Neuigkeiten zu den Sicherheitslücken in IBM Domino (aktualisiert)

IBM reagiert auf die Sicherheitslücken und will alsbald ein Fixup bereitstellen,

How is IBM Domino impacted by the POODLE attack?
http://www-01.ibm.com/support/docview.wss?uid=swg21687167

Planned SHA-2 deliveries for IBM Domino 9.x
http://www-01.ibm.com/support/docview.wss?uid=swg21418982

Hintergrund:


http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3566 sowie
Veröffentlichung durch das Google-Sicherheitsteam: Poodle Bites - ein mögliches Angriffszenario auf SSL V3 durch den dort verwendeten CBC-Modus (siehe: https://www.openssl.org/~bodo/ssl-poodle.pdf )

Situation:


1. Domino verwendet in seinem derzeitigen SSL-Stack lediglich die Verfahren von SSL V3. Diese werden auf Grund des Poodle-Expolits aber kurzfristig (Firefox ab Mitte November) von den großen Browser-Herstellern abgeschaltet werden. Webseiten werden künftig also nur noch nach TLS 1.0, TLS 1.1 oder TLS 1.2 verschlüsselt transportiert werden. Derzeitige Dominoserver können mit diesen Verfahren noch nicht umgehen.

2. Die Registrage der SSL/TLS Zertifikate stellen derzeit ihren Hashing-Alorithmus von SHA1 auf SHA2 um (vermutlich maßgeblich da Microsoft ab 2015 das SHA1-Verfahren nicht mehr unterstützen wird). Zertifikate, deren Signatur über das SHA2 Verfahren generiert wurden können derzeit aber nicht von der Domino-Zertifizierungsanwendung verarbeitet werden.

Ankündigung der IBM:


IBM wird für Domino 9 künftige einen Patch anbieten, welcher das SHA2-Verfahren zur Zertifizierung in Domino nachrüsten wird. Dies wird den "Domino 9 und jünger" Versionen vorbehalten bleiben.
IBM wird für Domino-Versionen ab 8.5.1 einen Patch anbieten, welcher für die Domino-SSL-Verschlüsselung das TLS-Verfahren (1.0) implementieren wird.

Beite Patches sollen kurzfristig, in den nächsten Wochen erscheinen.

Unsere Sicht


TLS 1.0 ist sicherlich ein wichtiger Schritt für Domino - ich kann das nur begrüßen. Da SSL V3 und TLS 1.0  nicht sehr weit auseinander liegen, frage ich mich, ob dies tatsächlich ein sehr großer Schritt ist.

Wir haben mittlerweile mehrere Domino-Server über Reverse-Proxy-Konfigurationen abgesichert. Diese Konfiguration schaltet vor den Dominoserver eine Proxy-Software (mir gefällt der nginx-Proxy recht gut, aber auch für Appache2 werden entsprchende Module angeboten, oder der IHS von IBM kämen u. A. noch in Frage). Der Proxyserver kommuniziert auf der einen Seite gegenüber den Web-Surfer und auf der anderen Seite gegenüber dem Domino-Server. Für den Websurfer kommen dabei alle gängigen SSL/TLS Verschlüsselungen in Frage, die z. B. durch GnuTLS oder OpenSSL bereitgestellt werden können. Der Dominoserver kann dabei auf der gleichen Maschine wie der Proxyserver laufen oder in der DMZ, bzw. in einem seperaten Netzwerk.
Bereits ausgestellte SSL - Zertifikate für Domino können idR nicht auf den Reverse-Proxy übernommen werden - hier ist es erforderlich einen neuen Private-Key zu erzeugen und diesen mit einer CSR durch die Zertifizierungsstelle zertifizieren zu lassen, was idR Kosten verursachen wird.

Lutz Geschinsky | 21. Oktober 2014 22:10:15 | Kommentare (0) | Permanent Link

Archiv

April 2021 (8)
März 2021 (3)
Februar 2021 (7)
Januar 2021 (2)
Dezember 2020 (1)
November 2020 (7)
Oktober 2020 (4)
September 2020 (3)
August 2020 (8)
Juli 2020 (4)
Juni 2020 (8)
Mai 2020 (8)
April 2020 (6)
März 2020 (6)
Februar 2020 (3)
Januar 2020 (2)
Dezember 2019 (6)
Oktober 2019 (10)
September 2019 (5)
Mai 2019 (4)
April 2019 (4)
März 2019 (1)
Februar 2019 (5)
Januar 2019 (3)
Dezember 2018 (6)
November 2018 (3)
Oktober 2018 (8)
September 2018 (4)
August 2018 (4)
Juli 2018 (5)
Juni 2018 (4)
Mai 2018 (3)
April 2018 (2)
März 2018 (3)
Februar 2018 (9)
Januar 2018 (7)
Dezember 2017 (4)
November 2017 (3)
Oktober 2017 (5)
September 2017 (8)
August 2017 (10)
Juli 2017 (4)
Juni 2017 (6)
Mai 2017 (12)
April 2017 (6)
März 2017 (13)
Februar 2017 (6)
Januar 2017 (13)
Dezember 2016 (11)
November 2016 (9)
Oktober 2016 (7)
September 2016 (9)
August 2016 (7)
Juli 2016 (8)
Juni 2016 (3)
Mai 2016 (6)
April 2016 (7)
März 2016 (7)
Februar 2016 (9)
Januar 2016 (9)
Dezember 2015 (8)
November 2015 (9)
Oktober 2015 (13)
September 2015 (10)
August 2015 (8)
Juli 2015 (6)
Juni 2015 (12)
Mai 2015 (14)
April 2015 (10)
März 2015 (10)
Februar 2015 (12)
Januar 2015 (14)
Dezember 2014 (14)
November 2014 (15)
Oktober 2014 (10)
September 2014 (8)
August 2014 (9)
Juli 2014 (21)
Juni 2014 (9)
Mai 2014 (13)
April 2014 (9)
März 2014 (10)
Februar 2014 (12)
Januar 2014 (3)
Dezember 2013 (5)
November 2013 (3)
Oktober 2013 (6)
September 2013 (6)
August 2013 (1)
Juli 2013 (9)
Juni 2013 (2)
Mai 2013 (2)
April 2013 (12)
März 2013 (11)
Februar 2013 (7)
Januar 2013 (10)
Dezember 2012 (11)
November 2012 (9)
Oktober 2012 (5)
September 2012 (11)
August 2012 (9)
Juli 2012 (5)
Juni 2012 (3)
Mai 2012 (12)
April 2012 (3)
März 2012 (8)
Februar 2012 (5)
Januar 2012 (13)
Dezember 2011 (5)
November 2011 (12)
Oktober 2011 (6)
September 2011 (11)
August 2011 (6)
Juli 2011 (10)
Juni 2011 (8)
Mai 2011 (7)
April 2011 (8)
März 2011 (12)
Februar 2011 (7)
Januar 2011 (2)
Dezember 2010 (9)
November 2010 (4)
Oktober 2010 (9)
September 2010 (5)
August 2010 (6)
Juli 2010 (5)
Juni 2010 (6)
Mai 2010 (2)
April 2010 (4)
März 2010 (7)
Februar 2010 (5)
Januar 2010 (6)
Dezember 2009 (1)
November 2009 (7)
Oktober 2009 (2)
August 2009 (1)
Juni 2009 (4)
Mai 2009 (3)
April 2009 (1)
März 2009 (1)
Februar 2009 (1)
Januar 2009 (5)
Dezember 2008 (2)
November 2008 (4)
Oktober 2008 (9)
September 2008 (2)
Juni 2008 (2)
Mai 2008 (6)
April 2008 (4)
März 2008 (6)
Januar 2008 (7)
November 2007 (3)
Oktober 2007 (2)
September 2007 (2)
Juni 2007 (2)
Mai 2007 (1)
April 2007 (5)
Februar 2007 (4)
Januar 2007 (2)
Dezember 2006 (2)
November 2006 (5)