1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › TLS: Netgear verteilt private…

Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

  1. Thema

Neues Thema Ansicht wechseln


  1. Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

    Autor: taschenorakel 21.01.20 - 09:45

    Ich bin schon ein ganzes Stück über diese Diskussion und die angebliche Sicherheitslücke erstaunt: Der private Schlüssel eines TLS-Zertifiakts ist IMMER für den HTTPS-Server lesbar im Dateisystem oder TPM hinterlegt: Irgendwie muss der TLS-Code ja an den Schlüssel rankommen. Das geht nicht anders: Passwort eintippen oder vorlesen scheidet aus. Jeder von Maschinen genutzte private Schlüssel ist prinzipiell auslesbar und somit kompromittiert. Mal mit wenig Aufwand, mal mit etwas mehr Aufwand. Deshalb ja die kurze Lebensdauer von z.B. Let's-Encrypt-Schlüsseln.

  2. Re: Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

    Autor: z3r0t3n 21.01.20 - 10:10

    Natürlich ist der private Schlüssel auf dem Server gespeichert und auch im RAM geladen. Aber darum geht es doch auch nicht, oder? Es geht doch eher darum, dass jeder diesen Schlüssel aus dem FW-Image extrahieren kann und damit Nutzer _beliebiger_ Netgear-Router angreifen kann?

  3. Re: Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

    Autor: MarcusK 21.01.20 - 10:10

    taschenorakel schrieb:
    --------------------------------------------------------------------------------
    > Ich bin schon ein ganzes Stück über diese Diskussion und die angebliche
    > Sicherheitslücke erstaunt: Der private Schlüssel eines TLS-Zertifiakts ist
    > IMMER für den HTTPS-Server lesbar im Dateisystem oder TPM hinterlegt:
    > Irgendwie muss der TLS-Code ja an den Schlüssel rankommen. Das geht nicht
    > anders: Passwort eintippen oder vorlesen scheidet aus. Jeder von Maschinen
    > genutzte private Schlüssel ist prinzipiell auslesbar und somit
    > kompromittiert. Mal mit wenig Aufwand, mal mit etwas mehr Aufwand. Deshalb
    > ja die kurze Lebensdauer von z.B. Let's-Encrypt-Schlüsseln.
    richtig, aber es geht hier darum das der KEY im Internet für jeden sichtbar ist.
    Das ist sehr unschön.

  4. Re: Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

    Autor: taschenorakel 21.01.20 - 10:34

    MarcusK schrieb:
    --------------------------------------------------------------------------------
    > taschenorakel schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Ich bin schon ein ganzes Stück über diese Diskussion und die angebliche
    > > Sicherheitslücke erstaunt: Der private Schlüssel eines TLS-Zertifiakts
    > ist
    > > IMMER für den HTTPS-Server lesbar im Dateisystem oder TPM hinterlegt:
    > > Irgendwie muss der TLS-Code ja an den Schlüssel rankommen. Das geht
    > nicht
    > > anders: Passwort eintippen oder vorlesen scheidet aus. Jeder von
    > Maschinen
    > > genutzte private Schlüssel ist prinzipiell auslesbar und somit
    > > kompromittiert. Mal mit wenig Aufwand, mal mit etwas mehr Aufwand.
    > Deshalb
    > > ja die kurze Lebensdauer von z.B. Let's-Encrypt-Schlüsseln.
    > richtig, aber es geht hier darum das der KEY im Internet für jeden sichtbar
    > ist.
    > Das ist sehr unschön.

    Unabdingbar für das initiale Zertifikat, welches heutzutage notwendig ist, bis eine Internetverbindung besteht. Worüber man jetzt natürlich diskutieren kann, ob es klug ist, dass dieses initiale Zertifikat für "www.routerlogin.com" gültig ist und nicht nur für "welcome.netgear", "first.routerlogin.com", oder so.

  5. Re: Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

    Autor: MarcusK 21.01.20 - 10:45

    taschenorakel schrieb:
    --------------------------------------------------------------------------------
    > MarcusK schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > taschenorakel schrieb:
    > >
    > ---------------------------------------------------------------------------
    >
    > > -----
    > > > Ich bin schon ein ganzes Stück über diese Diskussion und die
    > angebliche
    > > > Sicherheitslücke erstaunt: Der private Schlüssel eines TLS-Zertifiakts
    > > ist
    > > > IMMER für den HTTPS-Server lesbar im Dateisystem oder TPM hinterlegt:
    > > > Irgendwie muss der TLS-Code ja an den Schlüssel rankommen. Das geht
    > > nicht
    > > > anders: Passwort eintippen oder vorlesen scheidet aus. Jeder von
    > > Maschinen
    > > > genutzte private Schlüssel ist prinzipiell auslesbar und somit
    > > > kompromittiert. Mal mit wenig Aufwand, mal mit etwas mehr Aufwand.
    > > Deshalb
    > > > ja die kurze Lebensdauer von z.B. Let's-Encrypt-Schlüsseln.
    > > richtig, aber es geht hier darum das der KEY im Internet für jeden
    > sichtbar
    > > ist.
    > > Das ist sehr unschön.
    >
    > Unabdingbar für das initiale Zertifikat, welches heutzutage notwendig ist,
    > bis eine Internetverbindung besteht. Worüber man jetzt natürlich
    > diskutieren kann, ob es klug ist, dass dieses initiale Zertifikat für
    > "www.routerlogin.com" gültig ist und nicht nur für "welcome.netgear",
    > "first.routerlogin.com", oder so.

    Es gibt aber keine CA der dir ein Zertifikat für welcome.netgear austellt.
    Dann muss du es selber Signieren und der Browser meckert wieder rum.

  6. Re: Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

    Autor: ChrisE 21.01.20 - 10:51

    Außerdem ändert es nix an der Problematik. MITM-Attacke wäre dennoch möglich.

  7. Re: Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

    Autor: neocron 21.01.20 - 11:03

    MITM Angriffe waren auch vorher schon moeglich, wo der Routerzugriff unverschluesselt geschah, wo genau sind die Beitraege, die das bemaengeln?

  8. Re: Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

    Autor: MarcusK 21.01.20 - 11:17

    neocron schrieb:
    --------------------------------------------------------------------------------
    > MITM Angriffe waren auch vorher schon moeglich, wo der Routerzugriff
    > unverschluesselt geschah, wo genau sind die Beitraege, die das bemaengeln?

    genau das ist ja da Problem, es gibt keine gute (bezahlbare) Lösung.

    Klar könnte man in jeden Router ein Cryptomodul einbauen und für jeden Router ein Individuelles Zertifikat erzeugen. Dann müsste die Hersteller viel Geld in diesen Feature investieren, was in meinen Augen lieber in die Hauptfunktionalität stecken sollten.

    Im Lokalen netzt, sollte eine Möglichkeit geschaffen werden ohne Zertifikate, verschlüsselt zu Kommunizieren. Damit besteht zwar die Möglichkeit eines MiM aber damit kann man wohl hoffentlich im Privaten Umfeld leben.

  9. Re: Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

    Autor: elgooG 21.01.20 - 12:42

    Die Forscher protestieren eigentlich wegen der Verschleierung von Lücken durch das Bug-Bounty-Programm.

    Selbstsignierte Zertifikate würden zumindest richtigerweise als unsicher dargestellt. Die könnten diese für jedes Gerät bei der Ersteinrichtung erzeugt werden und wären ironischerweise sogar sicherer als ein einzelnes Zertifikat von einem CA, das in x-facher Kopie vorliegt.

    Selbst Let's Encrypt ist keine ideale Lösung. Man könnte zwar sichere Zertifikate für alle Geräte individuell generieren lassen, aber für die Erneuerung müssen zwangsweise kritische Ports wie 80/443 extern geöffnet werden. Wenn man bedenkt wie oft es offene Lücken in Firmwares gibt und wie selten diese aktualisiert werden, kann das schnell kritisch werden.

    Es ist einfach das Prinzip der zentralen CAs, die Zertifikate problematisch machen. Da sind nicht nur Netzwerkgeräte betroffen, sondern auch unzählige Software-Webinterfaces und Intranet-Seiten.

    Kann Spuren von persönlichen Meinungen, Sarkasmus und Erdnüssen enthalten. Ausdrucke nicht für den Verzehr geeignet. Ungelesen mindestens haltbar bis: siehe Rückseite

  10. Re: Der private Schlüssel ist IMMER maschinenlesbar hinterlegt

    Autor: Profi_in_allem 21.01.20 - 12:50

    Vielleicht ein Verständnisprobem.

    Der öffentliche Schlüssel bzw der Request wird ja mitsamt privatem auf dem Server erzeugt, den Private-Key kann man auch noch zusätzlich mit einem Passwort versehen. Je nach Verfahren und da gibt es einige, wie auch versch. Formate.

    Der private Schlüssel ist aber sowieso verschlüsselt. Und der wird ja nur benutzt um die Authentizität des Servers zu checken (anhand des Zertifikats wiederum), die eigentliche TLS Verbindung läuft mit einem Session-Key ab, der Session-Key wird über den Handshake ermittelt und gilt nur für die jeweilige Session. Da gibt es noch viel mehr Punkte zu beachten.



    1 mal bearbeitet, zuletzt am 21.01.20 12:52 durch Profi_in_allem.

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Schaeffler Paravan Technologie GmbH & Co. KG, Schorndorf
  2. AKKA, München
  3. Lebensversicherung von 1871 a. G. München, München
  4. Stadtverwaltung Kaiserslautern, Kaiserslautern

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. 109€ (auch bei Saturn & Media Markt)


Haben wir etwas übersehen?

E-Mail an news@golem.de