Verschlüsselung & Datensicherheit

NSA spricht sich für starke Verschlüsselung im Web aus und gibt Tipps

Kommen auf Webservern veraltetet Verschlüsselungsprotokolle zum Einsatz, könnten Angreifer beispielsweise Bank-Daten mitschneiden. Das will die NSA verhindern

Die National Security Agency (NSA) warnt vor veralteten Verschlüsselungsprotokollen wie TLS 1.0 (Transport Layer Security) und rät zum Einsatz aktuellerer Verfahren, um Datenverkehr im Internet effektiver zu schützen. Mit ihren Hinweisen richten sie sich vor allem an Regierungsorganisationen und Unternehmen.

Kümmern sich Web-Admins nicht darum, könnten Angreifer in einigen Fällen als Man-in-the-Middle mit vergleichsweise wenig Aufwand die Verschlüsselung aufbrechen und so beispielsweise Passwörter und andere persönliche Daten kopieren. Das ist besonders gefährlich, wenn das etwa auf einer Banking-Website passiert.

Verschlüsselungstipps der NSA

Der TLS-Standard verschlüsselt den Datenverkehr beim Abruf von Websites (HTTPS). Außerdem ist TLS der wichtigste Standard für Authentifizierung im Internet. In einem Paper listet die NSA unter anderem die ihrer Einschätzung nach obsoleten Verfahren SSL 2.0, SSL 3.0, TLS 1.0 und TLS 1.1 auf. TLS 1.0 ist seit über 20 Jahren im Einsatz und setzt auf die schon lange als unsicher geltenden Hash-Verfahren MD5 und SHA-1.

Admins sollten auf die derzeit als sicher geltenden Verschlüsselungsprotokolle TLS 1.2 oder TLS 1.3 setzen. Im Zuge dessen sollten sie unsichere Verfahren am besten komplett deaktivieren, ansonsten könnten Angreifer Websites mit Downgrade-Attacken wie Freak malträtieren.

Außerdem sollten auf keinen Fall unsichere Verschlüsselungsalgorithmen wie RC4 oder DES zum Einsatz kommen. Wichtig ist darüber hinaus auch der Einsatz von sicheren Schlüsselaustauschverfahren wie Diffie Hellman auf elliptischen Kurven (ECDH).

Bei den Webbrowsern haben sich bereits Chrome, Firefox & Co. von TLS 1.0/1.1 verabschiedet. Die Internet Engineering Task Force (IETF) arbeitet schon seit 2018 an einem Verbot von alten TLS-Versionen.

 

Quelle: heise Online Redaktion

Zurück

Diesen Beitrag teilen
Weitere Meldungen zum Thema
oben