Opera 10.50 enthält Patch gegen SSL-Fehler

Verschlüsselte Web-Verbindungen wie HTTPS sollen sicher stellen, dass die übertragenen Daten weder belauscht noch manipuliert werden können. Doch die Spezifikation enthält einen Fehler, der Man-in-the-Middle-Angriffe ermöglicht. Mit der gerade veröffentlichten Version :Opera 1:0.50 bringt die norwegische Browser-Schmiede den ersten Browser heraus, der seinen Teil zur Lösung beiträgt.

Der 3844:Fehler in der Spezifikation des TLS- und des SSLv3-Protokolls ist seit November 2009 bekannt. Ein Angreifer kann sich durch Auslösen einer Neuvereinbarung (Renegotiation) von Sitzungsparametern einer verschlüsselten Verbindung zwischen Client und Server einklinken (Man-in-the-Middle-Angriff) und von beiden unbemerkt Daten hinzu fügen. Er könnte etwa beim Online-Banking eine weitere Überweisung einfügen.

Betroffen sind praktisch alle Browser und Web-Server sowie auch alle anderen Internet-Anwendungen, die zur Verschlüsselung der Verbindung auf TLS (Transport Layer Security) oder SSLv3 (Secure Socket Layer Version 3) setzen. Die Internet Engineering Task Force (IETF) hat im Februar eine Spezifikation für eine TLS-Erweiterung (RFC 5746) veröffentlicht, mit der das Problem gelöst werden soll.