mailbox.org ist von Logjam-Sicherheitslücke nicht betroffen gewesen

In den letzten 48 Stunden macht wieder einmal eine SSL-Sicherheitslücke von sich reden: Die sogenannte Logjam-Lücke kann dazu führen, dass Angreifer als „man in the middle“ so in den Verbindungsaufbau zwischen Client und Server eingreifen, dass sich beide Seiten am Ende auf eine äußerst schwache (und damit knackbare) Verschlüsselungseinstellung einigen.

Grundlage dieses Angriffs ist jedoch, dass die Server die sogenannten „Export-Ciphers“ von Diffie-Hellmann anbieten.

mailbox.org unterstützt seit langer Zeit keine Export-Ciphers mehr

mailbox.org unterstützt wegen zahlreicher Sicherheitsbedenken schon seit langer Zeit keine Export-Ciphers mehr. Dieses Problem haben wir ganz grundsätzlich schon durch eine entsprechende sichere Server-Konfiguration aus der Welt geschaffen. mailbox.org ist daher nach allem derzeit bekannten Wissensstand per se nicht von Logjam betroffen (gewesen).

1024 Bit DH-Schlüssel reichen (noch) aus, 2048 Bit kommen demnächst

Einige SSL-Tests bemängeln, wenn Server noch 1024 Bit lange Diffie-Hellmann-Schlüssel anbieten. Auch bei uns werden in Teilen maximal 1024 Bit unterstützt. Neuere Softwareversionen bieten auch 2048er DH-Schlüssel an. Nach derzeitigem Kenntnisstand gelten 1024er Schlüssel jedoch noch als ausreichend sicher und bislang ungeknackt. Das IT-Portal Golem urteilt dazu: „Ein Angriff auf 768 Bit ist sehr aufwendig, wäre aber noch im Bereich dessen, was ein gut finanziertes Forschungsinstitut durchführen könnte. Ein Angriff auf 1024 Bit ist im Bereich des Möglichen, die Kosten lägen aber bei mehreren hundert Millionen Dollar.“

Längere DH-Schlüssel sind mittelfristig wünschenswert, eine aktuelle 1024er-Schlüssellänge ist jedoch kein Sicherheitsproblem. Bei mailbox.org stehen diesen Sommer entsprechende Software-Upgrades an, um auch längere DH-Schlüssel zu unterstützen.

Crypto-Experten im Team, zusätzliche Kontrolle durch externe Spezialisten

mailbox.org hat nach 25 Jahren Server-Betrieb umfangreiche Erfahrung im Betrieb sicherer Internet-Systeme und investiert viel Zeit und Aufmerksamkeit in die besonders sichere Konfiguration der Systeme — dass wir seit jeher keine Export-Ciphers mehr anbieten, ist kein Zufall gewesen. In unserem Administrations-Team beschäftigt sich Karsten Ness seit vielen Jahren intensiv und ausdrücklich mit Verschlüsselungsverfahren und hält für uns auf Fachkonferenzen auch entsprechende Crypto-Vorträge.

Darüber hinaus lassen wir uns extern von Markus Manzke und seinen Sicherheitsfirmen 8ack.de aktiv überwachen, beraten und testen. Bei dieser Gelegenheit möchten wir Markus Manzke für die gute lange Zusammenarbeit ausdrücklich danken.

Ausführliche Berichte zu Logjam findet man bei Heise, bei Golem und natürlich 8ack.de.