Updates und News aus Februar 2018

Der Februar stand ganz im Zeichen von kleineren Software-Updates verschiedener Pakete sowie zweier sicherheitsrelevanter Themen.

Software-Updates

Für PHP 7.2 steht seit Anfang Februar der Ioncube-Loader zur Verfügung und wir haben allen PHP 7-Versionen die neueste Version der APCu-Erweiterung spendiert. Details im dazugehörenden Blogartikel: https://spacehost.de/blog/ioncube-loader-fuer-php-7-2-und-apcu-update

Wenige Tage später gab es ein Update für die Softwarekomponenten Graphicsmagick sowie die RubyGems:
– Graphicsmagick 1.3.28 < 1.3.26
– rubygems 2.7.6 > 2.7.4

inkl. abhängiger Gems:
actioncable (5.1.4 > 5.1.5)
actionmailer (5.1.4 > 5.1.5)
actionpack (5.1.4 > 5.1.5)
actionview (5.1.4 > 5.1.5)
activejob (5.1.4 > 5.1.5)
activemodel (5.1.4 > 5.1.5)
activerecord (5.1.4 > 5.1.5)
activesupport (5.1.4 > 5.1.5)
did_you_mean (1.1.2 > 1.2.0)
i18n (0.9.3 > 1.0.0)
loofah (2.1.1 > 2.2.0)
rails (5.1.4 > 5.1.5)
railties (5.1.4 > 5.1.5)
tzinfo (1.2.4 > 1.2.5)

Am Ende des Monats wurden noch Git und NodeJS auf die, jeweils auf die zu diesem Zeitpunkt verfügbare, aktuelle Version gehoben:
– Git 2.16.2 < 2.14.1
– NodeJS 9.6.1 < 9.4.0

SSL/TLS Aktualisierung

Im Laufe des Februars gab es Änderungen an den unterstützten SSL/TLS-Ciphern. Insgesamt sind drei davon weggefallen:

– TLS_RSA_WITH_AES_256_CBC_SHA = AES256-SHA
– TLS_RSA_WITH_AES_256_CBC_SHA256 = AES256-SHA256
– TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA = ECDHE-RSA-DES-CBC3-SHA

Die Änderungen haben nur minimale Auswirkungen auf Verbindungen v.a. sehr alter Browser und sind Teil der aktuellen Best-Practise Empfehlungen von z.B. Mozilla, PCI-DSS, NIST, HIPAA und anderen.
In diesem Zuge weisen wir darauf hin, das mit dem heutigen Datum auch einige andere Techniken beim Einsatz von SSL auf Webservern beispielsweise vom bekannten Dienst “ssllabs” von Qualys negative Auswirkungen auf die Testergebnisse haben und zu einer Abstufung des Rankings führen.

Mit der Deaktivierung von ECDHE-RSA-DES-CBC3-SHA nutzen wir nun auch keinen 3DES-Algorithmus (Triple Data Encryption Standard), auch bekannt als Triple Data Encryption Algorithm (TDEA), mehr gemäß kommender Anforderung des NIST wie erwähnt in: https://csrc.nist.gov/News/2017/Update-to-Current-Use-and-Deprecation-of-TDEA

Details finden sich im Dokument “SP 800-52” Guidelines for the Selection, Configuration, and Use of Transport Layer Security (TLS) Implementations / im Abschnitt 3.3.1.1 Cipher Suites for TLS 1.2 and Earlier Versions. Auszug:
“[…] Cipher suites that use TDEA (3DES) are no longer allowed, due to the limited amounts of data that can be processed under a single key. […]”

WordPress CVE-2018-6389

Für WordPress existiert seit mehreren Wochen die Möglichkeit, die Webseiten relativ einfach zu überlasten und komplette Webpräsenzen lahm zu legen. Gegen dieses Angriffszenario existiert bei uns eine Sicherheitsoption im WordPress-Toolkit, die allen Kunden mit einem WordPress-Tarif zur Verfügung steht. Diese Einstellung ist Opt-In, muss also explizit aktiviert werden.

Zusätzlich haben wir in unseren Firewalls eine Angriffserkennung implementiert, um bei einem Angriff die Auswirkungen deutlich abzumildern/abzufangen. Alle Details zur Lücke und der neuen Option im dazugehörenden Blogartikel: https://spacehost.de/blog/wordpress-cve-2018-6389-luecke-absichern/

Zwei neue Uplinks zum Rechenzentrum

Ganz nebenbei hat unser Rechenzentrumspartner einen neuen Uplink mit dem Internet-Austauschknoten AMS-IX in Amsterdam, eröffnet. An diesem sog. “Internet eXchange Point” (=IX) ist nun dank des direkten Zugriffs der Datenaustausch zwischen Netzwerken und Rechenzentren hunderter anderer Internet Service Provider weltweit noch schneller und einfacher möglich. Wenn Sie sich die über 700 Peering-Partner ansehen möchte, so können Sie dies auf der Webseite des AMS-IX tun: https://ams-ix.net/connected_parties

Mit einem weiteren Uplink wurde die Gesamtanbindung an den Carrier Level 3 erhöht. Level 3 wurde Ende letzten Jahres von CenturyLink übernommen und gilt in Branchenkreises als einer der führenden globalen Netzwerkdienstleister mit einem hohen Glasfaseranteil in seinen Kommunikationsnetzwerken. Details in der Pressemitteilung.