Ist Cortal Consors vom sogenannten Heartbleed-Bug betroffen?

[Broncobuster]

Wie sie in der Presse erfahren haben, gibt es zur Zeit einen Bug bei der Übertragung von verschlüsselten Daten. (SSL-Verschlüsselung)
OpenSSL ist eine quelloffene und weit verbreitete Lösung für verschlüsselte Online-Kommunikation mit SSL/TLS via Apache- und Nginx-Webserver. Sie kann für HTTPS ebenso wie E-Mail- oder Messaging-Verschlüsselung verwendet werden.

Ist dieser Bug bei Cortal Consors bekannt bzw. ist Cortal Consors davon betroffen?

[CB_Buelent]

Hallo Broncobuster,

unsere Systeme sind von der aktuell entdeckten und über die Medien publik gemachten Schwachstelle nicht betroffen! Das liegt daran, dass die genannte Software auf unseren Systemen nicht zum Einsatz kommt.

Unserem Wissen nach verwenden geschätzte 20% der Webserver im Internet die betroffene Software. Wir sind bei den restlichen (sicheren) 80% dabei.

Viele Grüße

Bülent

Community Moderator

[Markus700]

Site: www.cortalconsors.de
Server software: Apache-Coyote/1.1
Was vulnerable: Possibly (known use OpenSSL, but might be using a safe version)
SSL Certificate: Now Safe (created 2 weeks ago at Apr 7 00:00:00 2014 GMT)
Assessment: Change your password on this site if your last password change was more than 2 weeks ago

Laut diesem Schnelltest verwenden Sie sehr wohl OpenSSL.
Nun lautet die Frage welche OpenSSL version verwenden Sie und seit wann? Und warum wurde das Zertifikat zufälligerweiße nach dem bekannt werden des CVE-2014-0160 ausgetauscht.

[CB_Buelent]

Hallo Markus700,

das neue Zertifikat wurde am 07. April 2014 um 00:00 Uhr erstellt. Die genannte Schwachstelle wurde unserem Wissen nach erst im Laufe des 07. April 2014 veröffentlicht.

Unsere Zertifikate werden in der Regel für einen bestimmten Zeitraum ausgestellt. Das alte Zertifikat war abgelaufen und wurde deshalb ausgetauscht. Die zeitliche Nähe zur Veröffentlichung der Heartbleed-Schwachstelle ist leider ein unglücklicher Zufall.

Wir möchten nochmals betonen, dass wir keine gegen „Heartbleed“ verwundbare Version von OpenSSL verwendet haben und auch weiterhin nicht verwenden. Unsere Kunden waren folglich zu keiner Zeit auf unserer Website durch die Heartbleed-Schwachstelle betroffen!

Viele Grüße

Bülent

Community Moderator