{"id":111010,"date":"2023-10-20T21:10:22","date_gmt":"2023-10-20T19:10:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru"},"modified":"2023-10-20T21:10:22","modified_gmt":"2023-10-20T19:10:22","slug":"zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru","title":{"rendered":"Das Abfangen von verschl\u00fcsseltem Verkehr von jabber.ru und xmpp.ru wurde registriert.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Der Administrator des Jabber-Servers jabber.ru (xmpp.ru) hat einen Angriff auf die Entschl\u00fcsselung des Nutzerverkehrs (MITM) festgestellt, der \u00fcber einen Zeitraum von 90 Tagen bis zu 6 Monaten in den Netzwerken der deutschen Hosting-Anbieter Hetzner und Linode durchgef\u00fchrt wurde, auf denen der Server des Projekts und unterst\u00fctzende VPS-Umgebungen gehostet werden. Der Angriff wurde durch das Umleiten des Verkehrs zu einem Transitknoten organisiert, der das TLS-Zertifikat f\u00fcr XMPP-Verbindungen, die mit der Erweiterung STARTTLS verschl\u00fcsselt sind, gef\u00e4lscht hat. <\/p>\n

Der Angriff wurde aufgrund eines Fehlers seiner Organisatoren bemerkt, die es vers\u00e4umt hatten, das TLS-Zertifikat, das f\u00fcr die T\u00e4uschung verwendet wurde, zu verl\u00e4ngern. Am 16. Oktober erhielt der Administrator von jabber.ru bei dem Versuch, eine Verbindung zum Dienst herzustellen, eine Fehlermeldung wegen eines abgelaufenen Zertifikats, jedoch war das auf dem Server hinterlegte Zertifikat nicht abgelaufen. Letztlich stellte sich heraus, dass das vom Client erhaltene Zertifikat von dem Zertifikat abweicht, das vom Server gesendet wird. Das erste gef\u00e4lschte TLS-Zertifikat<\/a> wurde am 18. April 2023 \u00fcber den Service Let’s Encrypt erhalten, wobei der Angreifer durch die M\u00f6glichkeit, den Verkehr abzufangen, den Zugang zu den Webseiten jabber.ru und xmpp.ru best\u00e4tigen konnte. <\/p>\n

Zun\u00e4chst gab es die Vermutung einer Kompromittierung des Projektservers und einer Manipulation auf seiner Seite. Allerdings ergab die durchgef\u00fchrte Pr\u00fcfung keine Hinweise auf einen Hack. Im Serverprotokoll wurde jedoch ein kurzes Ein- und Ausschalten des Netzwerkinterfaces (NIC Link is Down\/NIC Link is Up) bemerkt, das am 18. Juli um 12:58 Uhr stattfand und auf Manipulationen der Serververbindung zum Switch hindeuten k\u00f6nnte. Bemerkenswert ist, dass zwei gef\u00e4lschte TLS-Zertifikate wenige Minuten zuvor - am 18. Juli um 12:49 und 12:38 Uhr - generiert wurden. <\/p>\n

Dar\u00fcber hinaus fand die Manipulation nicht nur im Netzwerk des Anbieters Hetzner, wo sich der Hauptserver befindet, sondern auch im Netzwerk des Anbieters Linode statt, in dem VPS-Umgebungen mit unterst\u00fctzenden Proxys gehostet wurden, die den Datenverkehr von anderen Adressen umleiteten. Indirekt wurde festgestellt, dass der Datenverkehr zum Netzwerkport 5222 (XMPP STARTTLS) in den Netzwerken beider Anbieter \u00fcber einen zus\u00e4tzlichen Host umgeleitet wird, was darauf hindeutet, dass der Angriff von jemandem mit Zugang zur Infrastruktur der Anbieter ausgef\u00fchrt wurde. <\/p>\n

Theoretisch konnte die Manipulation ab dem 18. April (dem Datum der Erstellung des ersten gef\u00e4lschten Zertifikats f\u00fcr jabber.ru) erfolgen, jedoch wurden best\u00e4tigte F\u00e4lle von Zertifikatsmanipulation nur zwischen dem 21. Juli und dem 19. Oktober festgestellt. In dieser Zeit kann der verschl\u00fcsselte Datenaustausch mit jabber.ru und xmpp.ru als kompromittiert betrachtet werden. Die Manipulation endete nach Beginn der Untersuchungen, der Durchf\u00fchrung von Tests und der Einreichung einer Anfrage am 18. Oktober an den Support der Anbieter Hetzner und Linode. Ein zus\u00e4tzlicher Umweg bei der Paketweiterleitung an den Port 5222 eines der Server<\/a> in Linode ist auch heute noch zu beobachten, aber das Zertifikat wird jetzt nicht mehr manipuliert. <\/p>\n

Es wird vermutet, dass der Angriff m\u00f6glicherweise mit dem Wissen der Anbieter auf Anordnung der Strafverfolgungsbeh\u00f6rden, als Folge eines Hacks der Infrastruktur beider Anbieter oder durch einen Mitarbeiter, der Zugang zu beiden Anbietern hatte, durchgef\u00fchrt wurde. Mit der M\u00f6glichkeit, XMPP-Datenverkehr abzufangen und zu modifizieren, konnte der Angreifer auf alle mit den Konten verbundenen Daten zugreifen, wie zum Beispiel auf die auf dem Server gespeicherte Nachrichtenhistorie, und konnte Nachrichten im Namen anderer senden sowie \u00c4nderungen an fremden Nachrichten vornehmen. Nachrichten, die mit Ende-zu-Ende-Verschl\u00fcsselung (OMEMO, OTR oder PGP) gesendet werden, k\u00f6nnen als nicht kompromittiert angesehen werden, sofern die Verschl\u00fcsselungsschl\u00fcssel von beiden Seiten der Verbindung best\u00e4tigt wurden. Benutzern von jabber.ru wird empfohlen, ihre Zugangspassw\u00f6rter zu \u00e4ndern und die OMEMO- und PGP-Schl\u00fcssel in ihren PEP-Speichern auf m\u00f6gliche Manipulationen zu \u00fcberpr\u00fcfen.
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0410\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 Jabber-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 jabber.ru (xmpp.ru) \u0432\u044b\u044f\u0432\u0438\u043b \u0430\u0442\u0430\u043a\u0443 \u043f\u043e \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 (MITM), \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043c\u0443\u044e \u043d\u0430 \u043f\u0440\u043e\u0442\u044f\u0436\u0435\u043d\u0438\u0438 \u043e\u0442 90 \u0434\u043d\u0435\u0439 \u0434\u043e 6 \u043c\u0435\u0441\u044f\u0446\u0435\u0432 \u0432 \u0441\u0435\u0442\u044f\u0445 \u043d\u0435\u043c\u0435\u0446\u043a\u0438\u0445 \u0445\u043e\u0441\u0442\u0438\u043d\u0433-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 Hetzner \u0438 Linode, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u0438 \u0432\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0435 VPS-\u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f. \u0410\u0442\u0430\u043a\u0430 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u043d\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043d\u0430 \u0442\u0440\u0430\u043d\u0437\u0438\u0442\u043d\u044b\u0439 \u0443\u0437\u0435\u043b, \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044e\u0449\u0438\u0439 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0434\u043b\u044f XMPP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u0448\u0438\u0444\u0440\u0443\u0435\u043c\u044b\u0445 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f STARTTLS. \u0410\u0442\u0430\u043a\u0430 \u0431\u044b\u043b\u0430 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-111010","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Abfangen des verschl\u00fcsselten Traffics von jabber.ru und xmpp.ru festgestellt | ProHoster","description":"Der Administrator des Jabber-Servers jabber.ru (xmpp.ru) hat einen Angriff zur Entschl\u00fcsselung des Nutzertraffics (MITM) festgestellt, der zwischen 90 Tagen und 6 Monaten in den Netzwerken der deutschen Hosting-Anbieter Hetzner und Linode, auf denen sich der Server des Projekts und unterst\u00fctzende VPS-Umgebungen befinden, durchgef\u00fchrt wurde. Der Angriff wurde durch die Umleitung des Traffics zu einem Transitknoten organisiert, der das TLS-Zertifikat f\u00fcr XMPP-Verbindungen, die mit dem STARTTLS-Extension verschl\u00fcsselt sind, gef\u00e4lscht hat. Der Angriff wurde bemerkt.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0417\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 jabber.ru \u0438 xmpp.ru | ProHoster","og:description":"\u0410\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 Jabber-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 jabber.ru (xmpp.ru) \u0432\u044b\u044f\u0432\u0438\u043b \u0430\u0442\u0430\u043a\u0443 \u043f\u043e \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 (MITM), \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043c\u0443\u044e \u043d\u0430 \u043f\u0440\u043e\u0442\u044f\u0436\u0435\u043d\u0438\u0438 \u043e\u0442 90 \u0434\u043d\u0435\u0439 \u0434\u043e 6 \u043c\u0435\u0441\u044f\u0446\u0435\u0432 \u0432 \u0441\u0435\u0442\u044f\u0445 \u043d\u0435\u043c\u0435\u0446\u043a\u0438\u0445 \u0445\u043e\u0441\u0442\u0438\u043d\u0433-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 Hetzner \u0438 Linode, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u0438 \u0432\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0435 VPS-\u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f. \u0410\u0442\u0430\u043a\u0430 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u043d\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043d\u0430 \u0442\u0440\u0430\u043d\u0437\u0438\u0442\u043d\u044b\u0439 \u0443\u0437\u0435\u043b, \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044e\u0449\u0438\u0439 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0434\u043b\u044f XMPP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u0448\u0438\u0444\u0440\u0443\u0435\u043c\u044b\u0445 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f STARTTLS. \u0410\u0442\u0430\u043a\u0430 \u0431\u044b\u043b\u0430 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u0430","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2023-10-20T19:10:22+00:00","article:modified_time":"2023-10-20T19:10:22+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"111010","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-02-08 21:02:30","updated":"2026-02-09 16:51:31"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/111010","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=111010"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/111010\/revisions"}],"predecessor-version":[{"id":158943,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/111010\/revisions\/158943"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=111010"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=111010"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=111010"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}