In einem aktuellen Bericht hat Imperva die vier größten Gefahrenpotentiale des HTTP/2-Protokolls zusammengefasst. HTTP/2 ist die neue Version des HTTP-Protokolls, das zu den Grundbausteinen des Worldwide Web zählt. [...]
Imperva hat auf der Black Hat Konferenz in den USA seinen Intelligence Initiative Report für den Monat Juli vorgestellt: „HTTP/2: Detaillierte Analyse der vier größten Schwächen des kommenden Worldwide Web Protokolls“. In dem Bericht haben Experten des Imperva Defense Centers die vier größten Potentiale für Schäden des HTTP/2-Protokolls zusammengefasst. HTTP/2 ist die neue Version des HTTP-Protokolls, das zu den Grundbausteinen des Worldwide Webs zählt.
HTTP/2 bringt Imperva zufolge neue Funktionen mit sich, die das Risiko deutlich erhöhen, dass geschäftskritische Daten gefährdet sind, da sie vor neuen Arten von Attacken nicht geschützt sind. Die Experten des Imperva Defense Centers untersuchten besonders intensiv die Umsetzung von HTTP/2 durch Apache, Microsoft, NGINX, Jetty und nghttp2. Das Team entdeckte und untersuchte in allen Hauptmechanismen des HTTP/2 gravierendes Potential für Schäden. Zwei davon ähneln bereits bekannten und weit verbreiteten Schwächen des HTTP/1.x. Es scheint, als würden auch andere Umsetzungen des HTTP/2-Protokolls unter diesen Schwachstellen leiden.
„Die allgemeine Verbesserung der Internetleistung und speziell die Erweiterung der mobilen Apps, die HTTP/2 mit sich bringt, sind möglicherweise ein Segen für die Internetnutzer“, kommentiert Amichai Shulman, Mitbegründer und CTO von Imperva. „Aber dennoch erhöht die Veröffentlichung vieler neuer Codes in kürzester Zeit das Risiko für Cyberangriffe. Auch wenn es erschreckend ist, dass bereits bekannte Schwächen von HTTP/1.x für HTTP/2 übernommen wurden, ist es kaum überraschend. In Anbetracht der neuen Technologien, ist es wichtig für Unternehmen mit angemessener Sorgfalt und Schutzmaßnahmen ihre erweiterte Angriffsfläche zu verteidigen und sowohl geschäftskritischen Daten als auch Kundendaten vor den immer größer werdenden Bedrohungen aus dem Internet zu schützen.“
Die Bedrohung entsteht besonders durch die schnelle Übernahme von HTTP/2. Laut W3Techs nutzen mittlerweile 8,7 Prozent aller Webseiten HTTP/2, also ungefähr 85 Millionen Seiten, was ein fast vierfacher Anstieg gegenüber den 2,3 Prozent im Dezember 2015 bedeutet. Die vier bekanntesten Taktiken von Angreifern sind laut Imperva folgende:
Slow Read: Diese Attacke ruft Kunden heimtückisch dazu auf, ihre Antworten sehr langsam zu lesen. Sie funktioniert genauso, wie die bekannte Slowloris DDoS Attacke, die bei den Angriffen auf die Gesellschaft für Zahlungssysteme 2010 genutzt wurde. Es lohnt sich, darüber Bescheid zu wissen, denn obwohl Slow-Read-Angriffe im HTTP/1.x intensiv untersucht wurden, sind sie noch immer aktiv – dieses Mal in den App-Anwendungen von HTTP/2. Die Experten des Imperva Defence Centers entdeckten diese Sicherheitslücke auf fast allen bekannten Internet-Servern, unter anderem auch bei Apache, Microsoft, NGINX, Jetty und nghttp2.
HPACK Bomb: Diese komprimierte Attacke gleicht einer ZIP Bombe. Der Angreifer kreiert eine kleine und harmlos erscheinende Nachricht, die sich auf dem Server in mehrere Gigabytes an Daten verwandelt. Das verbraucht den gesamten Datenspeicher und macht ihn schließlich unbrauchbar.
Dependency Cycle Attack: Diese Attacke zieht Vorteile aus der Durchflussüberwachung, die HTTP/2 für die Netzwerkoptimierung eingeführt hat. Der Täter erteilt Aufträge, die einen Abhängigkeits-Kreislauf erzeugen, der den Server in einer unendlichen Schleife festhält, wenn er beginnt die Aufträge zu bearbeiten.
Stream Multiplexing Abuse: Der Angreifer nutzt Schwachstellen des Servers bei der Durchführung von Datenübertragung, um den Server lahm zu legen. Dies kann leicht passieren, wenn die Nutzer nicht geprüft und legitimiert werden.
Strengere und weitreichende Compliance-Anforderungen werden die europäische Landschaft dominieren, da Unternehmen daran arbeiten, die NIS2-Richtlinie einzuhalten. Diese Richtlinie erweitert den Umfang kritischer Infrastruktursektoren und erhöht die Strafen, wodurch Cybersicherheit für mehr Unternehmen zu einer rechtlichen Notwendigkeit wird. […]
Extrem in allem: Samsungs brandneuer OLED-TV S95D ist ultradünn, ultraschmall gebaut und löst ultrascharf auf. Wir haben das neue OLED-Spitzenmodell mit mattem Bildschirm (!) und 65-Zoll-Bilddiagonale getestet. […]
Die Einführung von 5G beeinflusst das cloudbasierte Fuhrparkmanagement erheblich. Echtzeitdatenübertragung zwischen Fahrzeugen und der Cloud ermöglicht eine präzise Betriebsoptimierung, die für Unternehmen unverzichtbar ist. […]
Bei der Entwicklung von Strategien zur Verbesserung der Datensicherheit in KI-Workloads ist es entscheidend, die Perspektive zu ändern und KI als eine Person zu betrachten, die anfällig für Social-Engineering-Angriffe ist. Diese Analogie kann Unternehmen helfen, die Schwachstellen und Bedrohungen, denen KI-Systeme ausgesetzt sind, besser zu verstehen und robustere Sicherheitsmaßnahmen zu entwickeln. […]
Das Punkt. MC02 verspricht eine neue Ära der Smartphone-Nutzung: volle Kontrolle über persönliche Daten, transparente Energieverwaltung und ein minimalistisches Design – ohne Kompromisse. […]
Der österreichische Online-Handel verzeichnet einen bemerkenswerten Aufschwung: Die digitalen Ausgaben stiegen 2023 auf über 14 Milliarden Euro. Flexible Zahlungsmethoden und innovative Technologien wie „Tap to Pay“ prägen die Einkaufswelt. […]
Über 150 Teilnehmer und Teilnehmernnen aus Wirtschaft, IT und Bildung kamen zum CorporateMeetsStudents Event am Campus 42 Vienna zusammen. Im Mittelpunkt der Diskussionen stand die zentrale Rolle von Software-Kompetenz nicht nur für das Wirtschaftswachstum, sondern auch für die gesamtgesellschaftliche Entwicklung Österreichs. […]
Nutzen Sie die die ruhigen Tage rund um den Jahreswechsel, um Ihre Daten zu ordnen, Platz für Neues zu schaffen und Ihren Arbeitsplatz klarer und nachhaltiger zu gestalten. Iphos IT hat folgende Tipps zusammengestellt, wie das digitale Ausfegen mit den richtigen Tools, Techniken und speziellen Enterprise-Search-Lösungen auf Knopfdruck gelingt. […]
Aktuelle Business IT-News für Österreich. Die ITWELT (vormals: COMPUTERWELT) ist Österreichs führende IT- Zeitung für den gesamten Bereich der Informationstechnik und Telekommunikation. Wir schreiben für leitende IT- Experten (IT-Leiter, CIO) in IT-Branche und EDV-Abteilungen. Unsere Themen: Business Software, Netzwerk, Security, Mobile Kommunikation, Infrastruktur, Cloud, Wirtschaft, IT-Innovation. Zudem finden Sie hier IT-Anbieter, Whitepaper, Webinare, Termine, Social Events und Praxisreports aus der IT und ITK Branche. (c) 2024 - ITW Verlag GmbH
Anmeldung Roundtable
Keine Felder gefunden.
Datenschutz Newsletter
Ich erhalte den Newsletter der Computerwelt c/o CW Fachverlag GmbH, Halbgasse 3-5 in 1070 Wien.
Meine Daten werden sicher gespeichert und niemals an Dritte weitergegeben.
Eine Abmeldung vom Newsletter, sowie Anmeldungen zu weiteren Services ist durch einen Link am Ende des Newsletters möglich.
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Be the first to comment