Autor: madmin

Auch die Medien werden langsam der Tatsache gewahr, dass es sich bei Heartbleed nicht um eine der vielen täglich entdeckten Sicherheitslücken handelt. Bekannt ist heute, dass mindestens die Passwörter von User-Accounts bei Facebook, Dropbox, Tumblr und Yahoo, möglicherweise auch Google, geändert werden sollten. Ich empfehle aus Sicherheitsgründen mindestens alle Onlinebanking-Passwörter sofort zu ändern. Wer auf Nummer sicher gehen will, sollte aber vorher überprüfen, ob der jeweilige Anbieter die Lücke schon geschlossen hat (sollte mittlerweile so gut wie überall der Fall sein, aber man weiß ja nie …). Das geht z.b. auf dieser Seite, indem man einfach die Web-Adresse des Dienstanbieters dort einträgt:
http://filippo.io/Heartbleed/

Sicherheitsexperten raten ja seit jeher dazu, User-Passwörter regelmäßig zu ändern. Die wenigsten Anwender machen das, die wenigsten Diensteanbieter zwingen ihre Nutzer nach einer gewissen Zeit zu einem Passwort-Wechsel – ich persönlich kenne nur Apple (zumindest, wenn man einen Entwickler-Account hat).

Spätestens jetzt bietet sich übrigens der Einsatz einer Software zum sicheren Verwalten von Passwörtern an. Ich setze seit Jahren auf 1Password und bin sehr zufrieden damit. Die Software gibt es für Mac, Windows sowie iOS und Android.

Am 08.04.2014 wurde eine dramatische Sicherheitslücke in der OpenSSL-Library der Versionen 1.0.1 bis 1.0.1f bekannt, die es Angreifern direkt ermöglichte, einen Teil des Speichers des angefragten Servers auszulesen und so an den privaten Schlüssel eines SSL-Zertifikats oder auch Benutzerdaten zu kommen. Mit dem Besitz des privaten Schlüssels ist sogar in der Vergangenheit abgefangener Traffic entschlüsselbar. Beschreibung des Heartbleed-Bugs

Mac OS X ist von dem Fehler nicht betroffen, weil es noch auf eine ältere Version der OpenSSL-Library (0.9.8y) setzt, wohl aber z.B. der Kerio Connect Mailserver in Version 8.2 bis einschließlich 8.2.3. Ein Patch wurde bereits bereitgestellt, Version 8.2.4 wird die Lücke vermutlich noch heute (09.04.2014) ebenfalls beseitigen. Wer auf Nummer Sicher gehen will, sollte darüber nachdenken, das Mail-Zertifikat vorzeitig zu erneuern und neue Passwörter für die User zu vergeben.

Hier gibt es eine Testseite zum Überprüfen der eigenen Server. Ich habe diesen Link auch benutzt, um einige Seiten, bei denen ich mich regelmäßig anmelde, zu überprüfen. Wenn auf einer dieser Seiten die Lücke noch vorhanden ist, mache ich einen großen Bogen darum, bis der Betreiber die Lücke auf seinem System geschlossen hat.
Für sicherheitsbewusste Anwender empfiehlt es sich nach diesem Vorfall, wichtige Passwörter zu erneuern (sollte man ja sowieso regelmäßig tun).

App-Tipp für Mac und iPhone/iPad: 1Password