Heartbleed-Bug gefährdet SSL-Zertifikate

Der GAU für Verschlüsselung im Web – So titelt heise.de über einen der schwersten Bugs im Bereich der SSL-Verschlüsselung von Websites.

Alle bei myracloud betroffenen Systeme wurden kurzfristig nach erfolgreichem Testing mit dem Sicherheitsupdate versehen. Damit sind alle myracloud-Kunden automatisch vor dieser Sicherheitslücke geschützt.

Laut der OpenSSL-Foundation können Angreifer über diese Sicherheitslücke einen 64kB großen Teil des Memorys eines verbundenen Servers auslesen. (mehr Infos: CVE-2014-0160)

Wir raten allen Betreiber von Webservern ihre OpenSSL-Bibliothek ebenfalls schnellstmöglich auf Version 1.0.1g upzudaten. Frühere Versionen von OpenSSL sollten mit dem Flag OPENSSL_NO_HEARTBEATS erneut kompiliert werden. OpenSSL 1.0.2 wird mit dem Update auf 1.0.2-beta2 einen eigenen Fix für diese Schwachstelle erhalten.

Das Sicherheitskonzept von myracloud ermöglicht umfassend geschützten und sicheren Betrieb von Web-Applikationen. Dieser Anspruch wurde durch die schnelle Reaktion auf diese Sicherheitslücke einmal mehr unter Beweis gestellt.

Für Fragen zur Heartbleed-Schwachstelle und zu myracloud stehen wir Ihnen gerne unter +49 89 / 41 41 41 -345 zur Verfügung.

Jeder Internet-Nutzer, der mit einem Webbrowser auf eine Web-Seite zugreift, nutzt es, meistens ohne es zu bemerken. Gemeint ist TCP, das Transmission Control Protocol aus dem Jahre 1981 (RFC 793). Damals war nicht absehbar welche Bedeutung das Protokoll für die gesamte Welt haben würde.

Trotz seines Alters funktioniert das Protokoll bis heute. Jede Sekunde fließen Milliarden von TCP-Paketen durch die Kupfer- oder Glasfaser-Kabel rund um die Welt.

TCP hat allerdings einige Besonderheiten, die es angreifbar und insbesondere Webserver-Betreibern das Leben durch regelmäßige Denial of Service Attacken schwer machen.

Der erste Schritt bei der Etablierung einer TCP-Session ist der sogenannte Handshake. Dabei schickt der Rechner eines Webseiten-Besuchers ein sogenanntes SYN-Paket. Dadurch, dass ein Angreifer besonders viele SYN-Pakete sendet, kann eine Überlastung des Servers herbeigeführt werden.

Dagegen sind bestimmte Maßnahmen bekannt und können eingesetzt werden. Die bekannten Mittel haben jedoch alle signifikante Vor- und Nachteile, die im Folgenden dargestellt werden.

• TCP-Stack ohne Schutz. Hier füllt sich die sogenannte Accept- oder Listen-Queue sehr schnell, so dass keine normalen Verbindungen mehr angenommen werden können. Der Angreifer erreicht sein Ziel, die „Abschaltung“ des Dienstes. Die meisten Linux-Distributionen werden in diesem Zustand ausgeliefert.

• TCP-Stack mit SYN-Cookies. Ist die Accept- oder Listen-Queue eines Dienstes erst mal gefüllt, kann der Server in den sogenannten zustandslosen SYN-Cookie-Modus umschalten. Linux und FreeBSD unterstützen das zum Beispiel, allerdings mit unterschiedlichen und abweichenden Methoden der Kodierung der Basisparameter wie MTU und Window-Size. Nachteil ist, dass bestimmte moderne Erweiterungen von TCP nicht unterstützt werden (Selective ACKs z.B.). Vorteil ist, dass bei leichten SYN-Floods bis mehrere hunderttausend Pakete pro Sekunde dieser Schutz ausreicht. Sobald diese Anzahl überschritten wird (>1mpps), sind allerdings die Kosten der Paketverarbeitung so signifikant, dass auch hier ein erfolgreicher Denial of Service (DoS) stattfindet.

• TCP-Stack mit SYN-Cookies und vorgeschaltetem SYN-Rate-Limiting. Durch das Limitieren der Anzahl SYN-Pakete pro Sekunde kann ein TCP-Stack geschützt werden, so dass zumindest die bereits aktiven TCP-Sessions und UDP-Pakete verarbeitet werden können. Durch das Rate-Limiting wird jedoch generell ein großer Teil auch der validen Anfragepakete verworfen, was wiederum die Verfügbarkeit des Dienstes für den Nutzer einschränkt. Der Ansatz ist besser als ein Komplettausfall, aber erfüllt nicht den Anspruch der vollen Verfügbarkeit.

Wie geht man nun effektiv mit großen SYN-Floods um ohne die Verfügbarkeit einzuschränken? Für den DDoS-Schutz myracloud haben wir Kernelmodule entwickelt, die viel früher in die Paketverabeitung eingreifen und dadurch mit sehr geringer Latenz und ohne Network-Stack-Overhead SYN-Flood-Angriffe effektiv bekämpfen und abwehren. Der Ansatz funktioniert ohne jeglichen Zustand auf der Filterebene und braucht auch, anders als der für Linux 3.12 vorgeschlagene SYN-Proxy, keine Translation jedes(!) einzelnen(!) Paketes der so aufgebauten TCP-Session. Das ist effizienter, schneller und weniger fehleranfällig und bewältigt somit auch sehr große Angriffe mit minimalem Ressourcen-Verbrauch.

Ab sofort bietet myracloud auch Schutz gegen DDoS-Angriffe auf SMTP-Systeme (Simple Mail Transfer Protocol).

Durch die meist sehr veraltete Prozess-Struktur von Mail Transfer Agents (MTA), die Emails annehmen und zustellen, sind solche Systeme besonders verwundbar. Das gilt insbesondere für sendmail, postfix, qmail und exim, die weiterhin sehr starke Verbreitung geniessen.

Bei einem solchen Angriff wird ein Botnet benutzt um Verbindungen zu Port 25 bzw. 587 aufzubauen. Auf dieser Verbindung schicken die Bots dann  sehr langsam Daten oder halten die Verbindung einfach nur offen und machen so eine Verwendung des Dienstes durch normale Nutzer unmöglich. Das Prinzip entspricht slowloris für Angriffe auf HTTP-Server.

Da pro Verbindung oftmals ein separater Prozess unter UNIX/Linux gestartet wird, werden so sehr schnell die Grenzen der jeweiligen Mailserver erreicht.

Effektiv kann das so angegriffene Unternehmen nicht mehr mit der Außenwelt per E-Mail kommunizieren. Was das konkret in der heutigen digitalen Welt für ein Unternehmen bedeutet, brauchen wir hier sicherlich nicht ausführen.

myracloud kann problemlos Angriffe auch größter Botnetze abfangen und neutralisieren, so dass Ihre Infrastruktur sowie Geschäft gesichert werden. Bei Fragen nehmen Sie einfach Kontakt auf.

Der DDoS-Schutz von myracloud funktioniert vollkommen automatisiert. So hat sich am Sonntag ein Kunde auf der Plattform selbst registriert und seine Domain eingerichtet.Wie die folgenden Graphen zeigen geschah das aus sehr konkretem Anlass.

Was wir hier sehen sind zwei große SYN-Floods aus einem Botnet. Dass es sich um ein Botnet handelt, sieht man am Verhältnis der gesendeten zu empfangenen SYN-Cookies.
SYN-Cookies werden dann von uns automatisiert aktiviert, wenn gleichzeitig sehr viele Verbindungsanfragen einen Server erreichen.

Da dieser Angriff nicht erfolgreich war, wurde das Botnet zur GET-Flood-Schleuder umfunktioniert. Das zeigt der folgende Graph der HTTP-Anfragen an mehrere Anycast-Server. Dabei versucht der Angreifer durch sehr viele parallele Zugriffe einen Dienst lahmzulegen.

Auch hier hat myracloud effektiv gefiltert und im zweistelligen Millionen-Bereich HTTP-Anfragen abgefangen, so dass die geschützte Seite ohne Einschränkung funktionierte.

Bei Fragen zu myracloud kontaktieren Sie uns einfach unter vertrieb@myracloud.com bzw. telefonisch unter 089/414141-345.

Das BKA warnt vor einer stetigen Zunahme der Online-Kriminalität. Auch in unserem Fokusgebiet waren die letzten 10 Tage sehr interessant.  In dieser Zeit fanden deutlich mehr Angriffe auf die myracloud-Kunden statt als sonst. Ein kleiner Auszug aus einer Location zeigt das deutlich:

Die dabei benutzten Angriffe waren typischer Natur:

• DNS Amplification
• POST-Requests mit extrem großem Response Body
• POST-Requests auf unsinnige URLs wie / und Suchformulare
• SYN-Floods
• GET-Floods ohne Muster

und diverse andere, weniger auffällige Angriffe. Gemein haben sie, dass der DDoS-Schutz myracloud die Angriffe automatisiert unschädlich macht und so den Online-Händler vor Image- und Umsatzverlust schützt.

Aus Gesprächen mit Ermittlungsbehörden können wir ausserdem ergänzen, dass die Aufklärungsquote bei dieser Art von Delikten sehr gering ist. Das BKA erwähnte in einer Pressemitteilung ca. 30%. Die Aufklärung der Verursacher von DDoS-Angriffen dürfte unserer Erfahrung nach sich eher in der Gegend von 0-2% bewegen.

BKA-Präsident: Cybercrime in fünf Jahren verdoppelt