Freak Attack – eine neue alte Gefahr im Netz

Die Schwachstelle
Freak betrifft Datenverbindungen, die mit SSL bzw. dem SSL-Nachfolger TLS verschlüsselt sind, zu erkennen an dem httpS:// in der Adresszeile des Web-Browsers. Die Schwachstelle ermöglicht es Angreifern, die Verschlüsselung zu schwächen und eine Verbindung über eine unsichere, so genannte 512-Bit-RSA-Verschlüsselung zu erzwingen. Ein solcher 512-Bit-Schlüssel lässt sich in überschaubarer Zeit knacken. Umso mehr, als viele gängige Webserver den Schlüssel über längere Zeit im Cache zwischenspeichern. Ist der Schlüssel geknackt, kann der Angreifer den Datenverkehr abhören, mitschneiden und manipulieren.

Ursache und Hintergrund
Die schwachen RSA-Verschlüsselungsalgorithmen im SSL-Protokoll stammen aus den 90er Jahren und haben ihren Ursprung in den USA. Damals hat die US-Regierung die Nutzung effizienter, starker Krypto-Verfahren eingeschränkt – zugunsten der NSA. Stattdessen wurden künstlich geschwächte Verschlüsselungsverfahren eingesetzt. Auch nur diese durften von den USA aus ins Ausland verkauft werden.

Heute sollte der RSA-Export-Modus eigentlich nirgends mehr verwendet werden, doch die Realität sieht erschreckend anders aus. Viele Server unterstützen dieses alte Verfahren noch immer und sind damit für den Freak-Angriff verwundbar. Aktuelle Ironie der Geschichte: Auch die Webseite der NSA ist betroffen.

Welche Systeme sind angreifbar?
Damit eine Freak Attacke greifen kann, sind bestimmte Kombinationen aus Betriebssystem und Webbrowser Voraussetzung. Außerdem spielen die besuchten Webseiten eine Rolle.

Zu den betroffenen Browsern gehören (Auswahl):

• Android-Browser (blaue Weltkugel als Icon)
• Blackberry Browser
• Chrome (Android, OS X)
• Dolphin (Android, iOS)
• iCab (iOS)
• Internet Explorer (Windows, Windows Phone)
• Opera/Opera mini (Android, iOS, Linux, OS X)
• Safari (iOS, OS X, Windows)

Nicht betroffen sind nach derzeitigem Stand (Auswahl):

• Chrome (iOS, Linux, Windows)
• Firefox (Android, Linux, OS X, Windows)
• Opera (Windows)
• Puffin (iOS)

Apple hat die Freak-Attack-Lücke in OS X und iOS inzwischen geschlossen. Auch Microsoft hat für seine Windows-Systeme Sicherheitspatches veröffentlicht. Für das mobile Betriebssystem Windows Phone steht das Update noch aus.

Kein Grund zur Panik
Selbst wenn alle Voraussetzungen für einen “erfolgreichen” Freak-Angriff gegeben sind, gilt es in erster Linie Ruhe und Umsicht zu bewahren. Theoretisch ist Freak Attack zwar einfach auszuführen. Ein flächendeckender Angriff auf beliebige Nutzer ist in der Praxis aber durchaus kompliziert. Derzeit gibt es keine Hinweise darauf, dass die Freak-Schwachstelle in großem Stil ausgenutzt wird.

Etwas anders sieht die Problematik in öffentlichen Netzwerken wie z.B. Cafés aus. Hier kann die Sicherheitslücke gefährlich sein. Auch Geheimdienste mit entsprechend guten Ressourcen könnten die Schwachstelle nutzen, um Datenverkehr zu entschlüsseln und abzuhören.

Bleibt zu hoffen, dass die Bedrohung überwiegend Theorie bleibt. Alles in allem kaum auszudenken, zu welchem Flächenbrand die staatlich verordneten Regulierungen der Vergangenheit Jahrzehnte später noch führen könnten.