Enginsight warnt vor Sicherheitsrisiken durch Sweet32-Schwachstelle
Die Sicherheitsanalysten von Enginsight weisen auf gravierende Mängel im Data Encryption Standard (DES) hin, die das sogenannte Sweet32-Sicherheitsrisiko ermöglichen.
Die unter der Kennung CVE-2016-2183 bekannte Schwachstelle resultiert aus der begrenzten 64-Bit-Blockgröße des DES-Verschlüsselungsalgorithmus. Diese Architektur macht den Standard anfällig für sogenannte Geburtstagskollisionen. Durch die statistische Analyse abgefangener Datenpakete sind Angreifer in der Lage, verschlüsselte Informationen, einschließlich sensibler Session-Cookies, zu entschlüsseln.
Nach Angaben von Enginsight sind grundlegende Internetprotokolle wie SSL/TLS, SSH, IPsec und OpenVPN von dieser Problematik betroffen. Ein erfolgreicher Angriff kann Unbefugten den Zugriff auf Server ermöglichen, wodurch diese beispielsweise schadhaften Code einschleusen können. Dies stellt ein erhebliches Risiko für die Integrität von IT-Infrastrukturen dar.
Als konkrete Abwehrmaßnahme empfiehlt das Unternehmen, sämtliche auf DES basierenden Chiffren zu deaktivieren. Dies betrifft insbesondere Varianten wie DES-CBC-SHA, DES-CBC3-SHA sowie entsprechende ECDH-RSA-Konfigurationen.
Unternehmen sind angehalten, ihre Protokolle zu überprüfen und auf modernere, sicherere Verschlüsselungsstandards umzustellen. Die Schwachstelle unterstreicht die Notwendigkeit für IT-Verantwortliche, veraltete Standards konsequent aus den Systemkonfigurationen zu entfernen, um die Datensicherheit langfristig zu gewährleisten.