Wenn Man-in-the-Middle-Attacken selten sind, ist Heartbleed dann so ernst wie vorgeschlagen? [geschlossen]


-1

Ich verbinde mich über eine gesicherte drahtlose Verbindung mit dem Internet. Ich bin mir ziemlich sicher, dass mich niemand in meinem LAN hat. Wie könnte jemand, der Heartbleed verwendet, um private Schlüssel zu stehlen, auf meine Daten zugreifen? Ich verstehe, dass sie meine Kommunikation entschlüsseln können, aber ich verwende Websites, auf denen ich mein Passwort ohne SSL eingebe, und meines Wissens hat noch niemand eines meiner Konten kompromittiert? Warum ist es so ein Sicherheitsrisiko, wenn MITMs für mich selten sind?

Antworten:


-1

Sie müssen zwischen MITM und jemandem unterscheiden, der Ihren Datenverkehr abfängt.

Für unverschlüsselten Datenverkehr (und Anmeldungen) muss sich ein Angreifer nur irgendwo zwischen Ihnen und dem Server befinden, zu dem Sie eine Verbindung herstellen. Er kann dann Ihr Passwort aus dem Netzwerk abrufen oder andere Informationen, die ausgetauscht werden.

Für verschlüsselten Verkehr ist dies nicht so einfach. Um eine verschlüsselte Verbindung anzugreifen, wird MITM (Mann in der Mitte) verwendet. Da der Angreifer den vom Server verwendeten Schlüssel nicht kennt, gibt der Angreifer vor, der Server für Sie zu sein. Anschließend stellt er eine Verbindung zum Server her und gibt vor, Sie zu sein und leitet Ihre ursprüngliche Anfrage weiter.

Anstelle einer verschlüsselten Verbindung zwischen Ihnen und dem Server gibt es zwei. Eine zwischen Ihnen und dem Angreifer und eine zweite zwischen dem Angreifer und dem Server.

Dies kann leicht von Ihnen erkannt werden, wenn Sie den Schlüssel überprüfen möchten , den der Server Ihnen beim Herstellen der Verbindung anzeigt. Da der Angreifer seinen eigenen Schlüssel verwenden muss, können Sie schnell feststellen, dass Sie nicht wirklich mit dem Server sprechen.

Mit HEARTBLEED wird es hier richtig hässlich. Heartbleed ermöglicht es einem Angreifer, den ursprünglichen geheimen Schlüssel direkt vom Server abzurufen. Zu diesem Zeitpunkt haben Sie keine Chance herauszufinden, dass Sie angegriffen werden.

Wenn Sie die ganze Zeit unverschlüsselte Verbindungen verwenden, wirkt sich HEARTBLEED nicht negativ auf Sie aus.

Dies ist vergleichbar mit dem Fahren ohne Sicherheitsgurt, wenn bekannt wird, dass es ein Problem mit einigen Sicherheitsgurten gibt, das dazu führen kann, dass sie bei einem Unfall entriegelt werden. Für Sie spielt es keine Rolle, weil Sie die sofort verfügbaren Sicherheitsvorrichtungen nutzen.

PS: Heartbleed leckt zufällige Daten. Dies kann der private Schlüssel sein oder alles andere, was der Server derzeit im Speicher hat. Ein Verlust des privaten Schlüssels wird in diesem Szenario nur als der schlimmste Fall angesehen.

TL; DR: MITM-Angriffe sind selten, da sie schwer einzurichten und leicht zu erkennen sind. Heartbleed ist schwerwiegend, weil Sie es nicht erkennen können und es viel einfacher anzuwenden ist.


Sie beantworten die Frage nicht: HeartBleed ist kein MITM-Angriff
Jan Doggen

Ich spreche speziell die Tatsache an, dass Heartbleed und MITM etwas ganz anderes sind. Wenn Ihnen das unklar ist, können Sie den Wortlaut verbessern.
Squeezy

@Squeezy beide Antworten waren gut, aber meiner Meinung nach erklärte diese Antwort es besser für mich.
Cameron

6

Heartbleed erfordert keinen Man-in-the-Middle-Angriff, um ein System zu gefährden. Tatsächlich müssen Sie nicht einmal mit der anfälligen Site verbunden sein, damit Ihre persönlichen Daten gefährdet werden.

Der Heartbleed-Fehler in OpenSSL ermöglicht es einem Angreifer, Informationen aus dem Speicher des anfälligen Systems zu lesen.

Das Lesen von heartbleed.com sollte die meisten Ihrer Fragen beantworten.


Woops, darüber habe ich nicht nachgedacht. Sicherlich ist es unwahrscheinlich, dass Informationen über Sie gespeichert werden, wenn Sie nicht auf die Site zugreifen.
Cameron

@Cameron Sitzungsinformationen können gespeichert werden, wenn die Option angeboten wird, angemeldet zu bleiben
Ramhound,
Durch die Nutzung unserer Website bestätigen Sie, dass Sie unsere Cookie-Richtlinie und Datenschutzrichtlinie gelesen und verstanden haben.
Licensed under cc by-sa 3.0 with attribution required.