Neue OpenSSH-Lücke gefährdet Passwörter

Ein nun aufgetauchter Bug in OpenSSH ermöglicht es Angreifern, Tausende von Passwörtern auszuprobieren bevor die Verbindung zum Server unterbrochen wird. Dadurch werden Brute-Force-Attacken, also das automatische Probieren mehrerer verschiedener Passwörtern, sehr einfach durchführbar. Entdeckt wurde die Lücke vom Sicherheitsforscher KingCope, der sie in einem Blog-Eintrag veröffentlichte.

Normalerweise ist OpenSSH so konfiguriert, dass drei bis sechs Login-Versuche zulässig sind, bevor die Verbindung unterbrochen wird. Um den Bug auszunutzen und diese Zahl auf 10.000 zu erhöhen, ist lediglich eine Zeile Code notwendig, wie Ars Technica schreibt. Der Fehler tritt auch in der aktuellsten OpenSSH-Version 6.9 auf.

Dennoch wird das Problem als nicht schwerwiegend eingestuft, da OpenSSH-Nutzer, die sich per kryptografischen Schlüssel authentifizieren, nicht davon betroffen sind. Dennoch hat der Bug Potential, ernsthafte Schwierigkeiten zu verursachen.

Um auf der sicheren Seite zu bleiben, sollte man auf einen starken kryptografischen Schlüssel mit einer Länge von mindestens 2,048 Bit setzen, der mit einem starken Passwort gesichert ist.