Neue Forschungen enthüllen, dass Millionen von Host-Sites keine TLS-Verschlüsselung haben

Eine neue Studie von ShadowServer hat offenbart, dass derzeit 3,3 Millionen POP3- (Post Office Protocol) und IMAP- (Internet Message Access Protocol) E-Mail-Server für Netzwerksniffing-Angriffe anfällig sind, da sie keine TLS-Verschlüsselung haben. TLS, oder Transport Layer Security, ist ein Sicherheitsprotokoll, das eine Ende-zu-Ende-Sicherheit zwischen Anwendungen über das Internet bietet. Es wird für sicheres Surfen im Web verwendet und verschlüsselt Kommunikationen über E-Mail, Dateiübertragung und Messaging. ShadowServer hat das Internet nach Hosts gescannt, die einen POP3-Dienst auf Port 110/TCP oder 995/TCP ohne TLS-Unterstützung ausführen, und 3,3 Millionen Hosts ohne diese Sicherheitsschicht gefunden.

Ohne TLS könnten Passwörter für den E-Mail-Zugriff abgefangen und so Passwortratenangriffe auf den Server ermöglicht werden. Ohne die Verschlüsselung werden Anmeldeinformationen und Nachrichteninhalt im Klartext übertragen, was Hosts Angriffen durch Lauschangriffe aussetzt. Fast 900.000 dieser Websites befanden sich in den USA, mit über 500.000 und 380.000 in Deutschland und Polen, aber die Forscher weisen darauf hin, dass „unabhängig davon, ob TLS aktiviert ist oder nicht, die Service-Exposition Passwortratenangriffe gegen den Server ermöglichen kann“.

„Wir haben begonnen, über Hosts zu informieren, die POP3/IMAP-Dienste ohne TLS aktiviert ausführen, was bedeutet, dass Benutzernamen/Passwörter nicht verschlüsselt übertragen werden“, sagte die ShadowServer Foundation in einem Tweet. „Wir sehen rund 3,3 Millionen solcher Fälle bei POP3 & eine ähnliche Menge bei IMAP (meistens überschneidend). Es ist an der Zeit, diese auszusondern!“

Im August 2018 wurde TLS 1.2 aktualisiert, wobei TLS 1.3 eingeführt wurde, wobei 1.3 signifikante Verbesserungen in Bezug auf Leistung und Sicherheit bietet. Obwohl TLS sehr verbreitet ist, berichtet ImmuniWeb, dass von Q1 2024 bis heute 1.421.781 SSL/TLS-Ereignisse stattgefunden haben – also auch mit der Verschlüsselung gibt es Gefahren für Benutzer.

Via SecurityAffairs.