Verschlüsselte Web-Verbindungen wie HTTPS sollen sicher stellen, dass die übertragenen Daten weder belauscht noch manipuliert werden können. Doch die Spezifikation enthält einen Fehler, der Man-in-the-Middle-Angriffe ermöglicht. Mit der gerade veröffentlichten Version Opera 10.50 bringt die norwegische Browser-Schmiede den ersten Browser heraus, der seinen Teil zur Lösung beiträgt.
Der Fehler in der Spezifikation des TLS- und des SSLv3-Protokolls ist seit November 2009 bekannt. Ein Angreifer kann sich durch Auslösen einer Neuvereinbarung (Renegotiation) von Sitzungsparametern einer verschlüsselten Verbindung zwischen Client und Server einklinken (Man-in-the-Middle-Angriff) und von beiden unbemerkt Daten hinzu fügen. Er könnte etwa beim Online-Banking eine weitere Überweisung einfügen.
Betroffen sind praktisch alle Browser und Web-Server sowie auch alle anderen Internet-Anwendungen, die zur Verschlüsselung der Verbindung auf TLS (Transport Layer Security) oder SSLv3 (Secure Socket Layer Version 3) setzen. Die Internet Engineering Task Force (IETF) hat im Februar eine Spezifikation für eine TLS-Erweiterung (RFC 5746) veröffentlicht, mit der das Problem gelöst werden soll.
Clients und Server müssen angepasst werden
Dazu ist es jedoch notwendig, dass alle Web-Server und Browser, die verschlüsselte Verbindungen mit TLS nutzen, aktualisiert werden. Damit der Schutz klappt, müssen Client und Server das neue Verfahren beherrschen und sich über dessen Verwendung einigen. Doch bislang sind mehr als 99 Prozent der Web-Server darauf noch nicht vorbereitet und auch bei den Clients sieht es nicht viel besser aus.
Der Browser-Hersteller Opera hat in der neuen Version 10.50 seiner Software seinen Beitrag geleistet. Das bleibt zunächst noch ohne nennenswerten Vorteil für Opera-Nutzer, da auch die Web-Server erst noch auf den Stand gebracht werden müssen. Yngve Pettersen, leitender Entwickler bei Opera, hat das Problem und Operas Lösung im Opera-Blog ausführlich dargestellt. Er schätzt, es könnte bis zu einem Jahr dauern, bis die Problemlösungen in der Breite umgesetzt sind.
Microsoft hat dazu eine Sicherheitsmitteilung veröffentlicht, die vor allem auf seine Server-Software IIS eingeht. Mozilla hat ebenfalls eine Lösung für Firefox und darauf basierende Browser in Arbeit, die zu Testzwecken in einigen "Nightly Builds" von Firefox bereits implementiert ist. (PC-Welt/cvi)