Vor rund zwei Monaten hatten Google-Sicherheitsforscher eine Schwachstelle in der Version 3.0 der SSL-Software entdeckt und sie "Poodle" getauft - als Kurzform für "Padding Oracle on Downgraded Legay Encrpytion". Diese Lücke ermöglicht es Angreifern, Einblicke in eigentlich verschlüsselte Kommunikation zwischen dem Browser eines Clients und einer per HTTPS verschlüsselten Website zu nehmen - also beispielsweise aus der Ferne Cookies auszulesen, in denen Login-Daten gespeichert sind.
Obwohl "Poodle" unmittelbar nur das veraltete SSL 3.0 betreffen sollte, war die Schwachstelle akut - den Forschern gelang es nämlich, Verbindungen, die mit den neueren Protokollen TLS 1.0, 1.1 und 1.2 (Transport Layer Security) verschlüsselt waren, im laufenden Betrieb auf SSL 3.0 "downzugraden", um anschließend die "Poodle"-Schwachstelle auszunutzen. Das war keine Kunst, denn nach wie vor unterstützten die meisten Browser und Server das rund 15 Jahre alte SSL 3.0 aus Gründen der Abwärtskompatibilität.
Vor wenigen Tagen aber stellte Google-Sicherheitsforscher Adam Langley fest, dass "Poodle" auch einige Versionen von TLS direkt betrifft - solche nämlich, die die "Padding"-Struktur innerhalb der TLS-Pakete nicht sauber prüfen. Zuerst entdeckt hat er das Problem in alten Versionen von Mozillas NSS - Network Security Services, der Kryptographie-Bibliothek von Firefox und anderen Mozilla-Produkten.
Langley entwickelte daraufhin einen Website-Scanner, der weitere "Poodle"-Anfälligkeiten aufspüren sollte. Und er würde fündig: So waren oder sind Websites einiger großer US-Unternehmen nicht gegen die Attacke geschützt. Hintergrund ist der Einsatz von Load Balancern der Firmen F5 Networks und A10 Networks, die die TLS-Verbindungen verwalten und nicht ausreichend gegen "Poodle" gefeit waren. Mittlerweile haben beide Hersteller Sicherheits-Updates veröffentlicht, die betroffene Website-Betreiber umgehend einspielen sollten.
Über 15.000 potenzielle "Poodle"-Opfer sollten jetzt patchen
Doch damit nicht genug: Ivan Ristic, Chef der SSL Labs beim Security-Anbieter Qualys, schätzt, dass rund zehn Prozent der Server, die vom "SSL Pulse Project" überwacht werden, für Poodle-Attacken via TLS anfällig sind. Im Rahmen des Projekts werden alle HTTPS-aktivierten Websites überwacht, die sich unter den eine Million am häufigsten besuchten Seiten der Welt befinden - laut Web-Analytics-Anbieter Alexa. Im November waren dies rund 151.000 Web-Seiten. Heißt laut Ristic: Mehr als 15.000 Websites, die mit verschlüsseltem Datenverkehr umgehen, können über die "Poodle"-Schwachstelle angegriffen werden.
Webmaster, die ihre Server oder Load Balancer testen möchten, können den Qualys SSL Labs Server-Test durchlaufen lassen. "Sollte Ihre Seite gefährdet sein, spielen Sie den Patch ein, den ihr Hersteller bereitstellt", rät Ristic.
