In einem aktuellen Bericht hat Imperva die vier größten Gefahrenpotentiale des HTTP/2-Protokolls zusammengefasst. HTTP/2 ist die neue Version des HTTP-Protokolls, das zu den Grundbausteinen des Worldwide Web zählt. [...]
Imperva hat auf der Black Hat Konferenz in den USA seinen Intelligence Initiative Report für den Monat Juli vorgestellt: „HTTP/2: Detaillierte Analyse der vier größten Schwächen des kommenden Worldwide Web Protokolls“. In dem Bericht haben Experten des Imperva Defense Centers die vier größten Potentiale für Schäden des HTTP/2-Protokolls zusammengefasst. HTTP/2 ist die neue Version des HTTP-Protokolls, das zu den Grundbausteinen des Worldwide Webs zählt.
HTTP/2 bringt Imperva zufolge neue Funktionen mit sich, die das Risiko deutlich erhöhen, dass geschäftskritische Daten gefährdet sind, da sie vor neuen Arten von Attacken nicht geschützt sind. Die Experten des Imperva Defense Centers untersuchten besonders intensiv die Umsetzung von HTTP/2 durch Apache, Microsoft, NGINX, Jetty und nghttp2. Das Team entdeckte und untersuchte in allen Hauptmechanismen des HTTP/2 gravierendes Potential für Schäden. Zwei davon ähneln bereits bekannten und weit verbreiteten Schwächen des HTTP/1.x. Es scheint, als würden auch andere Umsetzungen des HTTP/2-Protokolls unter diesen Schwachstellen leiden.
„Die allgemeine Verbesserung der Internetleistung und speziell die Erweiterung der mobilen Apps, die HTTP/2 mit sich bringt, sind möglicherweise ein Segen für die Internetnutzer“, kommentiert Amichai Shulman, Mitbegründer und CTO von Imperva. „Aber dennoch erhöht die Veröffentlichung vieler neuer Codes in kürzester Zeit das Risiko für Cyberangriffe. Auch wenn es erschreckend ist, dass bereits bekannte Schwächen von HTTP/1.x für HTTP/2 übernommen wurden, ist es kaum überraschend. In Anbetracht der neuen Technologien, ist es wichtig für Unternehmen mit angemessener Sorgfalt und Schutzmaßnahmen ihre erweiterte Angriffsfläche zu verteidigen und sowohl geschäftskritischen Daten als auch Kundendaten vor den immer größer werdenden Bedrohungen aus dem Internet zu schützen.“
Die Bedrohung entsteht besonders durch die schnelle Übernahme von HTTP/2. Laut W3Techs nutzen mittlerweile 8,7 Prozent aller Webseiten HTTP/2, also ungefähr 85 Millionen Seiten, was ein fast vierfacher Anstieg gegenüber den 2,3 Prozent im Dezember 2015 bedeutet. Die vier bekanntesten Taktiken von Angreifern sind laut Imperva folgende:
Slow Read: Diese Attacke ruft Kunden heimtückisch dazu auf, ihre Antworten sehr langsam zu lesen. Sie funktioniert genauso, wie die bekannte Slowloris DDoS Attacke, die bei den Angriffen auf die Gesellschaft für Zahlungssysteme 2010 genutzt wurde. Es lohnt sich, darüber Bescheid zu wissen, denn obwohl Slow-Read-Angriffe im HTTP/1.x intensiv untersucht wurden, sind sie noch immer aktiv – dieses Mal in den App-Anwendungen von HTTP/2. Die Experten des Imperva Defence Centers entdeckten diese Sicherheitslücke auf fast allen bekannten Internet-Servern, unter anderem auch bei Apache, Microsoft, NGINX, Jetty und nghttp2.
HPACK Bomb: Diese komprimierte Attacke gleicht einer ZIP Bombe. Der Angreifer kreiert eine kleine und harmlos erscheinende Nachricht, die sich auf dem Server in mehrere Gigabytes an Daten verwandelt. Das verbraucht den gesamten Datenspeicher und macht ihn schließlich unbrauchbar.
Dependency Cycle Attack: Diese Attacke zieht Vorteile aus der Durchflussüberwachung, die HTTP/2 für die Netzwerkoptimierung eingeführt hat. Der Täter erteilt Aufträge, die einen Abhängigkeits-Kreislauf erzeugen, der den Server in einer unendlichen Schleife festhält, wenn er beginnt die Aufträge zu bearbeiten.
Stream Multiplexing Abuse: Der Angreifer nutzt Schwachstellen des Servers bei der Durchführung von Datenübertragung, um den Server lahm zu legen. Dies kann leicht passieren, wenn die Nutzer nicht geprüft und legitimiert werden.
Fast 9 von 10 CFOs, die KI in ihre Aufgaben integriert haben, sehen einen signifikanten Einfluss auf ihr Unternehmen. Das ist eine der Erkenntnisse des neuen CFO Research Reports „Der Schlüssel zum Erfolg im Finanzwesen“ von Sage. […]
Laut NETSCOUT DDoS Threat Intelligence Report 1H2024 ist EMEA-Region durch vermehrte DDoS-Angriffe und Hacker-Aktivitäten bedroht. Der Report stellt eine Zunahme an multivektorialen Angriffen fest, bei dem mehrere Angriffsmethoden gleichzeitig eingesetzt werden, um das Zielsystem zu überlasten. […]
Der “KI Trend Report 2025” von Objectbay liefert Einblicke, wie generative KI entlang des Software Engineering Lifecycle eingesetzt wird. Dafür hat das Linzer Softwareentwicklungs-Unternehmen 9 KI-Experten zu ihrer Praxiserfahrung befragt und gibt Einblicke, wie der Einsatz von KI die IT-Branche verändert wird. […]
it-sa Programm: Die it-sa Expo&Congress präsentiert am 24. Oktober die Special Keynote von Peter Hacker. Der Experte für Cybersicherheit bietet in einem Interview mit NürnbergMesse erste Einblicke in die wachsenden Risiken und geopolitischen Herausforderungen im digitalen Zeitalter. […]
Wird ein Schaltschrank aufgebaut, muss es schnell und einfach gehen. Schon bei der Sockelmontage zählt jede Minute. Dafür sorgt Rittal mit seinen neuen Sockel-Systemen für den Großschrank VX und den Kompakt-Schaltschrank AX. […]
2024 war und ist ein Jahr der Wahlen – mit Wahlveranstaltungen in mehr als 60 Ländern und geschätzt rund 2 Milliarden potenziellen Wählern. Ein gefundenes Fressen für politische motivierte Kampagnen, die im großen Stil Fehlinformationen verbreiten wollen und in der digital vernetzten Welt immer raffinierter aufgesetzt sind. […]
APIs werden immer mehr zum Rückgrat der digitalen Transformation und verbinden wichtige Dienste und Anwendungen in Unternehmen. Gerade im Zusammenhang mit kommenden KI-basierten Bedrohungen zeigt sich jedoch, dass viele Programmierschnittstellen nur unzureichend geschützt sind. […]
Ein neuer Lehrgang von APA-Campus vermittelt Skills und Knowhow zu künstlicher Intelligenz: von generativer KI, über ethische und rechtliche Grundlagen bis hin zu Use Cases, KI-Projekt- und Change Management. […]
VINCI Energies übernimmt Strong-IT in Innsbruck und erweitert damit das Leistungsspektrum seiner ICT-Marke Axians. Strong-IT schützt seit mehr als zehn Jahren Unternehmen gegen digitale Bedrohungen, während Axians umfassende IT-Services einbringt. […]
Aktuelle Business IT-News für Österreich. Die ITWELT (vormals: COMPUTERWELT) ist Österreichs führende IT- Zeitung für den gesamten Bereich der Informationstechnik und Telekommunikation. Wir schreiben für leitende IT- Experten (IT-Leiter, CIO) in IT-Branche und EDV-Abteilungen. Unsere Themen: Business Software, Netzwerk, Security, Mobile Kommunikation, Infrastruktur, Cloud, Wirtschaft, IT-Innovation. Zudem finden Sie hier IT-Anbieter, Whitepaper, Webinare, Termine, Social Events und Praxisreports aus der IT und ITK Branche. (c) 2024 - ITW Verlag GmbH
Anmeldung Roundtable
Keine Felder gefunden.
Datenschutz Newsletter
Ich erhalte den Newsletter der Computerwelt c/o CW Fachverlag GmbH, Halbgasse 3-5 in 1070 Wien.
Meine Daten werden sicher gespeichert und niemals an Dritte weitergegeben.
Eine Abmeldung vom Newsletter, sowie Anmeldungen zu weiteren Services ist durch einen Link am Ende des Newsletters möglich.
Be the first to comment