www.mikrocontroller.net und Sicherheitslücke

Autsch. Der Fehler ist ja wirklich übel :-(

http://en.wikipedia.org/wiki/Heartbleed_bug
http://www.heise.de/security/meldung/Der-GAU-fuer-Verschluesselung-im-Web-Horror-Bug-in-OpenSSL-2165517.html
http://heartbleed.com/

nginx ist generell auch betroffen, da auch diese Webserver-Software 
OpenSSL verwendet. Von daher ist die Frage von Fpga Kuechle durchaus 
berechtigt - mikrocontroller.net verwendet nginx als Webserver.

http://nginx.com/blog/nginx-and-the-heartbleed-vulnerability/

Allerdings sind nicht alle Versionen von OpenSSL mit diesem Fehler 
behaftet, sondern diese: 1.0.1 (bis 1.0.1f einschließlich)
und 1.0.2-beta

Hallo,

problematisch ist, dass das Serverzertifikat und damit auch die 
verwendeten Schlüssel noch die Alten sind. Theoretisch könnte also 
jemand in der Vergangenheit den privaten Serverschlüssel ausgelesen 
haben und nun missbrauchen können.

Allerdings setzt das voraus, dass auf dem Server in der Vergangenheit 
eine OpenSSL-Version > 0.9.8 und < 1.0.1g zum Einsatz kam.

Viele Grüße
Daniel

Daniel H. schrieb:
>> 0.9.8 und < 1.0.1g zum Einsatz kam.

Und das heartbeat aktiviert war ;-)

Wenn die Sicherheitslücke auf mk.net bestand, wäre allerdings ein Tausch 
der Zertifikate+Schlüssel dringend angesagt.

Fpga Kuechle schrieb:
> War/ist www.mikrocontroller.net vom Heartbleed Bug betroffen?
>
> Sollten alle Transaktionen die über diesen Server liefen als
> kompromittiert angesehen werden?
>
> Betrifft das auch das SVN-Depot?
>
> Sollte man unbedingt das user-Passwort neu setzen resp. ändern?

Schade, dass es keine Antwort gibt.

Rene H. schrieb:
> µC.net ist nicht (mehr?) betroffen. Siehe Anlage.

Das ist schön und gut. Nur: Falls µC.net betroffen war, dann täte man 
gut daran seine Passwörter hier zu ändern, da sie kompromittiert sein 
könnten. Von daher wäre es sinnvoll wenn der Forenbetreiber uns dies 
wissen lassen würde.

Mark Brandis schrieb:
> Nur: Falls µC.net betroffen war, dann täte man
> gut daran seine Passwörter hier zu ändern, da sie kompromittiert sein
> könnten.

Ach komm... Das ist ein Webforums-Passwort, kein Abschuss-Code für eine 
Interkontinental-Rakete.

Wenn jemand anfängt, unter meinem geklauten Nutzeraccount Nachrichten zu 
verfassen, dann kann ich das Passwort immer noch ändern.

Und wenn ich für ein Webforum dasselbe Passwort wie z.B. mein 
Online-Banking verwende, dann hab ich schon vorher irgendwas gehörig 
falsch gemacht. Dann wäre es aber wesentlich wichtiger&dringender, das 
Onlinebanking-Passwort zu ändern.

SMler schrieb:
> ist ja eh kein ssl an

Doch, die gibt's auch mit SSL.

SMler schrieb:
> der heartblead-bug hat auf den ersten blick absolut nichts mit
> passwörtern zu tun...

Auf den zweiten, dritten und vierten hingegen schon. ;-)

Exzellent erklärt im xkcd Webcomic:

http://xkcd.com/1353/
http://xkcd.com/1354/

@Εrnst B✶ (ernst)

>Wenn jemand anfängt, unter meinem geklauten Nutzeraccount Nachrichten zu
>verfassen, dann kann ich das Passwort immer noch ändern.

Es sei denn, dieser "jemand" hat es bereits für Dich getan ... ;-)

Die Lücke bestand auch hier, wurde aber kurz nach den ersten Meldungen 
geschlossen. Theoretisch ist es also möglich, dass SSL-Keys oder gerade 
zum Login eingegebene Passwörter ausgelesen wurden, die 
Wahrscheinlichkeit ist aber sehr gering. Wer allerdings die selben 
Passwörter für Webforen und wichtigere Dinge wie Email-Postfächer o.ä. 
verwendet, der sollte die Gelegenheit nutzen das zu ändern. Was den 
SSL-Key betrifft, Entschlüsselung der übertragenen Daten ist auch mit 
Kenntnis des SSL-Keys nicht möglich (Perfect Forward Secrecy), den 
könnte man allenfalls für einen MITM-Angriff nutzen.

> Betrifft das auch das SVN-Depot?

Der SVN-Server verwendet sowieso kein SSL.

Danke für die Info.