SSL-Fehler konnte zum Hacken verwendet werden Twitter

Ein Fehler im Protokoll, mit dem die Kommunikation über das Internet gesichert wird, könnte laut einem IBM-Sicherheitsforscher dazu verwendet worden sein, Twitter-Accounts zu hacken.

Letzte Woche hat Anil Kurmus gezeigt, wie ein Fehler im SSL-Protokoll (Secure Sockets Layer) sein könnte verwendet, um Opfer im Wesentlichen dazu zu verleiten, Twitter-Nachrichten zu senden, die ihre Kennwortinformationen enthielten. Um den Fehler ausnutzen zu können, müsste ein Hacker zuerst einen Weg finden, um in das Netzwerk des Opfers zu gelangen, indem er einen sogenannten Man-in-the-Middle-Angriff startet. Daher wäre es schwer, eine große Anzahl von Twitter-Benutzern zu treffen diese Technik. Das Problem wurde bald von Twitter gepatcht, aber Sicherheitsexperten fragen sich, wie viele Websites unter einem ähnlichen Problem leiden könnten.

Ein Konsortium von Internetfirmen hat versucht, das SSL-Problem seit dem 5. November zu beheben, als es versehentlich gemacht wurde öffentlich auf einer Diskussionsliste. Aber es gab einige Diskussionen über die Schwere des Fehlers. Kurz nachdem der Fehler veröffentlicht wurde, sagte IBM-Forscher Tom Cross, dass große Webanwendungen größtenteils nicht von dem Problem betroffen wären.

[Weitere Informationen: So entfernen Sie Malware von Ihrem Windows-PC]

Aber Cross änderte seine Meinung und schrieb: "Leider ist die Situation schlimmer als ich dachte."

Insbesondere Webmail-Anwendungen können durch diesen Angriff gefährdet sein. Und Sicherheitsexperten befürchten auch, dass andere Anwendungen - zum Beispiel Datenbanken - gefährdet sein könnten.

Twitter.com war anfällig für den Bug, weil er eine so genannte Client-Neuverhandlung unter SSL durchgeführt hat. Neuverhandlung des Clients gibt der Website eine Möglichkeit, den Twitter-Benutzer nach einem SSL-Zertifikat zu fragen, nachdem ein Benutzer bereits mit der Site verbunden ist. Es ist ein nützliches Tool für Websites, auf denen sich Benutzer mithilfe von Smartcards anmelden können, oder für Websites, die den Zugriff auf eine ausgewählte Gruppe vordefinierter Websurfer beschränken. Aber bis zur Behebung des Fehlers öffnet die Neuverhandlung des Clients auch die Tür für SSL-Angriffe.

Dort sind wahrscheinlich viele Seiten wie Twitter, die Client Neuverhandlung erlauben, einfach weil es in das SSL-Protokoll und seinen Nachfolger, TLS (Transport Layer Security) eingebaut ist, sagte Marsh Ray, einer der PhoneFactor-Entwickler, die das Problem entdeckt. "Eine Menge Leute haben nicht gemerkt, dass sie es tun", sagte er.

Die gute Nachricht ist, dass viele Seiten es einfach deaktivieren können, was anscheinend Twitter ist. Twitter reagierte nicht auf eine Nachricht, die nach einem Kommentar zu dieser Geschichte fragte.

Laut Ray sollten die Leute erkennen, dass der SSL-Fehler zwar nicht katastrophal ist, "dies aber ein schwerwiegender Fehler ist und die Leute ihn patchen müssen."