Keine Angst vor “Poodle” – Verbessern der SSL-Sicherheit auf MailStore Server-Systemen

Zum wiederholten Mal in diesem Jahr gibt es Meldungen über erfolgreiche Angriffe auf SSL-Verschlüsselungen. Im aktuellen Fall liegt die Schwachstelle bei dem eigentlich veralteten, aber noch immer von vielen Client- und Server-Anwendungen unterstütztem Protokoll SSLv3. Anders als beim OpenSSL Heartbleed-Bug sind daher potentiell alle Anwendungen, die noch SSLv3 unterstützen von der sogenannten POODLE-Attacke betroffen, die es Angreifern ermöglicht, Zugangsdaten oder andere sensible Sitzungsinformationen abzufangen.

MailStore Server und die MailStore Service Provider Edition verwenden wie viele andere Windows-Dienste (z.B. IIS, Exchange, …) den Microsoft Windows-eigenen Security Support Provider (SSP), genannt Secure Channel (auch als Schannel bekannt) zur Verschlüsselung von Netzwerkverbindungen. Um daher SSLv3 und andere unsichere Verschlüsselungs- und Hashverfahren zu deaktivieren, ist es notwendig, die Secure Channel-Einstellungen des Computers anzupassen.

Service Provider und Administratoren, welche ihren Anwendern vom Internet aus Zugriff auf das Archiv geben, sollten daher spätestens jetzt in Erwägung ziehen, die SSL-Einstellungen ihrer Windows-Systeme zu überprüfen und gegebenenfalls zu optimieren.

MailStore Server-Kunden finden dazu entsprechende Empfehlungen in der MailStore Server Hilfe im im neuen Artikel SSL-Sicherheit verbessern. Service Provider, welche die MailStore Service Provider Edition einsetzen, finden diese Informationen im Artikel Enhancing SSL Security.

Bei weiteren Fragen oder Problemen stehen Ihnen unsere Experten des Support-Teams mit Rat und Tat zu Seite.

Update 16.07.2018:

Die verlinkten Hilfeseiten wurden aktualisiert und geben den derzeit aktuellen Stand der empfohlenen SSL-Einstellungen wieder. So wurde z.B. TLS 1.0 sowie alle mittlerweile als schwach angesehenen Cipher-Suites entfernt, um Schutz vor neueren SSL-Verwundbarkeiten wie z.B. BEAST zu gewähren und ein A-Rating bei SSL Labs zu erzielen.



Kommentarfunktion geschlossen.