Lücke in SSL 3 : Vorsicht bissiger Pudel !

Die von mir geschätzte IT-Beraterin Sophie Wrobel (Ave Sophos) hat mich darauf aufmerksam gemacht, dass es bei SSL-3 Verbindungen durch die Manipulation des Handshakes möglich ist Identiäts-Cookies, wie z.B. den Google, Amazon, eBay oder Facebook-Login, zu übernehmen.

Die Verschlüsselungsschicht SSL3 stammt aus dem Jahr 1995 und wurde bereits 1999 durch die Folgetechnologie TLS abgelöst. Viele Browser können aus kompatibilitätsgründen das veraltete SSL3 Protokoll jedoch noch bedienen, was durch die nun entdeckte Lücke, von den Entdeckern Poodle getauft, ein enormes Sicherheitsrisiko für alle Internet-Nutzer darstellt.

Die Browser-Hersteller sind gerade dabei die Unterstützung für SSL3 abzuschalten oder auszubauen. Auf folgender Website können Sie testen Ihr Browser vom Poodle-Problem betroffen ist: https://www.poodletest.com

Falls dort der schwarze Pudel erscheint können Sie die Nutzung von TLS statt SSL über eine manuelle Einstellung im Browser erzwingen:

Firefox

Geben Sie about:config in die Adresszeile ein. Bestätigen Sie den Warnhinweis. Suchen Sie nach dem Eintrag security.tls.version.min und setzen dessen Wert von 0 auf 1.

Chrome

Ergänzen Sie die Eigenschaften des Startlinks um den Parameter –ssl-version-min=tls

Internet Explorer

Entfernen Sie die Auswahl SSLv3 unter "Einstellungen", "Internet Optionen", "Erweitert", "Sicherheit".

PS: SSL = Secure Socket Layer / TLS = Transport Layer Security