1OpenSSL
Nr. 1 — OpenSSL. In den Listen von 8 von 10 KIs; mittlerer Platz dort: 1. Es übernimmt die TLS-Verschlüsselung in PHP, Node.js, Python und .NET und hat die längste Liste an Speicherfehlern, Heartbleed eingeschlossen.
Schon gewusst?
Heartbleed wurde zweimal unabhängig voneinander entdeckt. Neel Mehta von Google meldete die Lücke OpenSSL am 1. April 2014. Die Sicherheitsfirma Codenomicon fand denselben Fehler, als sie ihre eigenen Testwerkzeuge verbesserte, und nennt als Datum den 3. April 2014.
- Was es ist
- Die wichtigste TLS- und Verschlüsselungsbibliothek, die PHP, Node.js, Python und .NET mitbringen.
- Seine Stärke
- Sie hat weit mehr erfasste CVEs als Brotli oder zlib: 330 bei OpenCVE.
- Wen es angeht
- Nützlich für alle, die wissen wollen, warum der Verschlüsselungscode eines Webservers ein Hauptziel für Angriffe ist.
- Verbreitung und Speicherfehler-CVEs330 CVEs bei OpenCVE
Warum es hier steht
Als Heartbleed öffentlich wurde, galten etwa 17% der vertrauenswürdigen sicheren Webserver des Internets, rund eine halbe Million, als gefährdet. Der fehlerhafte OpenSSL-Code war mit der Version 1.0.1 am 14. März 2012 verbreitet worden.
Schon gewusst?
Der fehlerhafte Code von Heartbleed gelangte am 31. Dezember 2011 in OpenSSL, weil ein Prüfer den Fehler übersehen hatte. Mit Version 1.0.1 wurde er im März 2012 ausgeliefert. Er lag also über zwei Jahre in der Bibliothek, bevor Neel Mehta von Google ihn im April 2014 meldete.
Geschichte
Als der Heartbleed-Fehler 2014 gefunden wurde, hielt eine Handvoll Freiwilliger OpenSSL am Laufen, nur einer davon in Vollzeit. Die jährlichen Spenden betrugen etwa 2.000 US-Dollar. Der Fehler steckte seit 2012 im Code.
Gut zu wissen
Eine Studie aus dem Jahr 2020 stellte fest, dass sich nach Heartbleed die Code-Änderungen pro Monat verdreifachten und 91 Schwachstellen gefunden und behoben wurden. Sie argumentiert außerdem, dass die Zahl der Schwachstellen ein schwacher Maßstab dafür ist, wie sicher eine Bibliothek ist.
Weiterlesen
Öffnen Sie die Sicherheitsmeldungen von OpenSSL und lesen Sie zuerst den neuesten Eintrag. Prüfen Sie dabei, welche OpenSSL-Versionen laut Eintrag betroffen sind.
