Home
Nieuws
FREAK beveiligingslek in OpenSSL

FREAK beveiligingslek in OpenSSL

4 maart 2015

Onderzoekers hebben een nieuwe kwetsbaarheid gevonden in het SSL protocol, de zogenaamde FREAK-bug. Hoewel deze bug al jarenlang aanwezig is, is hij pas zeer recent ontdekt. Aanvankelijk zouden met name producten en software van Apple en Google kwetsbaar zijn vanwege het gebruik van oudere versies van OpenSSL. Inmiddels blijken ook Windows PC's en alle browsers behalve Firefox kwetsbaar te zijn voor FREAK. De impact van FREAK is daardoor groter dan in eerste instantie gedacht werd. .

Wat is de FREAK attack?

De FREAK attack is recentelijk ontdekt door Karthikeyan Bhargaven van INRIA in Parijs. De FREAK attack, afkorting van 'Factoring attack on RSA-EXPORT Keys', is het afluisteren van een beveiligde SSL verbinding via een man-in-the-middle attack, door het afdwingen van verouderde encryptie. Dat deze onveilige encryptie er is heeft te maken met inmiddels afgeschafte wetgeving uit Amerika. Die wetgeving schreef voor dat alle software die werd geëxporteerd met verzwakte encryptiesleutels moest worden beveiligd, om handel in militaire technologie in de jaren '90 te beperken.

Voor zogenaamde 'export-grade' RSA encryptie betekende dit een maximaal toegestane sleutellengte van 512 bits. Hoewel de wet al sinds 1999 niet meer bestaat, zit deze encryptie nog wel in software die in die tijd geschreven is. Destijds was 512 bits encryptie wel redelijk veilig, ondertussen is de rekenkracht van computers zo toegenomen dat deze encryptie nu eenvoudig gekraakt kan worden.

Wat is de kwetsbaarheid?

De bug maakt het hackers mogelijk door een zogenaamde 'man-in-the-middle' attack verbindingen om te zetten van een sterk RSA protocol naar 'export-grade RSA'. De https verbinding wordt dus verzwakt doordat de bezoeker wordt omgeleid naar een https verbinding met de verouderde 512 bits RSA encryptie. Dit maakt het voor hackers mogelijk al het verkeer af te luisteren. De kwetsbaarheid treft vrijwel alle browsers behalve Firefox. Google's Chrome is ondertussen voorzien van een update, en ook Apple heeft al aangekondigd dat er voor volgende week een beveiligingsupdate voor OS X en iOS komt.

Wat te doen?

Zorg ervoor dat je servers geen onveilige cipher suites gebruiken en schakel alle onbekende cipher suites uit. Met de SSL Server Test kun je dit snel controleren. Bekijk hiervoor de handleidingen op de website:

Zorg verder voor een optimale beveiliging door SSL zo goed mogelijk in te stellen. Waar je op moet letten hebben we uitgebreid beschreven in het artikel SSL beter configureren.

Gebruik je apparaten die kwetsbaar zijn voor deze bug? Installeer dan de updates zodra ze er zijn. Test met de browser test of je browser kwetsbaar is.