Home - Über Swissdec - News - Detail
Home - Über Swissdec - News - Detail

swissdec Distributor

Swissdec Distributor

"Heartbleed" betrifft den Swissdec Distributor nicht

Die am 7. April 2014 bekannt gewordene kritische Schwachstelle "Heartbleed" in der weit verbreiteten Verschlüsselungssoftware OpenSSL betrifft den Swissdec Distributor nicht.
Seitens Swissdec und des Betreibers wurde die Schwachstelle auf den betroffenen Servern eingehend untersucht. Ergebnis der Analyse: der Swissdec Distributor war zu keiner Zeit verwundbar.

Was ist OpenSSL?

OpenSSL ist eine Open-Source-Implementierung des SSL-Protokolls sowie dessen Nachfolger TLS (Verschlüsselung auf Transport-Ebene). OpenSSL wird als Standardbibliothek in allen gängigen Betriebssystemen und Webservern verwendet. Laut Netcraft benutzen 66 % aller Webserver OpenSSL.

Was ist Heartbleed?

Offiziell als CVE-2014-0160 bekannt, ist Heartbleed ein kürzlich entdeckter Fehler in OpenSSL. Durch ihn kann ein Angreifer Zugriff auf den Arbeitsspeicher der involvierten Systeme erhalten.

Warum ist Heartbleed so gravierend?

Es gibt mehrere Gründe. Der erste und offensichtlichste ist, dass Webserver bei via SSL/TLS gesicherten Verbindungen sensitive Daten preisgeben können.

Da der Angreifer auf den Arbeitsspeicher zugreifen kann, sind nicht nur verbindungsrelevante Daten (SSL Schlüssel), sondern in unserem Fall auch Übermittlungsdaten (WS-Security Schlüssel oder die Lohndeklaration) gefährdet. Weiter gibt es keine Möglichkeit zu erkennen, ob ein betroffener Server bereits ausspioniert wurde. Die Attacke hinterlässt keine Spuren. Der Fehler besteht seit knapp 3 Jahren in OpenSSL – für potentielle Angreifer eine lange Zeit, um die Situation auszunutzen.

Swissdec: Sicherheit dank Doppelverschlüsselung

Die von unserem Provider (Swisscom) am SSL/TLS-Endpunkt eingesetzte Version war zu keinem Zeitpunkt durch "Heartbleed" angreifbar. Unsere Tests bestätigen, dass der Distributor auch zurzeit nicht angreifbar ist.

Zusätzliche Sicherheit gewährleistet die Swissdec Architektur durch die doppelte Verschlüsselung. Das heisst, dass nebst dem SSL-Tunnel (Transport Ebene) auch die Nutzdaten (Nachrichten Ebene, SOAP WS-Security) verschlüsselt sind. Die beiden Verschlüsselungen werden auf getrennten Systemen dekodiert (Dekodierreihenfolge: zuerst Transport, danach Nutzdaten). Damit wird eine Unabhängigkeit zwischen den beiden Ebenen geschaffen.

Auch die ausgehenden Daten vom Distributor zum Endempfänger sind doppelt verschlüsselt und damit grundsätzlich gesichert. Für den Empfang und die weitere Verarbeitung sind die jeweiligen Endempfänger selbst verantwortlich. Diesbezüglich sind uns aber bis heute auch keine Meldungen über Probleme bekannt.

 

Swissdec und Swisscom

 

Download:
News Swissdec Distributor


Zurück