Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
libgcrypt <= 1.6.3 Betroffene Plattformen: Debian Linux 8.3 Jessie Ein nicht authentifizierter Angreifer aus dem benachbarten Netzwerk kann mit Hilfe der elektromagnetischen Abstrahlung, die ein angegriffenes System während einer bestimmten Entschlüsselung aussendet, Informationen in Form des geheimen ECDH-Schlüssels des angegriffenen Systems ausspähen. Diese Schwachstelle wurde in GnuPGs Libgcrypt Version 1.6.5 behoben. Für die Distribution Debian Jessie (stable) steht ein Backport-Sicherheitsupdate bereit. Debian empfiehlt ein Upgrade der 'libgcrypt20'-Pakete. Patch: Debian Security Advisory DSA-3474-1 https://www.debian.org/security/2016/dsa-3474
CVE-2015-7511: Schwachstelle in GnuPG ermöglicht Ausspähen von Informationen
Die Verschlüsselung mit Hilfe des Diffie-Hellmann-Schlüsselaustausches ist
unsicher, wenn sie mit elliptischen Kurven implementiert ist. Durch eine
Anfrage zur Entschlüsselung eines speziell präparierten Geheimtextes
(Ciphertext) lässt sich ein bestimmter Kurvenpunkt als Operand für die
Addition elliptischer Kurven erzwingen. Dieser Kurvenpunkt wiederum hat
einen charakteristischen Effekt auf den Multiplikations-Programmcode von
GnuPG. Aus der elektromagnetischen Abstrahlung des angegriffenen Systems,
die während der Entschlüsselung in einem engen Frequenzbereich (1,5 – 2 MHz)
gemessen wird (Seitenkanalangriff, Side Channel Attack), lassen sich mit
Hilfe des forcierten Operanden die restlichen verwendeten Operanden
extrahieren. Diese Informationen reichen aus, um innerhalb von Sekunden den
geheimen Schlüssel des Systems zu erhalten.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0264/
Schwachstelle CVE-2015-7511 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7511
Debian Security Advisory DSA-3474-1:
https://www.debian.org/security/2016/dsa-3474
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
