Check Point-Anwender: Sie sind noch nicht bereit für den 5. Juni 2016

Die wichtigsten ErkenntnisseDie wichtigsten Erkenntnisse werden mithilfe von KI generiert. Da automatisierte Zusammenfassungen gelegentlich Fehler enthalten oder wichtige Zusammenhänge auslassen können, sollten Sie für vollständige Informationen stets den vollständigen Blogbeitrag lesen.

Der Artikel informiert über ein Check Point Security-Knowledge-Update zur Umstellung der Update-Dienste von SHA-1 auf SHA-256, das einen Hotfix oder R77.30 auf Firewalls und Management-Servern erforderlich macht, um die Konnektivität zu Online-Updates sicherzustellen. Als Reaktion auf bekannte Schwachstellen in SHA-1 empfiehlt Check Point dringend die Installation des Hotfixes vor dem Stichtag im November, da nur 17,9 % der Firewalls bereits kompatibel sind und die Mehrheit der Geräte damit ein Ausfallrisiko bei Updates hat. Der Text beschreibt konkrete Schritte zur Bestandsaufnahme, Überprüfung installierter Hotfixes (z. B. mit indeni-Berichten) und die Planung der flächendeckenden Installation, wobei laut SK keine Ausfallzeiten zu erwarten sind.

Vollständige Zusammenfassung

Was ist der Grund für die Umstellung von SHA-1 auf SHA-256 bei Check Point Update-Diensten?

Die Umstellung von SHA-1 auf SHA-256 erfolgt, weil SHA-1 als kryptografischer Hash als verwundbar gilt und Berichte nahelegen, dass diese Schwachstellen in Zukunft ausgenutzt werden könnten. Check Point reagiert darauf, indem die Zertifikate der Online-Update-Dienste auf SHA-256-basierte Zertifikate umgestellt werden, um die Integrität und Vertrauenswürdigkeit der Updates zu erhöhen. Um die Konnektivität zu diesen Diensten zu gewährleisten, muss auf älteren Systemen ein Hotfix oder ein Versions-Upgrade auf R77.30 installiert werden, da nur so die neuen SHA-256-Zertifikate akzeptiert werden.

Welche Systeme müssen aktualisiert werden und wie kann ich prüfen, ob ein Hotfix bereits installiert ist?

Betroffen sind Check-Point-Firewalls und Management-Server, die Update-Dienste nutzen und nicht bereits auf R77.30 laufen. Zur Prüfung empfiehlt der Artikel eine Bestandsaufnahme aller Geräte inklusive der installierten Softwareversionen und Hotfixes. Nutzer von indeni können einen Bestandsbericht im Web-Dashboard erstellen (Berichte -> Bestandsbericht) und das Blatt „Installierte Hotfixes“ prüfen; auf jedem Gerät sollte ein Hotfix mit dem Namen „R77_30“ oder einem Textteil „SHA256“ vorhanden sein. In indeni Version 5.3 werden zusätzlich Warnmeldungen für Geräte angezeigt, die noch aktualisiert werden müssen.

Welche praktischen Empfehlungen gibt der Artikel zur Umsetzung des Hotfix-Einsatzes?

Der Artikel empfiehlt, das relevante SK vollständig zu lesen, eine Inventarliste der Geräte und ihrer Softwarestände zu erstellen und gezielt zu prüfen, welche Geräte den Hotfix benötigen. Anschließend sollte die flächendeckende Installation des Hotfixes geplant und durchgeführt werden; laut SK sollte dies ohne Ausfallzeiten möglich sein. Zusätzlich wird empfohlen, indeni-Berichte oder ähnliche Tools zur Identifikation betroffener Geräte zu nutzen und in Versionen mit Warnfunktionen (z. B. indeni 5.3) die angezeigten Hinweise zu verfolgen, um sicherzustellen, dass alle Firewalls und Management-Server rechtzeitig kompatibel mit den SHA-256-Update-Zertifikaten sind.

Die wichtigsten Erkenntnisse

UPDATE 31. Mai 2016: CheckPoint hat den SK aktualisiert. Die Einführung von SHA-256 wurde auf den 5. Juni 2016 verschoben.

Bereits im April 2015 veröffentlichte Check Point den SK103839. Darin informiert Check Point seine Kunden darüber, dass die Update-Dienste für die verschiedenen Software-Blades künftig SHA-256 anstelle von SHA-1 verwenden werden. Dies ist eine Reaktion auf Berichte, wonach SHA-1 Schwachstellen aufweist, die – sofern sie nicht bereits von Hackern ausgenutzt wurden – möglicherweise bereits 2018 ausgenutzt werden könnten. Check Point ist mit diesen Bemühungen nicht allein, auch Google und andere Anbieter arbeiten daran.

Wie es in der SK heißt: „Um die Konnektivität der Check-Point-Software zu den Online-Update-Diensten von Check Point sicherzustellen, die SHA-256-basierte Zertifikate verwenden, ist ein Hotfix erforderlich. Check Point empfiehlt dringend, diesen Hotfix zu installieren, um die Funktionalität der oben genannten Update-Dienste aufrechtzuerhalten.“ Mit anderen Worten: Wenn Sie nicht auf R77.30 arbeiten, sollten Sie den Hotfix noch vor November auf all Ihren Firewalls und Verwaltungsservern installieren.

Erstaunlicherweise zeigt jedoch eine kurze Abfrage der Datenbank von indeni Insight, dass nur 17,9 % der Check-Point-Firewalls entweder R77.30 oder den erforderlichen Hotfix ausführen. Die überwiegende Mehrheit der Check-Point-Firewalls ist also noch nicht bereit für den November.

Was sollten Sie also tun? Wir empfehlen Folgendes:

1. Lesen Sie den SK, um sich einen vollständigen Überblick zu verschaffen.
2. Erstellen Sie eine Übersicht über die Geräte in Ihrem Besitz, die darauf laufenden Softwareversionen und darüber, auf welchen Geräten der Hotfix bereits installiert ist. Nutzer von indeni können einen Bestandsbericht erstellen (Berichte -> Bestandsbericht im Web-Dashboard) und das Blatt „Installierte Hotfixes“ überprüfen. Auf jedem Gerät sollte entweder ein Hotfix mit dem Namen „R77_30“ oder einer mit dem Text „SHA256“ installiert sein. Der Screenshot rechts zeigt ein Beispiel dafür, worauf Sie achten sollten. In Version 5.3 erhalten Sie außerdem für jedes Gerät, das noch aktualisiert werden muss, eine Warnmeldung.
3. Planen Sie die Installation des Hotfixes in Ihrer gesamten Umgebung. Laut SK sollte dies zu keinen Ausfallzeiten führen.

Jetzt heißt es: Los geht’s!