Heartbleed / OpenSSL

Hallo Andreas,

die aktuelle OpenSSL-Sicherheitslücke betrifft zwar hauptsächlich Server, aber mich würde doch interessieren, ob B4x auch die OpenSSL-Bilbliothek mit dem Fehler benutzt.

Das ist aber was Anderes! In dem von Dir zitierten Post ging es um die noch nicht gefixte Lücke auf subsembly.com. Die Frage hier ist, ob das Programm die fehlerhafte Bibliothek auch selbst nutzt, um mit Bankrechnern direkt zu kommunizieren...

hups - da hatte ich gar nicht gesucht (nur hier im B4W-Bereich)

Aber

stimmt nicht. Ein Server "liefert" nie eine Bibliothek. Sondern jede Seite benutzt ihre eigene Implementation.
Dass die Banken derzeit (hoffentlich) alles tun, um ihre SSL-Implementation fehlerfrei zu bekommen ist klar.
Ich wollte halt erfahren, ob ich als Client was befürchten muss.
Man kann ja leider trotz aller Bemühungen nicht ganz ausschließen, dass man einen Trojaner an Bord hat

Klar wäre ein Trojaner immer schlecht. Aber mit einer HB-behafteten SSL-Verbindung könnte der diese (z.B. per hosts/DNS-Manipulation) auf einen eigenen Server umleiten und diesem Server meine ganzen PINs im Klartext zuschicken (an die er sonst vermutlich nicht rankäme).
Ich bin aber zu wenig in der ganzen SSL-Thematik drin, um sicher zu sein, dass so ein Szenario realistisch ist. Vielleicht weiß jemand anders mehr?

schön wär's ja.
Ich sehe es trotzdem als Gefahr (hier), derer wir uns bewusst sein sollten.

@onlbanker: Dem kann ich mich nur heftigst anschließen!!

chakaa, zu der Frage, wie wichtig OpenSSL bei Clients ist - selbst wenn es genutzt würde und der Fehler bestehen würde - kannst du hier mal lesen, was Olaf geschrieben hat: http://www.onlinebanking-forum.de/forum/topic.php?t=17433

Na das darf natuerlich nicht passieren. Freilich muessen auch auf Client-Seite anfaellige OpenSSL-Versionen ersetzt werden. Idealerweise sollte dort ueberhaupt das ganze TLS-Heartbeat-Feature deaktiviert sein, denn aus meiner Sicht wird das in der Richtung ueberhaupt nicht benoetigt. Denn ich sehe keinen Grund, warum ein Server Keep-Alives an einen Client schicken sollte.

Ich finde aber wichtig, dass auch bei unbedarften Usern der Aufmerksamkeitsfokus dorthin gelenkt wird, wo akut was zu tun ist. Denn mich beschleicht der Verdacht, dass so mancher User denkt: "Sicherheitsluecke? Kein Problem, da spiele ich einfach Updates fuer die Programme ein, die ich installiert hab. Wenn's noch kein Update gibt, frag ich mal beim Hersteller oder im Forum."
Das ist das gewohnte Ritual aus den letzten Jahren. Flash updaten, Browser updaten, Windows updaten. Alles wieder gut. Hier aber eben nicht. Hier ist es nicht mit einem Update getan.Hier muessen Passwoerter und PINs geaendert werden, wenn die eigene Bank betroffen war.

...potentiell betroffen war. *Erbsennnochmalnachzähl*

chakaa, der Mitarbeiter in der Kundenberatung weiß das wahrscheinlich nicht. Aber ein Fachberater im EB bestimmt. Wen hast du denn gefragt?

Nur zur Info: Der Provider hat jetzt die Patches auf "subsembly.com" eingespielt.