{"id":162081,"date":"2015-03-08T10:19:20","date_gmt":"2015-03-08T09:19:20","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=162081"},"modified":"2021-02-11T16:51:43","modified_gmt":"2021-02-11T15:51:43","slug":"update-error-8024001f-durch-microsoft-freak-workaround","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2015\/03\/08\/update-error-8024001f-durch-microsoft-freak-workaround\/","title":{"rendered":"Update-Error 8024001F durch Microsoft FREAK Workaround"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Stop.jpg\" alt=\"\" align=\"left\" \/>Noch eine kurze Info und Warnung: Microsoft hat einen Workaround publiziert, der die FREAK-Sicherheitsl\u00fccke entsch\u00e4rfen soll. Der Workaround kann dazu f\u00fchren, dass der Fehler 8024001F angezeigt wird und keine Updates mehr m\u00f6glich sind. Hier ein paar Details und ein Workaround von mir, der wirklich funktioniert.<\/p>\n<p><!--more--><\/p>\n<ul>\n<li>In verschiedenen Browsern von Apple, Android und Windows gibt es eine Schwachstelle, die das Surfen auf https-Seiten unsicher macht.<\/li>\n<li>Von Microsoft und von mir gibt es Hinweise, wie das Problem entsch\u00e4rft werden kann.<\/li>\n<li>Der von Microsoft skizzierte Workaround hat Nebenwirkungen \u2013 jeder Administrator muss entscheiden, ob diese gr\u00f6\u00dfer als der erhoffte Sicherheitsgewinn sind.<\/li>\n<\/ul>\n<h2>Worum geht es genau?<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/dc0bba3681b14674aa611e70c3ae9aa0\" alt=\"\" width=\"1\" height=\"1\" \/>Im Beitrag <a href=\"https:\/\/borncity.com\/blog\/2015\/03\/04\/freak-ssltls-lcke-in-apple-und-google-produkten\/\">FREAK SSL\/TLS-L\u00fccke in Apple- und Google-Produkten<\/a> hatte ich \u00fcber eine \"by Design\" in der SSL\/TLS-Verschl\u00fcsselung bestehende Schwachstelle in Apple- und Google-Produkten berichtet. Ich hatte keine Gelegenheit, es weiter zu testen, bin dann aber am Freitag darauf gesto\u00dfen (siehe <a href=\"https:\/\/borncity.com\/blog\/2015\/03\/06\/windows-doch-durch-freak-https-lcke-betroffen\/\">Windows doch durch FREAK HTTPS-L\u00fccke betroffen<\/a>), dass diese L\u00fccke auch Windows im Internet Explorer (bis zur Version 11) vorhanden ist.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/i.imgur.com\/6yZIUY4.jpg\" alt=\"\" \/><\/p>\n<p>Der obige Screenshot ist das, was mir (nachdem ich wieder zuhause bin) beim FREAK Attack-Sicherheitstest angezeigt wird.<\/p>\n<h3>Workaround: Vorschlag von mir, Vorschlag von Microsoft<\/h3>\n<p>Ein Grund, warum ich die Sicherheitsl\u00fccke als problemlos einsch\u00e4tze: Jeder Windows-Nutzer kann auf den Google Chrome-Browser ausweichen. Ich nutze hier standardm\u00e4\u00dfig die portable Version des aktuellen Google Chrome und bekomme dort die nachfolgende Anzeige.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/i.imgur.com\/Bth2KfF.jpg\" alt=\"\" \/><\/p>\n<p>Also alles im blauen Bereich. Das war auch die Situation beim Schreiben des initialen Blogbeitrags <a href=\"https:\/\/borncity.com\/blog\/2015\/03\/04\/freak-ssltls-lcke-in-apple-und-google-produkten\/\">FREAK SSL\/TLS-L\u00fccke in Apple- und Google-Produkten<\/a>.<\/p>\n<p>Da ich Freitag und Samstag bei Microsoft in M\u00fcnchen war, konnte ich wenig recherchieren und das Thema auf dem Radar behalten. Blog-Leserin <cite>1ei <\/cite>machte mich in <a href=\"https:\/\/borncity.com\/blog\/2015\/03\/06\/windows-doch-durch-freak-https-lcke-betroffen\/comment-page-1\/#comment-20827\" target=\"_blank\" rel=\"noopener\">diesem Kommentar<\/a> auf einen Artikel bei heise.de aufmerksam. Microsoft hat am 5. M\u00e4rz 2015 das Security Advisory 3046015 <a href=\"https:\/\/technet.microsoft.com\/en-us\/library\/security\/3046015#ID0EMH\" target=\"_blank\" rel=\"noopener\">Vulnerability in Schannel Could Allow Security Feature Bypass<\/a> ver\u00f6ffentlicht. Das Advisory richtet sich vor allem an Firmenadmins, die sicherstellen, dass der Internet Explorer 11 in der Windows-Umgebung ohne die Schwachstelle betrieben werden kann.<\/p>\n<h3>Der Workaround von Microsoft skizziert<\/h3>\n<p>Die Problematik besteht bei der FREAK-L\u00fccke darin, dass Angreifer die Kommunikation mit dem Server austricksen und auf eine \"schwache\" TLS-Verschl\u00fcsselung umstellen k\u00f6nnen. Die verschl\u00fcsselten Handshake-Nachrichten mit einer L\u00e4nge von 512 Bit lassen sich mit gen\u00fcgend Rechenleistung binnen einiger Stunden knacken. Nun sind die Leute von Microsoft auf die Idee gekommen, den Austausch der RSA-Schl\u00fcssel f\u00fcr die TLS-Verschl\u00fcsselung per Gruppenrichtlinie zu deaktivieren.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/i.imgur.com\/vlKpLdz.jpgg\" alt=\"Gpedit\" \/><\/p>\n<p>Dazu wird im Gruppenrichtlinien-Editor der Zweig <em>Computerkonfiguration \u2013 Administrative Vorlagen \u2013 Netzwerk \u2013 SSL-Konfigurationseinstellungen <\/em>aufgerufen. Anschlie\u00dfend ist die Richtlinie zu aktivieren und der Ausdruck in <em>SSL-Verschl\u00fcsselungssammlungen <\/em>gem\u00e4\u00df den Vorgaben Microsofts zu ersetzen.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/i.imgur.com\/mqx1La1.jpg\" alt=\"Gpedit\" \/><\/p>\n<p>Bewirkt, dass das Ersetzen des TLS-RSA-Schl\u00fcssels nicht mehr so klappt, wie man dies f\u00fcr einen theoretisch m\u00f6glichen Angriff gebraucht w\u00fcrde. Eigentlich eine clevere Idee seitens Microsoft. Erm\u00f6glicht Administratoren zu reagieren, bis ein getesteter Patch bereitsteht.<\/p>\n<blockquote><p>Microsoft weist schon darauf hin, dass dann bestimmte Webseiten nicht mehr funktionieren (wenn deren Server auf dieses RSA Key exchange angewiesen sind).<\/p><\/blockquote>\n<p>An dieser Stelle: Das betrifft nur Systeme, auf denen <em>gpedit.msc <\/em>l\u00e4uft (also Professional und Enterprise-Varianten von Windows wie z.B. Windows 7 Professional, Ultimate\/Enterprise, Windows 8\/8.1 Pro und Enterprise etc.). Daher vertiefe ich das Ganze an dieser Stelle nicht weiter.<\/p>\n<h3>\u2026 und das Folgeproblem<\/h3>\n<p>Der <a href=\"http:\/\/www.heise.de\/newsticker\/meldung\/Freak-Attack-Hotfix-legt-Windows-Update-lahm-2570391.html?wt_mc=rss.ho.beitrag.rdf\" target=\"_blank\" rel=\"noopener\">heise.de-Artikel<\/a> weist auf das Folgeproblem hin: Es kann vorkommen, dass dann keine Updates mehr installiert werden k\u00f6nnen, weil Windows Update den Fehler 8024001F wirft und die Update-Installation verweigert. Laut den heise-Redakteuren ist es diesen gelungen, den Fehler zu reproduzieren.<\/p>\n<p>Ich habe darauf verzichtet, das alles nachzustellen, da es a) nur wenige Blog-Leser betrifft, b) ich gerade mal von meiner Reise nach M\u00fcnchen zur\u00fcck bin und c) ich am Sonntag Morgen eigentlich eher im Rheingau zum Wandern m\u00f6chte, als mir irgendwelche Patch-Frickeleien antun will.<\/p>\n<p>Nur so viel: Wer sich die Microsoft-Beschreibung zum Update-Fehler <a href=\"http:\/\/windows.microsoft.com\/de-de\/windows\/windows-update-error-8024001f#1TC=windows-7\" target=\"_blank\" rel=\"noopener\">8024001f<\/a> (und <a href=\"http:\/\/windows.microsoft.com\/en-us\/windows-8\/windows-update-error-0x8024001f\" target=\"_blank\" rel=\"noopener\">hier<\/a>) anschaut, erf\u00e4hrt, dass die Internetverbindungwohl fehl geschlagen ist. Man wird aufgefordert, die Internetverbindung herzustellen. Diese besteht aber bei den Systemen.<\/p>\n<p>Ich habe das Szenario mal im Hinterkopf kurz durchdacht, als ich heute Morgen zum Br\u00f6tchen holen gejoggt bin. Frische Luft und Sauerstoff\u00fcberschuss bef\u00f6rdert das Denkverm\u00f6gen. Meine Theorie: Nat\u00fcrlich werden auch die von BITS angeforderten Update-Pakete per TLS verschl\u00fcsselt. Ich tippe darauf, dass genau das Verhindern des Austauschs der RSA-Keys tief irgendwo im Inneren von Windows einen Kollateralschaden verursacht. Der BITS-Dienst versucht \u00fcber irgend einen API-Aufruf die Pakete anzufordern, die Routine fordert das Paket \u00fcber irgend eine API an, kann das Paket aber nicht mehr entschl\u00fcsseln, weil der verwendete RSA-Key unzul\u00e4ssig ist. Ist nat\u00fcrlich Spekulation meinerseits und ich lasse mich gerne widerlegen.<\/p>\n<p>Fazit ist aber: Den Workaround sollte man sich als Administrator gut \u00fcberlegen \u2013 und zumindest wissen, worauf man sich einl\u00e4sst. Und meine zus\u00e4tzlichen 2 Cents: Das Missgeschick ist das Beste, was Microsoft passieren konnte. Auf diese Weise hat man nun mitbekommen, dass das Blockieren des RSA Exchange cipher nicht ausreicht \u2013 man muss alle Komponenten darauf hin abklopfen, ob diese noch sauber auf die Krypto-Bibliotheken zugreifen k\u00f6nnen. Ob wir daher n\u00e4chsten Dienstag (10.3.2015) einen Patch bekommen, steht in den Sternen. Warten wir es ab. Irgend jemand von Euch da drau\u00dfen betroffen?<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Noch eine kurze Info und Warnung: Microsoft hat einen Workaround publiziert, der die FREAK-Sicherheitsl\u00fccke entsch\u00e4rfen soll. Der Workaround kann dazu f\u00fchren, dass der Fehler 8024001F angezeigt wird und keine Updates mehr m\u00f6glich sind. Hier ein paar Details und ein Workaround &hellip; <a href=\"https:\/\/borncity.com\/blog\/2015\/03\/08\/update-error-8024001f-durch-microsoft-freak-workaround\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,301,3694,2557],"tags":[4052,24,4328,4059,3288],"class_list":["post-162081","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows","category-windows-10","category-windows-server","tag-freak","tag-problem","tag-sicherheit","tag-tls","tag-windows-en"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/162081","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=162081"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/162081\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=162081"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=162081"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=162081"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}