Sicherheitslücke gefährdet zehntausende Webseiten

Von der von verschiedenen Sicherheitsforschern aufgedeckten Lücke namens Logjam (PDF) sind 8,4 Prozent der eine Million größten Webseiten betroffen. Dabei geht es im Wesentlich darum, dass die Verschlüsselung eigentlich sicherer Verbindungen wie HTTPS, SSH, IPsec und SMTPS durch eine Schwachstelle im TSL-Protokoll geknackt werden kann. Verantwortlich ist der aus den 90er-Jahren stammende Mechanismus "Diffie-Hellman", der vielerorts zum Austausch von Schlüsseln zum Einsatz kommt.

Chrome, Firefox, Safari betroffen

Den Sicherheitsforschern zufolge sind alle Webbrowser außer dem Internet Explorer betroffen. Angreifer können die verschlüsselte Verbindung knacken, indem die Verschlüsselung auf 512-bit heruntergesetzt wird. Ars technica zufolge soll der schwache Mechanismus ausgerechnet auf Beschränkungen der US-Regierung in den 90er-Jahren zurückgehen, die sich eine Hintertür bei exportierten Verschlüsselungsprodukten offen halten wollten. So sollten mit 512 bit verschlüsselte Verbindungen vom Geheimdienst knackbar bleiben.

Mittlerweile ist die Rechenleistung aber dramatisch gestiegen. So schätzen die Wissenschaftler, dass Universitäten bereits Verbindungen mit 768-bit-Verschlüsselung knacken können und 1024 bit für Regierungen auch kein Problem mehr sind. Browserhersteller wie Mozilla und Google wollen deshalb künftig zumindest 1024 bit als Mindestwert für verschlüsselte Verbindungen einführen. 2048 bit sei deswegen nicht durchführbar, da zu viele Webseiten aktuell ein Problem hätten und in weiterer Folge nicht mehr aufgerufen werden könnten.