Bochumer Forschende vom Exzellenzcluster CASA haben neue Sicherheitslücken entdeckt.
IT-Sicherheit
Kritische Schwachstellen in Netzwerkprotokoll QUIC entdeckt
Ihre Arbeit präsentierten die Forscher vom Lehrstuhl für Netz- und Datensicherheit auf der Top-Konferenz USENIX Security Symposium.
Wenn wir uns im Internet bewegen, werden unsere Daten ständig über sogenannte Protokolle ausgetauscht. Diese legen fest, wie diese Kommunikation abläuft und wie Daten sicher, zuverlässig und möglichst schnell übertragen werden. Zu den grundlegenden Protokollen des Internets gehören das Internet Protocol (IP), das Transmission Control Protocol (TCP) und Transport Layer Security (TLS). Vor einigen Jahren begann Google mit der Entwicklung des Netzwerkprotokolls QUIC. Es soll unter anderem den Aufbau von Verbindungen beschleunigen und die Datenübertragung effizienter machen. Seit 2021 ist QUIC standardisiert und findet zunehmend Verbreitung.
Testwerkzeug QUIC-Attacker
Sicherheitsforscher der Ruhr-Universität Bochum haben nun mehrere Sicherheitslücken sowie Abweichungen vom QUIC-Standard in verschiedenen Server-Implementierungen entdeckt. Mithilfe des eigens entwickelten Testwerkzeugs QUIC-Attacker konnten sie Protokollnachrichten gezielt zusammenstellen, verändern und an QUIC-Implementierungen senden. Dadurch ließen sich Verhaltensweisen untersuchen, die mit bisherigen Testwerkzeugen nicht gezielt überprüft werden konnten.
Ihre Arbeit präsentieren die Forscher vom Lehrstuhl für Netz- und Datensicherheit der Fakultät für Informatik auf der Top-Konferenz USENIX Security Symposium vor, die vom 12. bis 14. August 2026 in Baltimore, USA, stattfand.
„QUIC verfügt über umfangreiche Sicherheitsmechanismen. Die eigentliche Herausforderung liegt jedoch in der korrekten Umsetzung. Ausgedruckt würden die RFCs rund 250 Seiten umfassen. Sie beschreiben viele neue Komponenten und komplexe Zusammenhänge. Für Entwicklerinnen und Entwickler ist es daher anspruchsvoll, alle Vorgaben vollständig und korrekt umzusetzen.“, erklärt PhD Nurullah Erinola, der Mitglied im Exzellenzcluster CASA „Securing the Digital Society“ ist.
