und weltweit verbreitete Fehler in OpenSSL führt dazu, das
von dritter Seite (aus dem Arbeitsspeicher der Server) auszugsweise
Informationen ausgelesen werden können - z.B. die Schlüssel zur Entschlüsselung
von Kommunikationsinhalten. Das Schlimme daran ist, wenn der Angreifer Schlüssel
des SSL Servers (oder Euren Schlüssel) hat kann er viele Dinge, unter anderem
auch Passwörter in Klartext lesen. Erlangt der Angreifer die
Sicherheitszertifikate kann er theoretisch eigene Schlüssel erstellen und sich
selbst beispielsweise als Banken- oder Softwareherstellerserver ausgeben - genau das Szenario sollte die
SSL-Verschlüsselung eigentlich komplett ausschließen. Neben vielen finanziellen
Manipulationsmöglichkeiten (z.B. beim Onlinebanking oder bei Amazon/ebay) könnte auch Schadsoftware unter "falscher
Flagge" auf Euren Rechnen landen. Ich will jetzt nicht weiter ausholen,
aber das war schon ein dickes Ding!
Bei
aller Panik ist allerdings anzumerken das die Hauptaktion (um diesen Fehler zu
reparieren) von Euren Serveradmins durchzuführen ist. Ihr (sofern Ihr keinen
Server betreibt) seid also nur in zweiter Linie betroffen und auch nur dann wenn
schon Daten abgegriffen wurden - später dazu mehr.
Nun
plötzlich schreit der Mainstream nach einer grundsätzlichen Änderung der Internet-Sicherheitsstandards,
ich meine zu unrecht. Das die NSA Heartbleed benutzt hat ist höchst wahrscheinlich, aber ich möchte jetzt überhaupt nicht darüber spekulieren ob dieser Bug eine
"Backdoor" oder ein einfacher Fehler ist. Das Geschrei allerdings über eine grundlegende
Änderung der Netzstruktur im punkto Sicherheit ist mir suspekt. Birgt doch eine umfassende Änderung der Standards Raum für neue (kaum einzuschätzende) Bugs, welche ein noch gößeres Sicherheitsrisiko darstellen könnten. Deshalb: "never change a running
system"! Merzt den Fehler aus und gut iss!!!
Die
Hauptarbeit um Heartbleed in seine Schranken zu weisen obliegt allen
Serverbetreibern, dessen Seiten Ihr besucht. Die meisten großen Internetseitenbetreiber
haben bereits reagiert und die OpenSSL-Lücke geschlossen. Sollten aber schon vorher
Daten abgegriffen worden sein, hilft auf Eurer Seite nur ein Passwortwechsel.
Die Bank oder andere wichtige Serverbetreiber sollten dann neue
Sicherheitszertifikate angelegt haben - Wirklich sicher sind nur die
Zertifikate, welche nach dem 08.04.14 erstellt wurden. Hier eine kleine Anleitung
um zu checken ob Eure wichtigsten Seiten schon "repariert" sind und
was Ihr sonst noch so tun könnt:
1. Bitte zum besseren Verständnis vorher folgendes
Video ansehen:
2. Checkt Eure wichtigsten Seiten mit
folgendem Onlinetool:
Einfach
die URL (z.B.: www.Sparkasse.de) in das Feld eingeben und auf "GO"
klicken.
Sollte
eine Eurer Lieblingsseiten noch nicht repariert worden sein - Bitte sofort
anmailen!!!
3. Lasst sämtliche Eurer Virenscanner
über Euer System laufen. Nachher noch bitte folgende zwei Scanner downloaden
und als Admin (installieren) ausführen, sowie durchlaufen lassen:
(Keine Sorge, die Programme wurden im Selbstversuch mehrfach von mir angewendet!!!)
(Keine Sorge, die Programme wurden im Selbstversuch mehrfach von mir angewendet!!!)
Bitte
alle Treffer markieren und löschen (prüft allerdings vorher ob die Programme
nicht wichtige "Hackertools" von Euch als Schadsoftware erkannt haben.
(Diese dann nicht markieren) Manchmal ist es notwendig vor der Ausführung der
Programme die eigene Schaderkennungssoftware nebst Firewall kurzfristig
auszuschalten.
4. Erneuert sämtliche Eurer Passwörter:
Von Eurer Bank über die E-Mailadesse bis zu Spieleservern!!!
5. Passwörter des Routers ändern und
Firmware updaten. Besonders anzuraten bei VPN Nutzern!!! Laut AVM ist die
Fritzbox zwar mit OpenSSL ausgestattet, hat aber diesen Fehler nicht im System
- diesbezüglich also Entwarnung für alle Fritzbox-user.
6. Vorsichtshalber Browser und Plugins aktualisieren. Ein Windowsupdate schadet auch nicht.
6. Vorsichtshalber Browser und Plugins aktualisieren. Ein Windowsupdate schadet auch nicht.
Wenn
Ihr all diese Punkte beherzigt habt könnt Ihr Euch wieder zurücklehnen und Euch
wichtigeren Dingen widmen. Ich hoffe diese kleine Anleitung ist umsetzbar und
kann Euch helfen - mir hat sie jedenfalls geholfen!
Liebe
Grüße und einen schönen Sonntag noch!
Keine Kommentare:
Kommentar veröffentlichen