M3AAWG veröffentlicht neue Best Practices für DKIM infolge der Bekanntgabe einer Schwachstelle bei der Schlüssellänge
(ddp direct) SAN FRANCISCO, CA — (Marketwire) — 11/08/12 — Das Spoofing, also die Fälschung von E-Mails von Unternehmen, die einen überholten, schwachen Verschlüsselungsschlüssel zur Authentifizierung ihrer E-Mails einsetzen, stellt nach jüngsten Berichten eine aktuelle Bedrohung dar. Die Messaging, Malware and Mobile Anti-Abuse Working Group (M3AAWG) fordert Unternehmen dringend auf, ihre DKIM-Verfahren umgehend anzupassen, um den Schutz der Endbenutzer zu verbessern, und hat dazu heute neue Best Practices bekanntgegeben, die speziell auf diese Schwachstelle abzielen. Neben anderen Empfehlungen zur Validierung der Authentizität von E-Mail-Absendern appelliert die M3AAWG an die Unternehmen, insbesondere ihre vormals sicheren 512- und 768-Bit-Verifizierungsschlüssel durch eine 1024-Bit- oder eine noch höhere Verschlüsselung zu ersetzen.
„Wir haben ein kurzes Dokument erstellt, das die relativ einfachen und unmittelbaren Schritte erläutert, die große E-Mail-Versender ergreifen können, um ihre Marken zu schützen und damit auf jüngste Bedenken hinsichtlich einiger Verschlüsselungs- und Nutzungslevel zu reagieren. Die Technologien entwickeln sich weiter, und um mit den Hackern Schritt halten zu können, muss die Branche ihre Praktiken angesichts ihrer zunehmenden Einsatzmöglichkeiten neu überdenken. Wir möchten die Unternehmen über die Änderungen informieren, die sie kurzfristig umsetzen können, um Konsumenten und ihre Marken gegen diese Bedrohung zu schützen“, betonte Chris Roosenraad, stellvertretender Vorsitzender von M3AAWG.
Das Dokument „M3AAWG Best Practices for Implementing DKIM To Avoid Key Length Vulnerability“ (www.maawg.org/sites/maawg/files/news/M3AAWG_Key_Implementation_BP-2012-11.pdf) beschreibt detailliert die technischen Schritte, die auf eine Behebung der derzeitigen Schwachstellen abzielen, und ist im Bereich „Published Documents“ der Website der Organisation unter www.maawg.org/published-documents erhältlich. Zu den Empfehlungen zählen u.a.:
DKIM ist ein allgemein anerkannter Standard, der von Unternehmen, Behörden, großen E-Mail-Providern und anderen Organisationen genutzt wird. Der Standard ermöglicht es dem Absender, E-Mails auf eine Weise zu versenden, die es dem Empfänger gestatten, die Identität des Absenders zu verifizieren. So implementieren z.B. E-Mail-Dienste wie etwa AOL, Gmail und Yahoo und kommerzielle Marken diesen Standard als Bestandteil ihres Messaging-Protokolls. Es versieht die Message-Header mit einem Verschlüsselungsschlüssel, der von ISP und anderen Empfängern verwendet wird, um zu verifizieren, ob die Mitteilung tatsächlich von dem angegebenen Unternehmen verschickt wurde.
Mit der Implementierung von DKIM wird es für Kriminelle schwieriger, rechtswidrige E-Mails zu erstellen, die den Anschein erwecken sollen, als kämen sie von einem angesehenen Unternehmen – ein Trick, der oft verwendet wird, um personenbezogene Daten von arglosen Benutzern zu stehlen. Ende Oktober berichtete die Wired-Journalistin Kim Zetter, dass viele Unternehmen im Rahmen der DKIM-Implementierung eine nur schwache Verschlüsselung und andere fragwürdige Praktiken verwenden, wodurch ihre E-Mails einem möglichen Spoofing durch Cyber-Kriminelle ausgesetzt sind.
Über die Messaging, Malware and Mobile Anti-Abuse Working Group (M3AAWG)
Die Messaging, Malware and Mobile Anti-Abuse Working Group (M3AAWG) stellt einen Zusammenschluss mehrerer Unternehmen dar, um gemeinsam gegen Bots, Malware, Spam, Viren, Denial-Of-Service-Attacken und ähnliche Online-Angriffe vorzugehen. M3AAWG (www.M3AAWG.org) repräsentiert über eine Milliarde Postfächer einiger der größten Netzwerkbetreiber weltweit. Dabei setzt M3AAWG auf die gesamte Erfahrung seines globalen Mitgliedernetzwerks, um mit Hilfe von Technologien, Zusammenarbeit und politischen Maßnahmen gegen Angriffe auf bereits bestehende Netzwerke und neue Dienste aktiv vorgehen zu können. Sie informiert außerdem Entscheidungsträger weltweit über technische und operative Probleme im Zusammenhang mit Online-Missbrauch und Messaging. Die MAAWG hat ihren Sitz in San Francisco im US-Bundesstaat Kalifornien und ist ein offenes Forum, das sich mit den Anforderungen des Marktes beschäftigt und von größeren Netzwerkbetreibern und Messaging-Anbietern unterstützt wird.
M3AAWG-Vorstand: AT&T (NYSE: T); Cloudmark, Inc.; Comcast (NASDAQ: CMCSA); Constant Contact (NASDAQ: CTCT); Cox Communications; Damballa, Inc.; Eloqua; Facebook; France Telecom (NYSE und Euronext: FTE); La Caixa; Message Bus; PayPal; Return Path; Time Warner Cable; Verizon Communications und Yahoo! Inc.
M3AAWG-Vollmitglieder: 1&1 Internet AG; Adaptive Mobile Security LTD; Adobe Systems Inc.; AOL; BAE Systems Detica; Cisco Systems, Inc.; Dynamic Network Services Inc.; Email Sender and Provider Coalition; Genius; iContact; Internet Initiative Japan (IIJ NASDAQ: IIJI); McAfee Inc.; Message Systems; Mimecast; Nominum, Inc.; Proofpoint; Scality; Spamhaus; Sprint; Symantec; Trend Micro, Inc. und Twitter.
Die gesamte Mitgliederliste steht unter http://www.m3aawg.org/about/roster zur Verfügung.
Medienkontakt: Linda Marcus, APR +1-714-974-6356 LMarcus@astra.cc Astra Communications
Medienkontakt:
Linda Marcus, APR
+1-714-974-6356
LMarcus@astra.cc
Astra Communications
–
Kontakt:
Marketwire
Marketwire Client Services
100 N. Sepulveda Boulevard, Suite 325
90245 El Segundo
–
intldesk@marketwire.com
http://www.marketwire.com