Beveiligingsupdate OpenSSL schakelt sslv2 uit
De ontwikkelaars van OpenSSL hebben een belangrijke beveiligingsupdate uitgebracht die meerdere kwetsbaarheden verhelpt, waaronder de vandaag aangekondigde DROWN-aanval. Via dit lek kan een aanvaller, door gebruik te maken van het oude sslv2-protocol dat veel servers nog steeds ondersteunen, de inhoud van versleutelde verbindingen lezen en zo gevoelige informatie achterhalen.
Om het probleem te verhelpen heeft OpenSSL besloten om in OpenSSL 1.0.2g en 1.0.1s sslv2 standaard uit te schakelen. Daarnaast worden de 'sslv2 export-ciphers' verwijderd. In totaal verhelpen OpenSSL 1.0.2g en 1.0.1s acht beveiligingslekken. Twee daarvan zijn als "high" aangemerkt. Naast de DROWN-kwetsbaarheid gaat het om een beveiligingslek dat in OpenSSL-versies voor 19 maart 2015 aanwezig is. Via deze kwetsbaarheid is het mogelijk om de sslv2-meestersleutel via slechts 16 verbindingen te bepalen. Ook laat het aanvallers een efficiëntere DROWN-aanval uitvoeren. De kwetsbare code werd op 19 maart 2015 al in OpenSSL 1.0.2a, 1.0.1m, 1.0.0r en 0.9.8zf gepatcht.
Hetzelfde geldt voor de enige kwetsbaarheid die als "moderate" werd bestempeld en het ook mogelijk maakt om een efficiëntere DROWN-aanval uit te voeren. De resterende vijf kwetsbaarheden kregen met het stempel "Low" de laagste beoordeling. Gebruikers krijgen het advies om naar OpenSSL 1.0.2g of 1.0.1s te upgraden. OpenSSL is één van de meest gebruikte software voor het versleutelen van internetverbindingen, bijvoorbeeld tussen websites en hun bezoekers.
Wat een onzin om te stellen dat het vragen is om problemen, dan kan je ook zeggen dat een computer aan het internet hangen vragen om problemen is.
Ook OpenSSL is, mits geüpdatet, is prima af te richten zodat het veilig te gebruiken is. Ook online, te controleren via b.v.: www.ssllabs.com.
dood? dat vind ik overdreven. Als je het configureerd totdat je een mooie Qualys labs A of A+ rating krijgt, dan is het echt wel veilig. En met elke software is wel eens wat en daarom moet je patchen.
Uit https://tls.mbed.org/tech-updates/releases/polarssl-1.2.6-released:
[...]
On request, we have re-added handling of SSLv2 Client Hello messages when the define POLARSSL_SSL_SRV_SUPPORT_SSLV2_CLIENT_HELLO is set.
[...]
SSLLabs says I have SSLv2 disabled. That means I’m safe, right?
Unfortunately, no. Although SSLLabs provides an invaluable suite of security tests, right now it only checks whether your HTTPS server directly allows SSLv2. You’re just as much at risk if your site’s certificate or key is used anywhere else on a server that does support SSLv2.
dood? dat vind ik overdreven. Als je het configureerd totdat je een mooie Qualys labs A of A+ rating krijgt, dan is het echt wel veilig. En met elke software is wel eens wat en daarom moet je patchen.
Probeer dan met sslv2/3 een A+ rating te krijgen , ik vrees dat je dit niet gaat lukken .......
Als een protocol niet klopt heb je immers weinig keuze. OpenSSL neem die keuze nu voor jou.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
