Ich verbinde mich über eine gesicherte drahtlose Verbindung mit dem Internet. Ich bin mir ziemlich sicher, dass niemand MITM in meinem LAN hat. Wie sonst könnte jemand, der Heartbleed verwendet, um private Schlüssel stehlen, auf meine Daten zugreifen? Ich verstehe, dass sie meine Kommunikationen entschlüsseln können, aber ich benutze Websites, auf denen ich mein Kennwort ohne SSL eingebe, und meines Wissens hat niemand jemals eines meiner Konten kompromittiert? Warum ist es so ein Sicherheitsrisiko, wenn MITMs für mich selten sind?
Heartbleed erfordert keinen Man-in-the-Middle-Angriff, um ein System zu gefährden. Sie müssen nicht einmal mit der verwundbaren Website verbunden sein, damit Ihre persönlichen Informationen gefährdet werden.
Der Heartbleed-Fehler in OpenSSL ermöglicht einem Angreifer das Lesen von im Speicher des anfälligen Systems gespeicherten Informationen.
Das Lesen von heartbleed.com sollte die meisten Ihrer Fragen beantworten.
Sie müssen zwischen MITM und jemandem unterscheiden, der Ihren Verkehr abfängt.
Für unverschlüsselten Datenverkehr (und Logins) muss sich ein Angreifer nur irgendwo zwischen Ihnen und dem Server befinden, zu dem Sie eine Verbindung herstellen. Er kann dann schnüffeln Ihr Passwort aus dem Netzwerk oder jede andere Information, die ausgetauscht wird.
Für verschlüsselten Datenverkehr ist dies nicht so einfach. Um eine verschlüsselte Verbindung anzugreifen, wird MITM (man in the middle) verwendet. Da der Angreifer den vom Server verwendeten Schlüssel nicht kennt, gibt der Angreifer vor, der Server für Sie zu sein. Er stellt dann eine Verbindung zum Server her und gibt vor, Sie selbst zu sein, und leitet Ihre ursprüngliche Anfrage weiter.
Anstelle einer verschlüsselten Verbindung zwischen Ihnen und dem Server gibt es zwei. Eine zwischen Ihnen und dem Angreifer und eine zweite zwischen Angreifer und Server.
Dies kann leicht von Ihnen erkannt werden, wenn Sie den Schlüssel überprüfen möchten, den der Server Ihnen beim Verbinden zeigt. Da der Angreifer seinen eigenen Schlüssel verwenden muss, können Sie schnell feststellen, dass Sie nicht wirklich mit dem Server sprechen.
Mit HEARTBLEED wird es hier hässlich. Mit Heartbleed kann ein Angreifer den ursprünglichen geheimen Schlüssel direkt vom Server beziehen. An diesem Punkt haben Sie keine Chance herauszufinden, dass Sie angegriffen werden.
Wenn Sie ständig unverschlüsselte Verbindungen verwenden, wirkt sich HEARTBLEED nicht negativ auf Sie aus.
Dies ist vergleichbar mit dem Fahren ohne Sicherheitsgurt, wenn bekannt wird, dass bei einigen Sicherheitsgurten ein Problem vorliegt, das dazu führen könnte, dass sie bei einem Unfall entriegelt werden. Es ist für Sie egal, weil Sie die verfügbaren Sicherheitsvorrichtungen nutzen.
PS: Heartbleed verliert zufällige Daten. Es kann sich dabei um den privaten Schlüssel oder um irgendetwas anderes handeln, auf dem sich der Server aktuell befindet. Das Lecken des privaten Schlüssels wird in diesem Szenario als der schlimmste Fall betrachtet.
TL; DR: MITM-Angriffe sind selten, da sie schwer einzurichten sind und leicht erkannt werden. Heartbleed ist ernst, weil Sie es nicht erkennen können und es ist viel einfacher anzuwenden.