Ein neuartiger Angriff namens Terrapin bedroht die Integrität einiger SSH-Verbindungen, wobei fast 11 Millionen im Internet sichtbare SSH-Server anfällig sind.
Der Terrapin-Angriff zielt auf das SSH-Protokoll ab und betrifft sowohl Clients als auch Server. Entwickelt wurde er von Forschern der Ruhr-Universität Bochum in Deutschland.
Der Angriff manipuliert Sequenznummern während des Handshake-Prozesses, um die Integrität des SSH-Kanals zu kompromittieren, insbesondere wenn spezifische Verschlüsselungsmodi wie ChaCha20-Poly1305 oder CBC mit Encrypt-then-MAC verwendet werden.
Angreifer könnten dadurch die öffentlichen Schlüsselalgorithmen für die Benutzerauthentifizierung herabstufen und Verteidigungen gegen Tastenanschlags-Timing-Angriffe in OpenSSH 9.5 deaktivieren.
Eine wichtige Voraussetzung für den Terrapin-Angriff ist, dass die Angreifer sich in einer adversären „Man-in-the-Middle“-Position (AitM) befinden müssen, um den Handshake-Austausch abzufangen und zu modifizieren.
Es ist zu beachten, dass Bedrohungsakteure häufig Netzwerke von Interesse kompromittieren und auf den richtigen Moment warten, um ihren Angriff fortzusetzen.
Ein aktueller Bericht der Sicherheitsüberwachungsplattform Shadowserver warnt, dass es fast 11 Millionen SSH-Server im öffentlichen Web gibt – identifiziert durch eindeutige IP-Adressen -, die anfällig für Terrapin-Angriffe sind.
Dies stellt ungefähr 52% aller in den von Shadowserver überwachten IPv4- und IPv6-Räumen gescannten Beispiele dar.
Die meisten anfälligen Systeme wurden in den Vereinigten Staaten (3,3 Millionen) identifiziert, gefolgt von China (1,3 Millionen), Deutschland (1 Million), Russland (700.000), Singapur (390.000) und Japan (380.000).
Die Bedeutung des Berichts von Shadowserver liegt darin, dass Terrapin-Angriffe weitreichende Auswirkungen haben können.
Obwohl nicht alle 11 Millionen Fälle unmittelbar von einem Angriff bedroht sind, zeigt es, dass Gegner eine große Auswahl haben.
Wenn Sie einen SSH-Client oder -Server auf seine Anfälligkeit für Terrapin überprüfen möchten, bietet das Team der Ruhr-Universität Bochum einen Schwachstellenscanner an.
