HTTPS Sicherheitslücke

    Allgemein:


    https://weakdh.org/sysadmin.html


    Speziell:


    - Apache 2.4 verwenden, bei Debian: Update auf Debian Jessie
    - Rest siehe obige Page (ProFTPd, Dovecot)
    - Postfix ist bereits safe (passende Cipher, DH-Parameter mit 2048Bit)
    - Dovecot erzeugt bereits jetzt die DH-Parameter 1x / Woche neu. Jessie bringt Dovecot 2.2 mit, da kann dann der DH-Parameter auch festgelegt werden (vgl. Wiki)
    - ProFTPd hat TLSDHParamFile. Einbinden via conf.d und manuell erzeugen.



    Ich schätze mal, dass Herr Keppler obige Schritte mit dem nächsten LC-Update berücksichtigt und sich LC dann automatisch darum kümmert.
    - Vorsicht: es gibt noch Clients, die u.U. keine DH-Parameter mit mehr als 1024 Bit vertragen.

    Zitat von RB-Media-Group

    in der Anleitung werden/wurden ändernungen an der vhost der jeweiligen Domain vorgenommen, und die werden von LiveConfig ja überschrieben.


    Die Cipher-Suites? Ja, allerdings ist LiveConfig da eh schon soweit auf der sicheren Seite, dass keine Änderung mehr notwendig ist.


    Gravierender ist die Tatsache, dass der Apache die unsichere Primzahl für DH verwendet. Und dafür reicht die Zeile mit "SSLOpenSSLConfCmd" in die conf.d/*.conf. Der Parameter ist aber erst ab 2.4 verfügbar, für 2.2 gibt es keine (sinnvolle) Möglichkeit, die DH-Parameter >1024 Bit zu erzwingen.


    Oder habe ich da erneut was übersehen?

    Zitat von antondollmaier


    Oder habe ich da erneut was übersehen?


    Ist auch mein Wissensstand. Im Heise-Forum stand was von einem Backport unter Redhat, aber das nützt mit als Debian7-User wenig. Es gibt außerdem Patches für die Sources, da kann man sich einen 2.2er selber kompilieren (sofern man so hirnrissiges Zeugs machen will).


    Mit 1024 stehen wir gar nicht so schlecht da, ich glaube herausgelesen zu haben, dass hier der Entschlüsselungsaufwand aktuell sehr hoch ist.


    Vielleicht sollten wir ein paar Tage abwarten und schauen, ob es da auch bei Debian evt einen Backport geben wird und irgendwann steht das Update auf Debian8 ja eh an.

    Zitat von aho546745

    Mit 1024 stehen wir gar nicht so schlecht da, ich glaube herausgelesen zu haben, dass hier der Entschlüsselungsaufwand aktuell sehr hoch ist.


    Das Problem ist die "geteilte" Prim-Zahl, die bei 1024 Bit verwendet wird. Es wäre also nötig, diese Prim-Zahl als Teil der DH-Parameter selbst zu generieren - was aber mit Apache2.2 nicht möglich ist.


    Es würde zwar gehen, solchen "openssl dhparam"-Output an die Zertifikate anzuhängen - aber ob das wirklich verwendet wird, wage ich zu bezweifeln. Bleibt also nur, die genannte Funktion aus dem Apache 2.4 zu verwenden.





    Zitat

    Vielleicht sollten wir ein paar Tage abwarten und schauen, ob es da auch bei Debian evt einen Backport geben wird und irgendwann steht das Update auf Debian8 ja eh an.


    Sehe ich auch so.

    Zitat von antondollmaier

    Und dafür reicht die Zeile mit "SSLOpenSSLConfCmd" in die conf.d/*.conf. Der Parameter ist aber erst ab 2.4 verfügbar, für 2.2 gibt es keine (sinnvolle) Möglichkeit, die DH-Parameter >1024 Bit zu erzwingen.


    sicher, dass das unter Debian Jessie funktioniert?
    Laut weakdh.org benötigt man openssl >= 1.0.2, bei Jessie ist derzeit 1.0.1k-3 dabei und der Changelog lässt keinen Backport erkennen...

    Ja, das ist in der Tat ein Problem (dass OpenSSL 1.0.2 benötigt wird was nicht bei Debian Jessie dabei ist).


    Aaaaber: :)
    1.) in Kürze wird Apache 2.2.30 freigegeben, der u.a. dieses Thema adressiert. Aufgrund der großen Verbreitung kann man wahrscheinlich davon ausgehen, dass der relevante Patch in die Versionen von Debian 6 & 7 portiert wird.
    2.) LiveConfig wird die eigenen DH-Parameter unter Debian 8 mit in die Zertifikatsdateien (.pem) schreiben. Somit werden die dann auch berücksichtigt, wenn eben der SSLOpenSSLConfCmd-Befehl nicht verfügbar ist.


    Im kommenden Update der 1.9er-Preview ist das bereits enthalten (dauert nur noch ein paar Tage bis wir die online stellen können).

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!

Benutzerkonto erstellen Anmelden