Im Laufe der Jahre wurden verschiedene Sicherheitsprobleme bei TLS-Implementierungen identifiziert und untersucht. Diese Probleme haben zu Bedenken hinsichtlich der Sicherheit und Integrität der Netzwerkkommunikation geführt. Die Identifizierung und Behebung dieser Schwachstellen ist von entscheidender Bedeutung, um die Vertraulichkeit, Integrität und Authentizität der über das Internet übertragenen Daten zu gewährleisten.
Einige der bekanntesten Schwachstellen sind:
- BEAST (Browser Exploit Against SSL/TLS) ist ein Angriff auf die Cipher Block Chaining (CBC) Verschlüsselung im SSL/TLS Protokoll.
- CRIME (Compression Ratio Info-leak Made Easy) ist ein Angriff, der es ermöglicht, gesicherte HTTP-Verbindungen (HTTPS) abzuhören und damit beispielsweise Session-Cookies zu stehlen.
- DROWN (Decrypting RSA with Obsolete and Weakened eNcryption) ist ein Angriff auf HTTPS und andere Dienste, die SSL und TLS nutzen, und ermöglicht es Angreifern, Kommunikation abzufangen und zu entschlüsseln.
- Heartbleed ist eine schwerwiegende Schwachstelle in der OpenSSL-Bibliothek, die Angreifern erlaubt, Speicherinhalte auf dem Server und Client auszulesen.
- POODLE (Padding Oracle On Downgraded Legacy Encryption) ist eine Schwachstelle in bestimmten Versionen von SSL, die es Angreifern ermöglicht, den Verschlüsselungscode zu knacken und sensible Daten zu stehlen.
- ROBOT (Return Of Bleichenbacher`s Oracle Threat) ist ein Angriff auf das RSA Verschlüsselungsverfahren in SSL und TLS.
- Ticketbleed ist eine Softwarefehler im Session Resumption Prozess von TLS, das zu Informationslecks führt.
Empfohlene Maßnahmen
- Halten Sie Ihre Technologie auf dem neuesten Stand: Installieren Sie Patches und Updates Ihrer TLS-Implementierungen zeitnah, um bekannte Sicherheitslücken in der von Ihnen verwendeten Implementierung zu schließen.
- Verwenden Sie nur aktuelle TLS-Versionen: Verwenden Sie ausschließlich TLS 1.2 und TLS 1.3 und deaktivieren Sie veraltete SSL- und TLS-Versionen.