Heartbleed Bug Info

[Lennart]

Liebe Forenmitglieder,
nachdem ihr alle recht fit seid was Technik angeht, bin ich eigentlich davon ausgegangen, diesen beitrag nicht schreiben zu müssen - über den Heartbleed Bug wurde in den Medien schließlich ausführlich berichtet. Da Heartbleed aber eine der schwersten Sicherheitslücken ist, die das WWW je erlebt hat, informiere ich euch aber lieber noch einmal.

Der Heartbleed Bug bestand in der Verschlüsselungssoftware OpenSSL, die auf vielen Internetseiten und von vielen Webservices zur Verschlüsselung genutzt wird. Etwa 70% der Seiten, die ihr via https:// statt http:// erreichen könnt, waren oder sind betroffen.
Durch diesen Bug, der seid November bestand aber erst jetzt im April bekannt wurde, war es Angreifern möglich, allen Datenverkehr zwischen euch und dem Server auszulesen und sogar an die privaten Schlüssel für die Verschlüsselung zu kommen. Damit konnten potenziell Passwörter, Nutzerdaten und mehr ausgelesen werden.

Zaiendo.de und alle weiteren Services waren NICHT betroffen.

Wenn einzelne Homepages, auf denen ihr euch registriert habt, von Heartbleed betroffen waren, solltet ihr dort schnellstens euer Passwort austauschen. Auch wenn ihr die gleichen Passwörter für mehrere Seiten nutzt, was man nicht tun sollte, solltet ihr diese Passwörter überall austauschen. Bitte informiert euch besonders bei eurem E-Mail-Provider sowie kritischen Internetkonten von Onlin-Shops oder online Zahlungssystemen, ob die Lücke bestand.

Tip für ein sicheres Passwort:
Statt kryptische Passwörter wie 7Z§6sf!dc$5 zu verwenden, die man sich kaum merken kann, empfehle ich euch, folgende Strategie für ein sicheres Passwort: Denkt euch einen einfachen Satz aus, der etwas über euer Leben aussagt.
Beispiel:

Code:

Ich fahre einen schwarzen VW Bora aus dem Jahr 2000.

Nehmt nun einfach die ersten Buchstaben jedes Wortes, die Zahlen komplett und ihr erhaltet folgendes Passwort:

Code:

IfesVBadJ2000.

Mit Sonderzeichen und lang genug für die meisten aktuellen Sicherheitssysteme.
Wer sich viele Passwörter merken muss, kann auch die Plattform, zu der das Passwort gehört, in dem Passwort unterbringen:

Code:

Ich habe 5 Kinder und logge mich jetzt auf Zaiendo ein!

Wird zu:

Code:

Ih5KulmjaZaiendoe!

Nun einfach statt Zaiendo beispielsweise euren E-Mailanbieter eintragen und ihr habt ein sicheres Passwort - individuell für jede Seite und trotzdem gut zu merken.


Je länger das Passwort, umso besser hält es einer Brute-Force-Attacke stand.

Sollten noch Fragen zu Heartbleed bestehen, meldet euch gerne.

[weltbummler]

Danke, Lennart dass du das Thema sngesprochen hast. Ich weiß nicht wie es mit Facebook, Gmail und Gmx aussieht.
Auch wenn ich mir die passwörter schon alle so schön gemerkt hatte, werde ich sie wohl besser ändern.

[gamer94]

Passwörter die man häufig eintippen muss, kann man sich schnell merken, da dürfens durchaus 20 Zeichen Zahlen, Upper- und Lowercase und Sonderzeichen sein, nach spätestens einer Woche ists drin
Die Methode von Lennart ist allerdings wirklich sehr gut, nur bin ich zu faul zum ausdenken von Sätzen... Deswegen bemühe ich dann einen Passwortgenerator. Für jede Seite ein anderes, auf Papier wird mitgeschrieben, Papier wird gut versteckt (wobei Einbrecher wohl kaum nach meinen Forenpasswörtern suchen werden ).

[Lennart]

Das ist auch eine gute Methode!

Kurze Info noch zu Heartbleed, weil das bis jetzt an mir vorbeiging: Auch Android verwendet teilweise die anfällige OpenSSL-Version. Betroffen sind insbesondere die Android-Versionen 4.1.1 und 4.2.2. Ob ihr betroffen seid könnt ihr beispielsweise mit dieser App überprüfen.

Betroffen sind wohl vor allem Geräte mit Custom Firmware sowie viele HTC-Geräte - darunter mein eigenes HTC One X mit Android 4.2.2, aber auch viele HTC One X+, Desire X, One S und Evo.

Aktuell bleibt den betroffenen HTC Nutzern wohl nur zu warten und zu hoffen, dass HTC einen Fix für das Problem bringt. Den hat HTC auch schon angekündigt - aber ohne Hinweis auf den Zeitpunkt wann der Fix kommen wird.
Solange also rumlaufen mit Heartbleed Schwachstelle oder Custom ROM installieren, was auf eine andere OpenSSL-Version setzt...