Heartbleed Bug und OS X

10 Apr Heartbleed Bug und OS X

In den letzten Tagen wurde ein schwerwiegender Bug in OpenSSL entdeckt – und unter dem Name „Heartbleed Bug“ bekannt. Die Website http://heartbleed.com beschreibt den Fehler in voller Tiefe (in Englisch). Der Bug betrifft die Open-Source Implementation OpenSSL.

Durch den Bug ist es Angreifern möglich, an die geheimen Schlüssel der SSL-Verbindung zu gelangen. Sind diese erstmal in der Hand der Angreifer, können diese die SSL-Verschlüsselung brechen und den Inhalt der übertragenen Daten mitlesen. Außerdem kann sich der Angreifer in Zukunft als der Server ausgeben und der User kann nicht feststellen, dass er gar nicht mit dem richtigen Server verbunden ist. SSL wird an sehr vielen Stellen verwendet: Banking, Email, Verbindungen von Client-Programmen zu Servern, geschützte Websites, etc. Es gibt sogar VPN-Varianten, die auf SSL aufbauen.

Allerdings sind nicht alle SSL Varianten betroffen – nur die, die OpenSSL verwenden und da auch nur bestimmte Versionen. Betroffen sind die Versionen 1.0.1 bis 1.0.1f. Ältere und neuere Versionen sind nicht betroffen.

Was bedeutet das für uns Mac-User? Nun, einfach nachgeschaut:

Auf Mavericks kommt also offensichtlich seitens Apple OpenSSL 0.9.8 zum Einsatz. D.h. OpenSSL auf OS X ist nicht betroffen. Ältere Versionen als Mavericks natürlich auch nicht, denn deren OpenSSL Version ist noch älter. Daher ist OS X nicht direkt betroffen. Server Admins von OS X Server müssen daher nicht möglichst schnell ihre Zertifikate ändern.

Dennoch besteht Handlungsbedarf: Wenn wir als Anwender eine betroffene Website besucht haben, kann es sein, dass unsere übertragenen Daten mitgelesen werden konnten. Wenn wir also Kennwörter oder andere sensible Daten übertragen haben, könnten diese in die falschen Hände gelangt sein. Deshalb sollten wir unsere Kennwörter bei Diensten ändern, die vom Heartbleed Bug betroffen sind. Eine solche Liste findet man z.b. bei den Kollegen von digital trends: http://www.digitaltrends.com/.

Was lernen wir aus dem Heartbleed Bug:
– OS X Server Admins müssen erstmal nichts unternehmen
– Wir sollten immer gute, individuelle Kennwörter verwenden und einen Kennwort-Manager verwenden.

Gut zusammengefasst ist das bei Ars Technica:
http://arstechnica.com/information-technology/2013/06/the-secret-to-online-safety-lies-random-characters-and-a-password-manager/

Also: Auf, Kennwörter ändern!

P.S.: Wer mehr darüber lernen will, wie Zertifikate funktionieren: In den Apple OS X Mavericks 201: Server Essentials Kursen wird SSL besprochen. Wir vermitteln gerne einen Platz in einem der Kurse, die wir für unsere befreundeten Trainingscenter halten.