Wie kommt ihr auf die seltsame Idee, dass sich der Bug nur im gleichen WLAN und womöglich nur in ungeschützten (Flughafen, etc) ausnützen ließe? Dort ist es lediglich besonders einfach. Ansonsten hat der Bug damit nichts zu tun. Es geht darum, dass der Handshake am Beginn einer SSL-Verbindung nicht korrekt implementiert ist. Der Client (iOS, OS X) prüft nicht, ob der vom Server gelieferte Schlüssel tatsächlich vom ursprünglich angewählten Server kommt. Wer immer sich wie auch immer in die Handshake-Kommunikation einschalten kann, kann damit ab sofort die komplette Kommunikation mitlesen und modifizieren.
Siehe z.B. den von otternase in #4566 zitierten Heise-Artikel.
Ich habe nicht behauptet, dass es kein Fehler, sondern Absicht war. Ich glaube das eher nicht, weil man das sehr viel geschickter verstecken könnte. Ich habe nur sehr viele Bedenken in diese Richtung in diversen Foren gelesen. Es geht hierbei aber weniger um Fakten und Technik, sondern nur um Vertrauen. Also das was die Welt glaubt.
Nehmen wir z.B. Microsoft, die heute noch permanent für "blue screens" beleidigt werden, obwohl es die seit vielen Jahren praktisch nie gibt. Oder ihre regelmäßigen Security-Updates, die aber die Besten der Welt sind. Dass Apple mit Mac-OS früher als sicher galt, angeblich nicht mal Viren-Scanner brauchte, lag nie daran, dass es tatsächlich sicherer war als Windows, sondern ausschließlich daran, dass es marginal war und daher für keinen Hacker ein lohnendes Ziel. |