cirosec, der Spezialist im IT-Sicherheitsbereich, warnt vor Angriffsmöglichkeiten auf angeblich sichere Firmen-E-Mail-Systeme und deren Nutzung ohne VPN-Verschlüsselung über das Internet.
Hersteller von E-Mail-Systemen behaupten oft, dass die Kommunikation zwischen E-Mail-Client und E-Mail-Server verschlüsselt und generell sicher ist. Allerdings ist diese Verschlüsselung zwischen Client und Server oft unzureichend implementiert. Dadurch werden Angriffe auf die Kommunikation möglich.
Dies wurde einmal mehr bei einer Sicherheitsüberprüfung deutlich, die Andreas Schmidt, Berater bei der cirosec GmbH, im Auftrag eines Kunden durchgeführt hat. Bei der Überprüfung des GroupWise Mail-Systems von Novell war es ihm möglich, trotz SSL-Verschlüsselung die Kommunikation zwischen Client und Server anzugreifen und die Anmeldeinformationen (Benutzername und Passwort) abzugreifen, ohne dass dies für den Anwender sichtbar gewesen wäre. Möglich war dieser so genannte Man-In-The-Middle-Angriff durch gravierende Fehler bei der Implementierung der Verschlüsselung des Protokolls, das für die Kommunikation zwischen Client und Server genutzt wird.
Ist ein Angreifer einmal in Besitz von den genannten Anmeldeinformationen, kann er sich anschließend am GroupWise Server anmelden und somit auf die Daten des Opfers zugreifen. Dies ist besonders dann kritisch, wenn Anwender ungeschützt, also ohne VPN aus öffentlichen Netzen, wie beispielsweise von Hotel-WLANs auf firmeninterne Daten zugreifen.
Die Angriffsmöglichkeit wurde nach der Entdeckung an den Hersteller Novell gemeldet, der mittlerweile einen Patch veröffentlicht hat, durch den die gemeldete Schwachstelle behoben wird. Allerdings ist diese Art von Fehler auch bei allen anderen kommerziellen E-Mail-Systemen denkbar. Deshalb empfiehlt cirosec, sich nicht auf die herstellerseitige Verschlüsselung zu verlassen, sondern auf jeden Fall die Kommunikation über eine VPN-Verschlüsselung zu implementieren, insbesondere bei Nutzung von E-Mail-Systemen über das Internet.
Ein Advisory der cirosec GmbH zu dem Fehler in Novell GroupWise findet sich unter http://www.cirosec.de/
deutsch/dienstleistungen/advisory_040607.html
Der Patch von Novell findet sich unter http://download.
novell.com/Download?buildid=T5KoQlP4WUo~
Hersteller von E-Mail-Systemen behaupten oft, dass die Kommunikation zwischen E-Mail-Client und E-Mail-Server verschlüsselt und generell sicher ist. Allerdings ist diese Verschlüsselung zwischen Client und Server oft unzureichend implementiert. Dadurch werden Angriffe auf die Kommunikation möglich.
Dies wurde einmal mehr bei einer Sicherheitsüberprüfung deutlich, die Andreas Schmidt, Berater bei der cirosec GmbH, im Auftrag eines Kunden durchgeführt hat. Bei der Überprüfung des GroupWise Mail-Systems von Novell war es ihm möglich, trotz SSL-Verschlüsselung die Kommunikation zwischen Client und Server anzugreifen und die Anmeldeinformationen (Benutzername und Passwort) abzugreifen, ohne dass dies für den Anwender sichtbar gewesen wäre. Möglich war dieser so genannte Man-In-The-Middle-Angriff durch gravierende Fehler bei der Implementierung der Verschlüsselung des Protokolls, das für die Kommunikation zwischen Client und Server genutzt wird.
Ist ein Angreifer einmal in Besitz von den genannten Anmeldeinformationen, kann er sich anschließend am GroupWise Server anmelden und somit auf die Daten des Opfers zugreifen. Dies ist besonders dann kritisch, wenn Anwender ungeschützt, also ohne VPN aus öffentlichen Netzen, wie beispielsweise von Hotel-WLANs auf firmeninterne Daten zugreifen.
Die Angriffsmöglichkeit wurde nach der Entdeckung an den Hersteller Novell gemeldet, der mittlerweile einen Patch veröffentlicht hat, durch den die gemeldete Schwachstelle behoben wird. Allerdings ist diese Art von Fehler auch bei allen anderen kommerziellen E-Mail-Systemen denkbar. Deshalb empfiehlt cirosec, sich nicht auf die herstellerseitige Verschlüsselung zu verlassen, sondern auf jeden Fall die Kommunikation über eine VPN-Verschlüsselung zu implementieren, insbesondere bei Nutzung von E-Mail-Systemen über das Internet.
Ein Advisory der cirosec GmbH zu dem Fehler in Novell GroupWise findet sich unter http://www.cirosec.de/
deutsch/dienstleistungen/advisory_040607.html
Der Patch von Novell findet sich unter http://download.
novell.com/Download?buildid=T5KoQlP4WUo~
