Update für OpenSSL

Sicherheitsmaßnahme die tatsächlich durchgeführt werden sollte, wenn einem die Sicherheit und Vertraulichkeit wichtig sind.

Die Lücke könnte in der Vergangenheit ausgenutzt worden sein und z.B. der Private-Key eines oder mehrerer Zertifikate abgegriffen. Wenn die Zertifikate nicht erneuert werden, kann in diesem Fall weiterhin abgehört oder manipuliert werden. Bei Server-Zertifikaten umso fataler: Ein erbeutetes Zertifikat kann für perfektes Phishing genutzt werden, z.B. das einer Bank. Deswegen müssen solche Zertifikate unbedingt auch von der Zertifizierungsstelle zurückgezogen werden.

Das Problem ist: Man weiß es nicht ob und was abgegriffen wurde! Es gibt keinerlei Logs oder Hinweise ob die Lücke ausgenutzt wurde. Allein diese Tatsache sollte jedem zu denken geben, ob man den Trust wiederherstellen muss.

 und z.B. der Private-Key eines oder mehrerer Zertifikate abgegriffen. Wenn die Zertifikate nicht erneuert werden, kann in diesem Fall weiterhin abgehört oder manipuliert werden. 

 Die sogenannte Man-in-the-Middle-Attack? Und dazu die Zertifikate, die nicht in den CRLs stehen? Wieso heißt es eigentlich immer, die Zertifikate müssen getauscht werden und "wir" brauchen ein neues CSR dafür - aber fast nirgends steht, dass das alles sinnfrei ist, wenn der gleich Key genutzt wird! Hier geht man von der allgemeinen Annahme aus, dass die dafür genutzten Prozesse immer einen neuen Key generieren.

Meiner Meinung nach ist das ein Ereignis, das beweist, wir relevant Produkthaftung auch bei Software wird. Und damit meine ich nicht OpenSSL, sondern Sophos, F-Secure, Cisco etc.

 und z.B. der Private-Key eines oder mehrerer Zertifikate abgegriffen. Wenn die Zertifikate nicht erneuert werden, kann in diesem Fall weiterhin abgehört oder manipuliert werden. 

 Die sogenannte Man-in-the-Middle-Attack? Und dazu die Zertifikate, die nicht in den CRLs stehen? Wieso heißt es eigentlich immer, die Zertifikate müssen getauscht werden und "wir" brauchen ein neues CSR dafür - aber fast nirgends steht, dass das alles sinnfrei ist, wenn der gleich Key genutzt wird! Hier geht man von der allgemeinen Annahme aus, dass die dafür genutzten Prozesse immer einen neuen Key generieren.

Meiner Meinung nach ist das ein Ereignis, das beweist, wir relevant Produkthaftung auch bei Software wird. Und damit meine ich nicht OpenSSL, sondern Sophos, F-Secure, Cisco etc.

 Die sogenannte Man-in-the-Middle-Attack? Und dazu die Zertifikate, die nicht in den CRLs stehen? Wieso heißt es eigentlich immer, die Zertifikate müssen getauscht werden und "wir" brauchen ein neues CSR dafür - aber fast nirgends steht, dass das alles sinnfrei ist, wenn der gleich Key genutzt wird! Hier geht man von der allgemeinen Annahme aus, dass die dafür genutzten Prozesse immer einen neuen Key generieren.  Meiner Meinung nach ist das ein Ereignis, das beweist, wir relevant Produkthaftung auch bei Software wird. Und damit meine ich nicht OpenSSL, sondern Sophos, F-Secure, Cisco etc.

  Wir raten jedem betroffenem Kunden nicht nur die eigentlichen Certs auszutauschen sondern natürlich auch die betroffenen CAs. Das steht auch in unserer Knowledgebase. CRLs sind eine tolle Idee nur hält sich in der Praxis niemand daran z. Bsp. die Browserhersteller.