Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.508.171 Produkten

Monika Ermert 15

TLS 1.3 – doch noch nicht jetzt

Server

Bild: dpa, Sven Hoppe/Archiv

Die TLS-Arbeitsgruppe hat die Arbeit an TLS 1.3 zwar abgeschlossen. Aber bevor sie das Protokoll ins abschließende Standardisierungsverfahren gibt, will sie noch einer auffällig hohen Fehlerrate in Tests nachgehen.

Die Tests der Performanz von Verbindungen mit dem künftigen Transport Layer Security Standard, TLS 1.3, ergaben Probleme mit den Mittelboxen zweier größerer Hersteller. Das ist der Grund, warum jetzt über kleine Änderungen beim Verbindungsaufbau nachgedacht wird.

Mit einem zweiten Working Group Last Call hat die TLS-Arbeitsgruppe der IETF die Arbeit am neuen TLS-Nachfolgestandard an sich abgeschlossen. Aber, Messungen bei Mozilla, Google – und offenbar auch bei Facebook – haben in den vergangenen Monaten eine aus Sicht der Entwickler "nicht vernachlässigbare Fehlerrate" ergeben. Zwischen 1 und 10 Prozent der Verbindungen kamen dabei nicht zustande, weil der Handshake zwischen Client und Server nicht funktionierte. Das Problem seien vermutlich Mittelboxen, die Internet-Verkehr weiterleiten und dabei verändern. Es geht laut Aussagen aus der Arbeitsgruppe um zwei größere Hersteller solcher Boxen, deren Namen man zwar nicht verraten wollte, die man aber auf das Problem hingewiesen habe.

Weitere Tests und mögliche Änderungen

Die Arbeitsgruppe will deshalb auch noch weiter testen. Ergebnisse verspricht TLS-Autor Eric Rescorla von Mozilla für die "kommenden Monate". Je nach Ergebnis kann es dann auch sein, dass man an der eigentlich abgeschlossenen Spezifikation doch noch eine Änderung vornimmt. Konkret denken die Entwickler über eine Änderung des Content Type des "Server Hello" nach.

Mit dem Streit um einen möglichen "Nachschlüssel" für TLS-verschlüsselte Verbindungen in Rechenzentren hat die Verzögerung aber nichts zu tun, versichert einer der Leiter der Arbeitsgruppe, Sean Turner. Auch über andere Aspekte, etwa die Zulassung von Sub-Zertifikaten für das Schlüsselmanagement wird weiterhin diskutiert. Der aktuelle Draft 21 läuft am 4. Januar 2018 aus; mit einer Verabschiedung von TLS 1.3 ist jetzt wohl frühestens gegen Ende des Jahres zu rechnen. (ju)

15 Kommentare

Themen:

Anzeige
  1. TLS 1.3: Security-Devices verhindern die Einführung

    Netzwerkkabel

    Alle Security-Experten sind sich einig, dass der Standard TLS 1.3 ein deutlicher Schritt zu mehr Sicherheit im Internet wäre. Doch ausgerechnet Security-Devices, die Verschlüsselung aufbrechen, verhindern die Einführung auf nicht absehbare Zeit.

  2. Firefox soll ab Version 52 auf TLS 1.3 setzen

    Firefox soll ab Version 52 auf TLS 1.3 setzen

    Obwohl der Standard für Transportverschlüsselung bisher nur als Draft existiert und nicht endgültig verabschiedet ist, will Mozilla den Browser im kommenden Jahr standardmäßig auf TLS 1.3 umstellen.

  3. IETF: Streit über TLS-Überwachung führt zum Eklat

    IETF: Streit um TLS-Überwachung führt zum Eklat

    Für die einen ist es passives Monitoring im Rechenzentrum. Für die anderen ist der Nachschlüssel für Netzadministratoren ein Einstieg in die Massenüberwachung und der GAU für das neue TLS-Protokoll.

  4. Debian-Entwicklungsversion schaltet TLS 1.0 und 1.1 ab

    Debian-Entwicklungsversion schaltet TLS 1.0 und 1.1 ab

    Geht es nach den Entwicklern, wird Debian Buster nur noch TLS 1.2 unterstützen. Rechner, die nur TLS 1.0 oder 1.1 beherrschen, könnten dann mit diesen Systemen nicht mehr sicher sprechen. Momentan unterstützen fast alle Webserver nach wie vor TLS 1.0.

  1. SSL/TLS-Netzwerkprogrammierung mit Boost.Asio, Teil 3: Client-Programmierung und Fehlerbehandlung

    SSL/TLS-Netzwerkprogrammierung mit Boost.Asio, Teil 3: Client-Programmierung und Fehlerbehandlung

    Boost.Asio bietet plattformübergreifende Ansätze zur Netzwerkprogrammierung in C++, inklusive der Implementierung von SSL/TLS. Die Portabilität hat jedoch einige Grenzen, wie das Beispiel eines Clients zeigt.

  2. SSL/TLS-Netzwerkprogrammierung mit Boost.Asio, Teil 1: Grundlagen

    SSL/TLS-Netzwerkprogrammierung mit Boost.Asio - Teil 1: Grundlagen

    Im Umfeld von C++ verspricht Boost.Asio, eine einfache, plattformübergreifende Möglichkeit zur Netzwerkprogrammierung zu sein. Dazu gehört auch das Absichern der Verbindungen mit SSL beziehungsweise TLS.

  3. SSL/TLS-Netzwerkprogrammierung mit Boost.Asio, Teil 2: Server-Programmierung

    Asynchroner Programmablauf im WOPR-Server (Abb. 2)

    Boost.Asio bietet plattformübergreifende Möglichkeiten zur Netzwerkprogrammierung in C++, inklusive der Implementierung von SSL/TLS. Beim Erstellen eines Servers gilt es einige Besonderheiten zu beachten.

  1. Sicherheitslücke in HP-Druckern – Firmware-Updates stehen bereit

    Hewlett-Packard-Logo

    Unter Verwendung spezieller Malware können Angreifer aus der Ferne auf Drucker von HP zugreifen und dort unter anderem gerätespezifische Befehle ausführen. Der Hersteller hat Updates bereitgestellt und empfiehlt die umgehende Aktualisierung.

  2. Mini tritt bei der Dakar-Rallye 2018 mit Allrad- und Hinterradantrieb an

    Mini

    Am 6. Januar 2018 startet in Lima die 40. Rallye Dakar. Mini wird die Rallye erstmals mit zwei konzeptionell komplett unterschiedlichen Fahrzeugtypen bestreiten. Zum Allradler kommt ein Buggy mit Hinterradantrieb

Anzeige