Zusammenfassung:
Das Ziel dieser Arbeit ist zu evaluieren, wie anwendungsprotokollübergreifende Angriffe in TLS-Bibliotheken vermieden werden können und ob populäre TLS-Anwendungen diese Gegenmaßnahmen implementieren. Außerdem ist die Frage, ob Server im Internet diese Angriffe schon vermeiden.
Zur Evaluation der Bibliotheken wurden diese verglichen und Beispielimplementation geschrieben, in denen anwendungsprotokollübergreifende Angriffe verhindert werden. Die TLS-Anwendungen wurden zuerst mit einem Analyse-Programm evaluiert und die Ergebnisse durch Untersuchung des Quellcodes verifiziert. Die öffentlichen Server im Internet wurden durch einen kompletten Scan des IPv4 Adressbereichs evaluiert.
In der Evaluation wird gezeigt, dass es in allen 10 getesteten TLS-Bibliotheken, mit unterschiedlichem Aufwand, möglich ist, anwendungsprotokollübergreifende Angriffe zu vermeiden. Sechs der vierzehn getesteten TLS-Anwendungen können alle dieser Angriffe verhindern. Im Internet gibt es weniger als 1,4% an Servern, die alle Angriffe abwehren.
Die Arbeit zeigt, dass es noch Verbesserungsbedarf in TLS-Bibliotheken und Anwendungen gibt, um es Entwicklern und Serverbetreibern zu erleichtern, anwendungsprotokollübergreifende Angriffe zu verhindern. Der Internet-Scan zeigt, dass es heute noch kaum öffentliche Server gibt, die diese Gegenmaßnahmen implementieren.