IT-News fuer Profis https://www.golem.de/specials/openssl/ 2026-04-13T15:40:15+02:00 https://www.golem.de/ https://www.golem.de/staticrl/images/Golem-Logo-black-small.png text/html 2024-05-24T09:33:02+02:00 https://www.golem.de Golem.de https://www.golem.de/news/dkim-bimi-die-zombies-des-debian-openssl-bugs-2405-185275.html Vor 16 Jahren sorgte ein Bug dafür, dass mit Debian und OpenSSL erstellte Schlüssel unsicher waren. Viele DKIM-Setups nutzten auch 16 Jahre später solche Schlüssel. (<a href="https://www.golem.de/specials/dkim/">DKIM</a>, <a href="https://www.golem.de/specials/debian/">Debian</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=185275&amp;page=1&amp;ts=1716535982" alt="" width="1" height="1" /> 4 Vor 16 Jahren sorgte ein Bug dafür, dass mit Debian und OpenSSL erstellte Schlüssel unsicher waren. Viele DKIM-Setups nutzten auch 16 Jahre später solche Schlüssel. (DKIM, Debian) ]]> text/html 2022-11-03T15:00:02+02:00 https://www.golem.de Golem.de https://www.golem.de/news/sicherheitsluecke-die-it-wirtschaft-hat-zu-wenig-aus-heartbleed-gelernt-2211-169447.html Code, der wohl nie getestet wurde, führt zu einer Lücke in OpenSSL. Ein Totalausfall für das Projekt und die Open-Source-Wirtschaft. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/verschluesselung/">Verschlüsselung</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=169447&amp;page=1&amp;ts=1667480402" alt="" width="1" height="1" /> 40 Code, der wohl nie getestet wurde, führt zu einer Lücke in OpenSSL. Ein Totalausfall für das Projekt und die Open-Source-Wirtschaft. (OpenSSL, Verschlüsselung) ]]> text/html 2022-11-01T18:37:02+02:00 https://www.golem.de Golem.de https://www.golem.de/news/sicherheitsluecken-openssl-korrigiert-fehler-im-zertifikatsparser-2211-169402.html Zwei Buffer Overflows bei der Verarbeitung von Punycode können OpenSSL zum Absturz bringen - und möglicherweise Codeausführung ermöglichen. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/serverapps/">Server-Applikationen</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=169402&amp;page=1&amp;ts=1667320622" alt="" width="1" height="1" /> Zwei Buffer Overflows bei der Verarbeitung von Punycode können OpenSSL zum Absturz bringen - und möglicherweise Codeausführung ermöglichen. (OpenSSL, Server-Applikationen) ]]> text/html 2022-11-01T11:35:02+02:00 https://www.golem.de Golem.de https://www.golem.de/news/tls-bibliothek-erste-kritische-luecke-in-openssl-seit-2016-braucht-update-2211-169380.html Das OpenSSL-Entwicklungsteam hat für heute Nachmittag das Update für eine kritische Lücke angekündigt. Betroffen sind alle Versionen von OpenSSL 3.0. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/verschluesselung/">Verschlüsselung</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=169380&amp;page=1&amp;ts=1667295302" alt="" width="1" height="1" /> 27 Das OpenSSL-Entwicklungsteam hat für heute Nachmittag das Update für eine kritische Lücke angekündigt. Betroffen sind alle Versionen von OpenSSL 3.0. (OpenSSL, Verschlüsselung) ]]> text/html 2022-03-16T18:00:03+02:00 https://www.golem.de Golem.de https://www.golem.de/news/openssl-log4j-googles-domain-registrierung-in-deutschland-verfuegbar-2203-163902.html Was am 16. März 2022 neben den großen Meldungen sonst noch passiert ist, in aller Kürze. (<a href="https://www.golem.de/specials/kurznews/">Kurznews</a>, <a href="https://www.golem.de/specials/google/">Google</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=163902&amp;page=1&amp;ts=1647446403" alt="" width="1" height="1" /> 1 Was am 16. März 2022 neben den großen Meldungen sonst noch passiert ist, in aller Kürze. (Kurznews, Google) ]]> text/html 2021-09-07T14:53:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/tls-neue-openssl-version-unter-apache-lizenz-2109-159404.html Das OpenSSL-Team veröffentlicht Version 3.0.0. Neben einem Lizenzwechsel kommt es zum Wegfall vieler veralteter Funktionen. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/fsf/">FSF</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=159404&amp;page=1&amp;ts=1631019180" alt="" width="1" height="1" /> 2 Das OpenSSL-Team veröffentlicht Version 3.0.0. Neben einem Lizenzwechsel kommt es zum Wegfall vieler veralteter Funktionen. (OpenSSL, FSF) ]]> text/html 2021-08-31T08:30:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/nas-und-sicherheit-qnap-und-synology-von-openssl-luecke-betroffen-2108-159225.html Produkte beider NAS-Hersteller sind von einer bereits geschlossenen OpenSSL-Lücke betroffen. Sie arbeiten an einem Fix. (<a href="https://www.golem.de/specials/synology/">Synology</a>, <a href="https://www.golem.de/specials/netzwerk/">Netzwerk</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=159225&amp;page=1&amp;ts=1630391400" alt="" width="1" height="1" /> 6 Produkte beider NAS-Hersteller sind von einer bereits geschlossenen OpenSSL-Lücke betroffen. Sie arbeiten an einem Fix. (Synology, Netzwerk) ]]> text/html 2021-08-25T13:20:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/security-openssl-update-schliesst-sicherheitsluecken-2108-159126.html OpenSSL 1.1.1l schließt zwei Sicherheitslücken, darunter einen mit einer hohen Risikobewertung eingeschätzten Buffer Overflow. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/ssl/">SSL</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=159126&amp;page=1&amp;ts=1629890400" alt="" width="1" height="1" /> 1 OpenSSL 1.1.1l schließt zwei Sicherheitslücken, darunter einen mit einer hohen Risikobewertung eingeschätzten Buffer Overflow. (OpenSSL, SSL) ]]> text/html 2021-03-25T18:16:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/kryptobibliothek-openssl-luecke-in-zertifikatschecks-2103-155262.html Ein Fehler von OpenSSL bei der Zertifikatsvalidierung betrifft nur wenige Anwendungen, ein weiterer Bug lässt Server abstürzen. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/technologie/">Technologie</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=155262&amp;page=1&amp;ts=1616688960" alt="" width="1" height="1" /> 3 Ein Fehler von OpenSSL bei der Zertifikatsvalidierung betrifft nur wenige Anwendungen, ein weiterer Bug lässt Server abstürzen. (OpenSSL, Technologie) ]]> text/html 2020-07-06T09:50:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/black-lives-matter-linux-kernel-koennte-inklusive-sprache-bekommen-2007-149468.html Die Linux-Community diskutiert über einen Leitfaden zur Vermeidung von Worten wie Slave oder Blacklist. OpenSSL hat sich dagegen entschieden. (<a href="https://www.golem.de/specials/linux-kernel/">Linux-Kernel</a>, <a href="https://www.golem.de/specials/linux/">Linux</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=149468&amp;page=1&amp;ts=1594021800" alt="" width="1" height="1" /> 166 Die Linux-Community diskutiert über einen Leitfaden zur Vermeidung von Worten wie Slave oder Blacklist. OpenSSL hat sich dagegen entschieden. (Linux-Kernel, Linux) ]]> text/html 2020-06-02T10:01:01+02:00 https://www.golem.de Golem.de https://www.golem.de/news/sectigo-abgelaufenes-root-zertifikat-sorgt-fuer-aerger-2006-148840.html Viele ältere TLS-Clients kommen mit einem abgelaufenen Rootzertifikat namens Addtrust nicht klar. (<a href="https://www.golem.de/specials/tls/">TLS</a>, <a href="https://www.golem.de/specials/openssl/">OpenSSL</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=148840&amp;page=1&amp;ts=1591084861" alt="" width="1" height="1" /> 14 Viele ältere TLS-Clients kommen mit einem abgelaufenen Rootzertifikat namens Addtrust nicht klar. (TLS, OpenSSL) ]]> text/html 2020-04-22T09:15:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/null-pointer-statisches-codeanalysewerkzeug-von-gcc-findet-openssl-bug-2004-148017.html Ein Bug in OpenSSL kann Server und Clients zum Absturz bringen. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/redhat/">Red Hat</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=148017&amp;page=1&amp;ts=1587539700" alt="" width="1" height="1" /> 8 Ein Bug in OpenSSL kann Server und Clients zum Absturz bringen. (OpenSSL, Red Hat) ]]> text/html 2019-02-27T12:45:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/tls-immer-wieder-padding-oracles-1902-139679.html In manchen OpenSSL-Konfigurationen und in Citrix-Loadbalancern wurde eine Padding-Oracle-Lücke gefunden, mit der man TLS-Datenverkehr entschlüsseln kann. Ein Forscherteam hat weitere Lücken entdeckt, weiß aber bei vielen nicht, welche Produkte dafür verantwortlich sind. (<a href="https://www.golem.de/specials/tls/">TLS</a>, <a href="https://www.golem.de/specials/netzwerk/">Netzwerk</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=139679&amp;page=1&amp;ts=1551264300" alt="" width="1" height="1" /> In manchen OpenSSL-Konfigurationen und in Citrix-Loadbalancern wurde eine Padding-Oracle-Lücke gefunden, mit der man TLS-Datenverkehr entschlüsseln kann. Ein Forscherteam hat weitere Lücken entdeckt, weiß aber bei vielen nicht, welche Produkte dafür verantwortlich sind. (TLS, Netzwerk) ]]> text/html 2019-01-30T14:37:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/linux-container-distro-alpine-wechselt-von-libre-zu-openssl-1901-139069.html Nach etwas mehr als zwei Jahren Einsatz kehrt Alpine Linux von LibreSSL zurück zu OpenSSL, um die Pflege zu vereinfachen. Hinzu kommen ein neuer Kernel und die Unterstützung für ARMv7. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/ssl/">SSL</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=139069&amp;page=1&amp;ts=1548851820" alt="" width="1" height="1" /> Nach etwas mehr als zwei Jahren Einsatz kehrt Alpine Linux von LibreSSL zurück zu OpenSSL, um die Pflege zu vereinfachen. Hinzu kommen ein neuer Kernel und die Unterstützung für ARMv7. (OpenSSL, SSL) ]]> text/html 2019-01-24T10:39:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/verschluesselung-open-ssl-1-1-1-ueberzeugt-im-sicherheitsaudit-1901-138942.html Die Initiativen Ostif und Quarkslab haben OpenSSL 1.1.1 einem Audit unterzogen. Den Fokus legten die Sicherheitsforscher auf die neuen TLS-1.3-Funktionen und die Änderungen am Pseudo Random Number Generator (PRNG). (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/verschluesselung/">Verschlüsselung</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=138942&amp;page=1&amp;ts=1548319140" alt="" width="1" height="1" /> 6 Die Initiativen Ostif und Quarkslab haben OpenSSL 1.1.1 einem Audit unterzogen. Den Fokus legten die Sicherheitsforscher auf die neuen TLS-1.3-Funktionen und die Änderungen am Pseudo Random Number Generator (PRNG). (OpenSSL, Verschlüsselung) ]]> text/html 2018-12-19T15:06:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/bionic-beaver-ubuntu-18-04-bekommt-openssl-1-1-1-und-tls-1-3-als-update-1812-138331.html Die aktuelle Ubuntu-Version 18.04 mit Langzeitsupport bekommt demnächst die aktuelle OpenSSL-Version 1.1.1 und damit Langzeitsupport der Hauptentwickler für die wichtige Krypto-Bibliothek. Damit kann auch TLS 1.3 genutzt werden. Pakete wie Apache sollen ebenfalls angepasst werden. (<a href="https://www.golem.de/specials/ubuntu/">Ubuntu</a>, <a href="https://www.golem.de/specials/verschluesselung/">Verschlüsselung</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=138331&amp;page=1&amp;ts=1545224760" alt="" width="1" height="1" /> 7 Die aktuelle Ubuntu-Version 18.04 mit Langzeitsupport bekommt demnächst die aktuelle OpenSSL-Version 1.1.1 und damit Langzeitsupport der Hauptentwickler für die wichtige Krypto-Bibliothek. Damit kann auch TLS 1.3 genutzt werden. Pakete wie Apache sollen ebenfalls angepasst werden. (Ubuntu, Verschlüsselung) ]]> text/html 2018-11-05T12:15:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/portsmash-exploit-fuer-13-jahre-alte-hyperthreading-luecke-1811-137511.html Ein Forscherteam zeigt, wie es mittels Seitenkanal-Angriffen private Schlüssel von OpenSSL stehlen kann. Der dahinter liegende Bug ist aber nicht neu und das Problem liegt auch im OpenSSL-Code. (<a href="https://www.golem.de/specials/cpu/">Prozessor</a>, <a href="https://www.golem.de/specials/intel/">Intel</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=137511&amp;page=1&amp;ts=1541412900" alt="" width="1" height="1" /> 5 Ein Forscherteam zeigt, wie es mittels Seitenkanal-Angriffen private Schlüssel von OpenSSL stehlen kann. Der dahinter liegende Bug ist aber nicht neu und das Problem liegt auch im OpenSSL-Code. (Prozessor, Intel) ]]> text/html 2018-10-13T11:17:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/verschluesselung-tls-1-3-mit-startschwierigkeiten-1810-137097.html Obwohl bei der Entwicklung von TLS 1.3 versucht wurde, Probleme mit bestehenden fehlerhaften Geräten zu vermeiden, gibt es beim Start erneut Schwierigkeiten. Verantwortlich dafür: Vorab-Versionen von OpenSSL und Geräte von Cisco und Palo Alto Networks. (<a href="https://www.golem.de/specials/tls/">TLS</a>, <a href="https://www.golem.de/specials/browser/">Browser</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=137097&amp;page=1&amp;ts=1539422220" alt="" width="1" height="1" /> 17 Obwohl bei der Entwicklung von TLS 1.3 versucht wurde, Probleme mit bestehenden fehlerhaften Geräten zu vermeiden, gibt es beim Start erneut Schwierigkeiten. Verantwortlich dafür: Vorab-Versionen von OpenSSL und Geräte von Cisco und Palo Alto Networks. (TLS, Browser) ]]> text/html 2018-07-27T12:37:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/telegram-4-90-neue-passport-funktion-soll-luc-bessons-multi-pass-bringen-1807-135719.html Telegram Passport ist eine Funktion, mit der Nutzer ihre Ausweisdaten in eine abgesicherte Cloud hochladen können. Drittanbieter können damit das Alter und die Identität prüfen, und Nutzer müssen nicht jedes Mal ihre Daten hochladen. Ein paar offene Fragen zur Sicherheit gibt es noch. (<a href="https://www.golem.de/specials/telegram/">Telegram</a>, <a href="https://www.golem.de/specials/instantmessenger/">Instant Messenger</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=135719&amp;page=1&amp;ts=1532687820" alt="" width="1" height="1" /> 16 Telegram Passport ist eine Funktion, mit der Nutzer ihre Ausweisdaten in eine abgesicherte Cloud hochladen können. Drittanbieter können damit das Alter und die Identität prüfen, und Nutzer müssen nicht jedes Mal ihre Daten hochladen. Ein paar offene Fragen zur Sicherheit gibt es noch. (Telegram, Instant Messenger) ]]> text/html 2018-05-14T09:26:02+02:00 https://www.golem.de Golem.de https://www.golem.de/news/kryptographie-der-debian-bug-im-openssl-zufallszahlengenerator-1805-134355.html Einer der schwerwiegendsten Fehler in der Geschichte der Kryptographie beschäftigte vor zehn Jahren Nutzer der Debian-Distribution. Wenn man danach sucht, findet man noch heute vereinzelt verwundbare Schlüssel. (<a href="https://www.golem.de/specials/debian/">Debian</a>, <a href="https://www.golem.de/specials/technologie/">Technologie</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=134355&amp;page=1&amp;ts=1526282762" alt="" width="1" height="1" /> 9 Einer der schwerwiegendsten Fehler in der Geschichte der Kryptographie beschäftigte vor zehn Jahren Nutzer der Debian-Distribution. Wenn man danach sucht, findet man noch heute vereinzelt verwundbare Schlüssel. (Debian, Technologie) ]]> text/html 2018-01-22T14:28:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/crypto-bibliothek-openssl-bekommt-patch-dienstag-und-wird-transparenter-1801-132298.html Um Admins ein stressiges Wochenende zu ersparen, werden OpenSSL-Updates künftig dienstags veröffentlicht. Außerdem gibt es nun eine Mailingliste, auf der Projektdetails unabhängig vom Code öffentlich diskutiert werden, und Github wird für das Projekt wichtiger. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/urheberrecht/">Urheberrecht</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=132298&amp;page=1&amp;ts=1516624080" alt="" width="1" height="1" /> 5 Um Admins ein stressiges Wochenende zu ersparen, werden OpenSSL-Updates künftig dienstags veröffentlicht. Außerdem gibt es nun eine Mailingliste, auf der Projektdetails unabhängig vom Code öffentlich diskutiert werden, und Github wird für das Projekt wichtiger. (OpenSSL, Urheberrecht) ]]> text/html 2017-09-20T17:45:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/apache-sicherheitsluecke-optionsbleed-bereits-2014-entdeckt-und-uebersehen-1709-130166.html Der Optionsbleed-Bug im Apache-Webserver wurde 2014 bereits in einem wissenschaftlichen Paper beschrieben. Allerdings hatte offenbar niemand bemerkt, dass es sich um eine kritische Sicherheitslücke handelt, obwohl kurz zuvor der ähnliche Heartbleed-Bug entdeckt worden war. (<a href="https://www.golem.de/specials/apache/">Apache</a>, <a href="https://www.golem.de/specials/serverapps/">Server-Applikationen</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=130166&amp;page=1&amp;ts=1505922300" alt="" width="1" height="1" /> 11 Der Optionsbleed-Bug im Apache-Webserver wurde 2014 bereits in einem wissenschaftlichen Paper beschrieben. Allerdings hatte offenbar niemand bemerkt, dass es sich um eine kritische Sicherheitslücke handelt, obwohl kurz zuvor der ähnliche Heartbleed-Bug entdeckt worden war. (Apache, Server-Applikationen) ]]> text/html 2017-08-22T13:00:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/apache-lizenz-2-0-openssl-lizenzwechsel-fuehrt-zu-code-entfernungen-1708-129617.html Der geplante Lizenzwechsel von OpenSSL kommt langsam voran. Das Projekt kündigt auch erste Konsequenzen für Code an, dessen Urheber dem Wechsel nicht zustimmen. Der Code wird entfernt und künftig reimplementiert. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/urheberrecht/">Urheberrecht</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=129617&amp;page=1&amp;ts=1503399600" alt="" width="1" height="1" /> 11 Der geplante Lizenzwechsel von OpenSSL kommt langsam voran. Das Projekt kündigt auch erste Konsequenzen für Code an, dessen Urheber dem Wechsel nicht zustimmen. Der Code wird entfernt und künftig reimplementiert. (OpenSSL, Urheberrecht) ]]> text/html 2017-07-21T09:51:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/tls-zertifikate-symantec-faellt-auf-falschen-key-herein-1707-129055.html Wenn ein privater Schlüssel von einem Webseitenzertifikat offen im Netz landet, sollten Zertifizierungsstellen das entsprechende Zertifikat zurückziehen. Symantec tat dies nun auch bei einem privaten Schlüssel, der überhaupt nicht echt war. (<a href="https://www.golem.de/specials/symantec/">Symantec</a>, <a href="https://www.golem.de/specials/technologie/">Technologie</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=129055&amp;page=1&amp;ts=1500623460" alt="" width="1" height="1" /> 25 Wenn ein privater Schlüssel von einem Webseitenzertifikat offen im Netz landet, sollten Zertifizierungsstellen das entsprechende Zertifikat zurückziehen. Symantec tat dies nun auch bei einem privaten Schlüssel, der überhaupt nicht echt war. (Symantec, Technologie) ]]> text/html 2017-04-26T13:07:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/webserver-nginx-1-13-erscheint-mit-tls-1-3-support-1704-127503.html Der freie Webserver Nginx ist in der Version 1.13 erschienen. Er bringt unter anderem Unterstützung für TLS 1.3 mit, das aktuelle Browser zwar unterstützen, OpenSSL allerdings noch nicht offiziell. (<a href="https://www.golem.de/specials/nginx/">Nginx</a>, <a href="https://www.golem.de/specials/serverapps/">Server-Applikationen</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=127503&amp;page=1&amp;ts=1493204820" alt="" width="1" height="1" /> 4 Der freie Webserver Nginx ist in der Version 1.13 erschienen. Er bringt unter anderem Unterstützung für TLS 1.3 mit, das aktuelle Browser zwar unterstützen, OpenSSL allerdings noch nicht offiziell. (Nginx, Server-Applikationen) ]]> text/html 2017-03-24T17:38:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/apache-lizenz-2-0-openssl-plant-lizenzwechsel-an-der-community-vorbei-1703-126927.html Ohne große vorherige öffentliche Diskussion soll OpenSSL künftig die Apache-Lizenz 2.0 nutzen. Vor allem die OpenBSD-Community kritisiert die Lizenz und das konkrete Vorgehen, das die Community spaltet und den Eindruck erweckt, als sei alles schon beschlossen. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/urheberrecht/">Urheberrecht</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=126927&amp;page=1&amp;ts=1490369880" alt="" width="1" height="1" /> 29 Ohne große vorherige öffentliche Diskussion soll OpenSSL künftig die Apache-Lizenz 2.0 nutzen. Vor allem die OpenBSD-Community kritisiert die Lizenz und das konkrete Vorgehen, das die Community spaltet und den Eindruck erweckt, als sei alles schon beschlossen. (OpenSSL, Urheberrecht) ]]> text/html 2017-02-08T14:28:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/getrandom-glibc-2-25-bekommt-endlich-besseren-zufall-1702-126070.html Die Standard-C-Bibliothek des GNU-Projekts hat endlich Wrapper für die Linux-Systemaufrufe Getrandom und Getentropy - mehr als zwei Jahre nach deren Einführung. Neu sind außerdem Funktionen für Strings, Mathe-Operationen und ein starker Schutz vor Stack-Überläufen. (<a href="https://www.golem.de/specials/open-source/">Open Source</a>, <a href="https://www.golem.de/specials/linux-kernel/">Linux-Kernel</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=126070&amp;page=1&amp;ts=1486556880" alt="" width="1" height="1" /> 7 Die Standard-C-Bibliothek des GNU-Projekts hat endlich Wrapper für die Linux-Systemaufrufe Getrandom und Getentropy - mehr als zwei Jahre nach deren Einführung. Neu sind außerdem Funktionen für Strings, Mathe-Operationen und ein starker Schutz vor Stack-Überläufen. (Open Source, Linux-Kernel) ]]> text/html 2016-08-26T08:21:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/verschluesselung-openssl-veroeffentlicht-version-1-1-0-1608-122903.html OpenSSL veröffentlicht die neue Version 1.1.0. Neu hinzugekommen sind die Algorithmen ChaCha20 und X25519 sowie Unterstützung für Certificate Transparency. Vor allem aber ist das Release eine große Aufräumaktion. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/serverapps/">Server-Applikationen</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=122903&amp;page=1&amp;ts=1472192460" alt="" width="1" height="1" /> 2 OpenSSL veröffentlicht die neue Version 1.1.0. Neu hinzugekommen sind die Algorithmen ChaCha20 und X25519 sowie Unterstützung für Certificate Transparency. Vor allem aber ist das Release eine große Aufräumaktion. (OpenSSL, Server-Applikationen) ]]> text/html 2016-08-25T09:31:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/sweet32-kurze-verschluesselungsbloecke-sorgen-fuer-kollisionen-1608-122887.html Ein neuer Angriff auf TLS- und VPN-Verbindungen betrifft alte Verschlüsselungsalgorithmen wie Triple-DES und Blowfish, die Daten in 64-Bit-Blöcken verschlüsseln. Der Angriff erfordert das Belauschen vieler Gigabytes an Daten und dürfte damit nur selten praktikabel sein. (<a href="https://www.golem.de/specials/ssl/">SSL</a>, <a href="https://www.golem.de/specials/browser/">Browser</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=122887&amp;page=1&amp;ts=1472110260" alt="" width="1" height="1" /> 4 Ein neuer Angriff auf TLS- und VPN-Verbindungen betrifft alte Verschlüsselungsalgorithmen wie Triple-DES und Blowfish, die Daten in 64-Bit-Blöcken verschlüsseln. Der Angriff erfordert das Belauschen vieler Gigabytes an Daten und dürfte damit nur selten praktikabel sein. (SSL, Browser) ]]> text/html 2016-05-03T17:52:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/openssl-update-die-rueckkehr-des-padding-orakels-1605-120711.html Die jüngste Version von OpenSSL behebt eine kritische Sicherheitslücke: eine Neuauflage des sogenannten Padding-Oracle-Angriffs. Mehrere ältere Bugs ermöglichen außerdem zusammen eine Memory-Corrpution-Lücke. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/technologie/">Technologie</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=120711&amp;page=1&amp;ts=1462290720" alt="" width="1" height="1" /> 3 Die jüngste Version von OpenSSL behebt eine kritische Sicherheitslücke: eine Neuauflage des sogenannten Padding-Oracle-Angriffs. Mehrere ältere Bugs ermöglichen außerdem zusammen eine Memory-Corrpution-Lücke. (OpenSSL, Technologie) ]]> text/html 2016-04-29T10:43:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/security-der-internetminister-hat-heartbleed-1604-120635.html Die Webseite des Bundesministeriums für Verkehr und digitale Infrastruktur war für eine seit fast zwei Jahren geschlossene, kritische Sicherheitslücke anfällig. Das kompromittierte Zertifikat wird weiterhin verwendet. (<a href="https://www.golem.de/specials/heartbleed-bug/">Heartbleed</a>, <a href="https://www.golem.de/specials/verschluesselung/">Verschlüsselung</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=120635&amp;page=1&amp;ts=1461919380" alt="" width="1" height="1" /> 24 Die Webseite des Bundesministeriums für Verkehr und digitale Infrastruktur war für eine seit fast zwei Jahren geschlossene, kritische Sicherheitslücke anfällig. Das kompromittierte Zertifikat wird weiterhin verwendet. (Heartbleed, Verschlüsselung) ]]> text/html 2016-03-02T08:36:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/cachebleed-angriff-cpu-cache-kann-private-schluessel-verraten-1603-119497.html Forschern ist es gelungen, RSA-Verschlüsselungsoperationen von OpenSSL mittels eines Cache-Timing-Angriffs zu belauschen und so den privaten Key zu knacken. Der Cachebleed-Angriff nutzt dabei Zugriffskonflikte auf den Cache-Speicher. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/sandy-bridge/">Sandy Bridge</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=119497&amp;page=1&amp;ts=1456900560" alt="" width="1" height="1" /> 1 Forschern ist es gelungen, RSA-Verschlüsselungsoperationen von OpenSSL mittels eines Cache-Timing-Angriffs zu belauschen und so den privaten Key zu knacken. Der Cachebleed-Angriff nutzt dabei Zugriffskonflikte auf den Cache-Speicher. (OpenSSL, Sandy Bridge) ]]> text/html 2016-02-29T12:11:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/security-85-prozent-der-ssl-vpns-haben-unsichere-konfigurationen-1602-119450.html Zahlreiche SSL-VPNs sichern den Traffic der Nutzer nur unzureichend ab - das behauptet eine Sicherheitsfirma. Viele Anbieter würden nach wie vor SHA-1 oder MD5 verwenden. Außerdem seien rund 10 Prozent der Dienste für Heartbleed anfällig. (<a href="https://www.golem.de/specials/security/">Security</a>, <a href="https://www.golem.de/specials/dell/">Dell</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=119450&amp;page=1&amp;ts=1456740660" alt="" width="1" height="1" /> 3 Zahlreiche SSL-VPNs sichern den Traffic der Nutzer nur unzureichend ab - das behauptet eine Sicherheitsfirma. Viele Anbieter würden nach wie vor SHA-1 oder MD5 verwenden. Außerdem seien rund 10 Prozent der Dienste für Heartbleed anfällig. (Security, Dell) ]]> text/html 2016-01-29T11:39:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/openssl-luecke-die-sache-mit-den-sicheren-primzahlen-1601-118812.html OpenSSL hat mit einem Sicherheitsupdate eine Sicherheitslücke im Diffie-Hellman-Schlüsselaustausch behoben, deren Risiko als "hoch" eingestuft wird. Allerdings dürfte kaum jemand von der Lücke praktisch betroffen sein. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/technologie/">Technologie</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=118812&amp;page=1&amp;ts=1454060340" alt="" width="1" height="1" /> 12 OpenSSL hat mit einem Sicherheitsupdate eine Sicherheitslücke im Diffie-Hellman-Schlüsselaustausch behoben, deren Risiko als "hoch" eingestuft wird. Allerdings dürfte kaum jemand von der Lücke praktisch betroffen sein. (OpenSSL, Technologie) ]]> text/html 2015-12-03T19:41:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/eki-scada-systeme-heartbleed-per-update-nachgeruestet-1512-117799.html Updates sollen Systeme sicherer machen - im Falle der Scada-Systeme der Firma EKI ist das jedoch offenbar gründlich misslungen. Ein Update, das fest codierte SSH-Schlüssel entfernen sollte, macht die Systeme für Shellshock und Heartbleed verwundbar. (<a href="https://www.golem.de/specials/heartbleed-bug/">Heartbleed</a>, <a href="https://www.golem.de/specials/openssl/">OpenSSL</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=117799&amp;page=1&amp;ts=1449164460" alt="" width="1" height="1" /> 4 Updates sollen Systeme sicherer machen - im Falle der Scada-Systeme der Firma EKI ist das jedoch offenbar gründlich misslungen. Ein Update, das fest codierte SSH-Schlüssel entfernen sollte, macht die Systeme für Shellshock und Heartbleed verwundbar. (Heartbleed, OpenSSL) ]]> text/html 2015-08-12T08:50:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/schluesselaustausch-kci-angriff-auf-tls-missbraucht-clientzertifikate-1508-115699.html Ein komplexer Angriff nutzt eine trickreiche Kombination aus Clientzertifikaten und einem statischen Diffie-Hellman-Schlüsselaustausch. Der Angriff ist nur in sehr speziellen Situationen relevant, doch es zeigt sich wieder einmal, dass das TLS-Protokoll selbst Sicherheitslücken hat. (<a href="https://www.golem.de/specials/ssl/">SSL</a>, <a href="https://www.golem.de/specials/browser/">Browser</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=115699&amp;page=1&amp;ts=1439362200" alt="" width="1" height="1" /> 3 Ein komplexer Angriff nutzt eine trickreiche Kombination aus Clientzertifikaten und einem statischen Diffie-Hellman-Schlüsselaustausch. Der Angriff ist nur in sehr speziellen Situationen relevant, doch es zeigt sich wieder einmal, dass das TLS-Protokoll selbst Sicherheitslücken hat. (SSL, Browser) ]]> text/html 2015-08-07T09:27:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/kryptographie-rechenfehler-mit-grossen-zahlen-1508-115636.html Kryptographische Algorithmen benötigen oft Berechnungen mit großen Ganzzahlen. Immer wieder werden Fehler in den entsprechenden Bibliotheken gefunden. Diese können zu Sicherheitslücken werden. (<a href="https://www.golem.de/specials/blackhat2015/">Black Hat 2015</a>, <a href="https://www.golem.de/specials/technologie/">Technologie</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=115636&amp;page=1&amp;ts=1438932420" alt="" width="1" height="1" /> 24 Kryptographische Algorithmen benötigen oft Berechnungen mit großen Ganzzahlen. Immer wieder werden Fehler in den entsprechenden Bibliotheken gefunden. Diese können zu Sicherheitslücken werden. (Black Hat 2015, Technologie) ]]> text/html 2015-07-09T15:42:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/sicherheitsluecke-openssl-akzeptiert-falsche-zertifikate-1507-115143.html Ein OpenSSL-Update behebt eine kritische Sicherheitslücke. Mittels einiger Tricks kann ein Angreifer damit ein gewöhnliches Zertifikat zu einer Zertifizierungsstelle machen. Betroffen sind vor allem Clients. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/technologie/">Technologie</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=115143&amp;page=1&amp;ts=1436449320" alt="" width="1" height="1" /> 5 Ein OpenSSL-Update behebt eine kritische Sicherheitslücke. Mittels einiger Tricks kann ein Angreifer damit ein gewöhnliches Zertifikat zu einer Zertifizierungsstelle machen. Betroffen sind vor allem Clients. (OpenSSL, Technologie) ]]> text/html 2015-06-12T17:13:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/sicherheitsluecken-openssl-update-verursacht-abi-probleme-1506-114638.html OpenSSL veröffentlicht Updates für kleinere Sicherheitslücken - dabei ist den Entwicklern ein Fehler unterlaufen: Durch eine veränderte Datenstruktur ändert sich die Binärschnittstelle der Bibliothek, was zu Fehlfunktionen führen kann. (<a href="https://www.golem.de/specials/openssl/">OpenSSL</a>, <a href="https://www.golem.de/specials/technologie/">Technologie</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=114638&amp;page=1&amp;ts=1434121980" alt="" width="1" height="1" /> 20 OpenSSL veröffentlicht Updates für kleinere Sicherheitslücken - dabei ist den Entwicklern ein Fehler unterlaufen: Durch eine veränderte Datenstruktur ändert sich die Binärschnittstelle der Bibliothek, was zu Fehlfunktionen führen kann. (OpenSSL, Technologie) ]]> text/html 2015-06-03T14:22:00+02:00 https://www.golem.de Golem.de https://www.golem.de/news/ssh-sechs-jahre-alter-bug-bedroht-github-repositories-1506-114449.html Ein Debian-Bug aus dem Jahr 2008 hinterlässt immer noch Spuren. Eine Analyse der öffentlichen SSH-Schlüssel bei Github zeigt: Mittels angreifbarer Schlüssel hätten Angreifer die Repositories von Projekten wie Python und Firmen wie Spotify oder Yandex manipulieren können. (<a href="https://www.golem.de/specials/github/">Github</a>, <a href="https://www.golem.de/specials/debian/">Debian</a>) <img src="https://cpx.golem.de/cpx.php?class=17&amp;aid=114449&amp;page=1&amp;ts=1433334120" alt="" width="1" height="1" /> 9 Ein Debian-Bug aus dem Jahr 2008 hinterlässt immer noch Spuren. Eine Analyse der öffentlichen SSH-Schlüssel bei Github zeigt: Mittels angreifbarer Schlüssel hätten Angreifer die Repositories von Projekten wie Python und Firmen wie Spotify oder Yandex manipulieren können. (Github, Debian) ]]>