SSL-Sicherheitslücke LogJam

Browser-Security-Leck bedroht tausende Websites

Florian Maier beschäftigt sich mit dem Themenbereich IT-Security und schreibt über reichweitenstarke und populäre IT-Themen an der Schnittstelle zu B2C. Daneben ist er für den Facebook- und LinkedIn-Auftritt der COMPUTERWOCHE zuständig. Er schreibt hauptsächlich für die Portale COMPUTERWOCHE und CIO.
IT-Security-Spezialisten haben eine neue Sicherheitslücke entdeckt, durch deren Beseitigung mehrere tausend Websites lahm gelegt werden könnten.

Nach Heartbleed und Freak bedroht nun ein neuer SSL-Bug die IT-Sicherheit. Die auf den Namen LogJam getaufte Sicherheitslücke besteht laut dem Wall Street Journal innerhalb der SSL/TLS-Verschlüsselungs-Methode. Damit wären sämtliche populären Web-Browser und damit auch die Nutzer von Internet Explorer, Chrome, Firefox und Safari gleichermaßen betroffen. Auch einige Mail-Server die von der TLS-Verschlüsselung Gebrauch machen, sollen betroffen sein.

Die neu entdeckte Sicherheitslücke LogJam lauert in sämtlichen populären Web-Browsern. Ihre Beseitigung könnte rund 20.000 Websites lahm legen.
Die neu entdeckte Sicherheitslücke LogJam lauert in sämtlichen populären Web-Browsern. Ihre Beseitigung könnte rund 20.000 Websites lahm legen.
Foto: Pavel Ignatov_shutterstock.com

Mehrere tausend Websites bald offline?

Cyberkriminelle oder andere Angreifer, die das Security-Leck ausnutzen, könnten durch LogJam Zugriff auf verschlüsselte Verbindungen und deren Inhalte erlangen. Besondere Brisanz erlangt der LogJam-Security-Bug dadurch, dass seine Beseitigung offenbar zur Folge haben könnte, dass rund 20.000 Websites nicht mehr erreichbar sind.

Richard Barnes, mit der Beseitigung von LogJam beauftragter Security-Experte bei Firefox-Anbieter Mozilla äußerte sich gegenüber dem Wall Street Journal zur Komplexität dieser Aufgabe: "Die Frage ist: Wie bekommen wir eine Lösung hin, die so viel Sicherheit wie möglich bringt, ohne viel Störung im Netz zu bewirken?"

NSA könnte VPN-Verbindungen ausspioniert haben

Der LogJam-Bug ist offenbar ein Abkömmling der Freak-Sicherheitslücke. Ob das Security-Leck bereits von Cyberkriminellen ausgenutzt wurde, ist laut dem Wall Street Journal nicht bekannt. Die Sicherheits-Experten die LogJam entdeckt haben, gehen allerdings offenbar davon aus, dass die Lücke von Geheimdiensten zu Überwachungszwecken ausgenutzt worden sein könnte. Ganz konkret äußerten die Experten den Verdacht, die National Security Agency (NSA) könnte LogJam benutzt haben, um VPN-Verbindungen auszuspionieren. Kommentiert wurde dieser Verdacht seitens der NSA nicht.

Browser-Anbieter vs. LogJam-Bug

Unterdessen haben die Browser-Anbieter trotz der Risiken für zahlreiche Websites damit begonnen, die Sicherheitslücke zu stopfen. Microsoft hat seinen Internet Explorer bereits in der vergangenen Woche "fit" gemacht - Mozilla will in den nächsten Tagen einen LogJam-Fix ausrollen. Google hat ebenfalls bereits einen Fix in Arbeit. Dieser soll Chrome-Usern binnen der nächsten Wochen zur Verfügung stehen.