MÜNCHEN (COMPUTERWOCHE) - Das britische National Infrastructure Security Coordination Center warnt vor einem Sicherheitsproblem mit der Verschlüsselung und dem Tunneling von IPSec-Verbindungen in VPNs (Virtual Private Networks), mit denen räumlich entfernte Mitarbeiter auf ein Firmennetz zugreifen. Der vom NISCC als "hoch kritisch" eingestufte Fehler ermöglicht es einem Angreifer, Pakete abzufangen, die zwischen zwei über IPSec kommunizierenden Geräten hin- und hergeschickt werden. Der Hacker könnte dann den so genannten Encapsulation Security Payload manipulieren, das für die Verschlüsselung zuständige Sub-Protokoll, womit die Daten letztendlich in die Hände unautorisierter Dritter fallen könnten.

"Durch vorsichtige Manipulationen an ausgewählten Teilen des Payloads des äußeren Pakets kann ein Angreifer kontrollierte Veränderungen am Header des inneren, verschlüsselten Pakets hervorrufen. Wenn diese Messages von einem Angreifer abgefangen werden können, werden die Daten im Klartext sichtbar", heißt es auf der Website des NISCC. In ihrem Advisory schlägt die Behörde auch gleich mehrere Lösungsmöglichkeiten für das Problem vor. (tc)