Black Hat
-
IT-Sicherheit im Jahr 2016: Der Nutzer ist nicht schuld
Geht es um IT-Sicherheitsprobleme, wird gern über die Nutzer geschimpft. Und auch wenn viele Nutzer tatsächlich Fehler machen, liegt die Verantwortung für Sicherheitslücken, Botnetze und mangelnden Datenschutz meist bei anderen.
Eine Analyse von Hauke Gierow
-
Linux unter Windows 10: Neues Einfallstor für Schadsoftware
Das Linux-Subsystem in Windows 10 ist ein mögliches Angriffsziel für Schadsoftware. Dabei kommt die Gefahr weniger von schadhaften Linux-Programmen, sondern von Windows-Malware, die installierte Linux-Anwendungen manipulieren.
-
iOS: Apple bietet bis zu 200.000 US-Dollar für Bugs
Black Hat 2016 Nach langem Warten hat jetzt auch Apple ein Bug-Bounty-Programm. Das gab Apple-Manager Ivan Krstić auf der Black Hat 2016 bekannt. Unter einer Voraussetzung verdoppelt das Unternehmen die maximale Auszahlung von 200.000 US-Dollar sogar.
-
Geldautomaten: Forscher kopieren Chipkarten mit dünnen Lesegeräten
Black Hat 2016 Sind Bankkarten mit Chip und Pin doch nicht so sicher, wie immer behauptet? Mit Hilfe sogenannter Shimmer soll es möglich sein, EMV-Bankkarten auszulesen und Geldautomaten zu plündern.
-
Phishing-Studie: Neugier siegt über Sicherheitsbedenken
Black Hat 2016 Allen Warnungen und Sicherheitsvorkehrungen zum Trotz: Nutzer lassen sich sehr leicht auf eine Webseite locken, wenn die Phishing-Mail verführerisch genug klingt. Das sollte Auswirkungen auf die Sicherheitsarchitektur haben, fordern Forscher.
-
HEIST: Timing- und Kompressionsangriff auf TLS
Black Hat 2016 Durch die geschickte Kombination eines Timing-Angriffs in Javascript und der bereits bekannten Breach-Attacke ist es möglich, Geheimnisse in TLS-Verbindungen zu entschlüsseln. Anders als früher ist dafür kein Man-in-the-Middle-Angriff nötig.
-
Unsichere SMS-Authentifizierung: Telegram-Accounts in Iran offenbar gehackt
Black Hat 2016 Der Messengerdienst Telegram gilt vielen als sichere Alternative zu Whatsapp. Doch es ist durchaus möglich, Sicherheitsvorkehrungen auszuhebeln und an Accounts zu gelangen.
-
Black Hat 2016: Neuer Angriff schafft Zugriff auf Klartext-URLs trotz HTTPS
Besonders in öffentlichen Netzwerken schützen verschlüsselte HTTPS-Verbindungen davor, dass Admins oder gar andere Nutzer im gleichen Netz den eigenen Datenverkehr belauschen. Dieser Schutz ist offenbar löchrig - und zwar auf fast allen Browsern und Betriebssystemen.
-
Patchday: Microsoft behebt Sicherheitslücke aus Windows-95-Zeiten
Alle Windows-Versionen seit 95 haben eine Sicherheitslücke, die die Manipulation des Datenverkehrs ermöglichen soll. Microsoft bezeichnet das Problem nicht als kritisch, der Entdecker sieht es anders - und will auf der Black Hat mehr verraten.
-
Kaspersky-Analyse: Fast jeder Geldautomat lässt sich kapern
Immer wieder gibt es Berichte über gehackte Geldautomaten. In einer ausführlichen Analyse macht Kaspersky eine ganze Reihe von Sicherheitsdefiziten dafür verantwortlich.
-
Actionkameras im Test: Viermal 4k
Weihnachten naht und die Preise für Actionkameras sinken. Wir haben ausgiebig getestet, für wen sich welches 4k-fähige Modell lohnt.
Von Martin Wolf -
Sicherheitslücken: XML-Verschlüsselung mit vielen Fallstricken
Zahlreiche Sicherheitslücken plagen die Standards zum Verschlüsseln und Signieren von XML-Daten. Obwohl die Lücken schon viele Jahre bekannt sind, finden sich nach wie vor viele verwundbare Produkte.
-
Websicherheit: Datenleck durch dynamische Skripte
Moderne Webseiten erstellen häufig dynamischen Javascript-Code. Wenn darin private Daten enthalten sind, können fremde Webseiten diese auslesen. Bei einer Untersuchung von Sicherheitsforschern war ein Drittel der untersuchten Webseiten von diesem Problem betroffen.
-
ProxySG: Einblick ins Betriebssystem von Blue Coat
Der Sicherheitsforscher Raphaël Rigo hat sich das Betriebssystem von Geräten der Firma Blue Coat angesehen. Dem proprietären System fehlen moderne Sicherheitsmechanismen wie Stack Canaries oder ASLR.
-
Jackpotting : Geldautomaten in Deutschland mit USB-Stick ausgeräumt
Seit 2010 ist das Plündern von Geldautomaten per USB-Stick bekannt. In Deutschland wurde nun erstmals ein Täter dabei gefilmt, wie er zwei Automaten an einem Tag ausräumte.
-
Autonomes Fahren: Wozu das Auto im Internet verkehrt
Es ist ein Paradox: Autonome Autos müssen auch ohne Netzverbindung unfallfrei fahren, sollen aber mit internetbasierten Diensten vollgestopft werden. Mit solchen Sicherheitsfunktionen steigt aber die Gefahr von gefährlichen Hacks.
Von Friedhelm Greis -
Corvette per SMS manipuliert: Die Anleitung zum Autohack
US-Sicherheitsexperten haben ein vernetztes Auto per SMS gehackt und gesteuert. Über einen Stick zur Nutzerabrechnung drangen sie in die Steuerung einer Corvette ein. Möglicherweise funktionierte der spektakuläre frühere Hack eines Cherokee Jeep ähnlich.
-
Schwachstellen: Fingerabdruckklau leicht gemacht
Black Hat 2015 Fingerabdruck-Scanner unter Android sind teils mit gravierenden Sicherheitsmängeln umgesetzt worden. Mit wenig Aufwand können Fingerabdrücke sogar gestohlen werden.
-
Security: SIM-Karten erfolgreich geklont
Black Hat 2015 Chinesischen Forschern ist es gelungen, nach AES-128 verschlüsselte SIM-Karten zu duplizieren. Die Verschlüsselung mussten sie dazu aber nicht knacken.
-
Kryptographie: Rechenfehler mit großen Zahlen
Black Hat 2015 Kryptographische Algorithmen benötigen oft Berechnungen mit großen Ganzzahlen. Immer wieder werden Fehler in den entsprechenden Bibliotheken gefunden. Diese können zu Sicherheitslücken werden.
-
HTTPS: BGP-Angriff gefährdet TLS-Zertifikatssystem
Black Hat 2015 Auf der Black Hat weisen Sicherheitsforscher auf ein Problem mit TLS-Zertifizierungsstellen hin: Die Prüfung, wem eine Domain gehört, findet über ein ungesichertes Netz statt. Dieser Weg ist angreifbar - beispielsweise mittels des Routingprotokolls BGP.
-
Schwachstelle: Certifi-Gate erlaubt Zertifikatsmissbrauch unter Android
Black Hat 2015 Bösartige Apps können in Android legitime Zertifikate nutzen, um erhöhte Rechte zu erhalten. Die Entdecker der Schwachstelle haben dieser den Namen Certifi-Gate gegeben. Google bestätigt die Lücke, betont aber, dass Apps im Play Store auf ein solches Missbrauchspotential überprüft würden.
-
Security: Zurück zu den Hacker-Ursprüngen
Black Hat 2015 Wer moderne Technik zerlegt, um sie und damit die Welt verstehen zu können, macht sich strafbar. Dabei müsste das Hacken gefördert werden, sagt die Anwältin Jennifer Granick.
-
Stagefright-Sicherheitslücke: Elf Wege, ein Android-System zu übernehmen
Black Hat 2015 Auf der Black-Hat-Konferenz hat Joshua Drake die Hintergründe zu den Stagefright-Sicherheitslücken erläutert. Über mindestens elf verschiedene Wege lässt sich ein Android-System seinem Vortrag zufolge angreifen. Fortschritte gibt es bei den Android-Updates.
-
Thunderbolt: Thunderstrike 2 lässt sich aus der Ferne installieren
Black Hat 2015 Die Thunderbolt-Schnittstelle lässt sich nach wie vor nutzen, um Schädlinge zu übertragen. Die Entdecker der Schwachstelle haben eine neue Variante ihres Angriffs Thunderstrike entwickelt. Er lässt sich jetzt auch aus der Ferne starten.
-
Security: Gehacktes Scharfschützengewehr schießt daneben
Black Hat 2015 Die "Smart Rifles" der Firma Tracking Point lassen sich einfach per WLAN manipulieren. Mit falschen Eingaben schießen sie auf Ziele, die der Schütze gar nicht im Visier hat.
-
IT-Sicherheit: Fehler in Android könnte Millionen Geräte gefährden
Black Hat 2015 Laut einem IT-Sicherheitsforscher lassen sich fast alle im Umlauf befindlichen Geräte vergleichsweise einfach in Wanzen verwandeln. Details gibt es noch nicht, es soll aber mehrere Schwachstellen in Androids Stagefright-Framework geben.
-
Autosteuerung gehackt : Fiat Chrysler schließt gefährliche Sicherheitslücke
Über das Internet können Hacker das Uconnect-System von Fiat Chrysler übernehmen. Selbst die Lenkung und die Bremsen lassen sich damit manipulieren. Europäische Autos sind offenbar nicht betroffen.
-
Security : Unverschlüsselte App-Updates gefährden Samsungs Smartphones
Wenn Apps ihre Aktualisierungen unverschlüsselt abholen, sind sie leicht zu manipulieren. Vor allem bei systemnahen Anwendungen ist das ein gravierendes Problem, wie ein aktueller Fall belegt, der vor allem die Galaxy-Reihe von Samsung betrifft.
-
Verschlüsselung: Kryptographen zeigen neue Angriffe gegen RC4
Eine bislang wenig beachtete Schwäche von RC4 nutzt der Kryptograph Itsik Mantin für seine neue Angriffsmethode. Ein weiterer kürzlich vorgestellter Angriff betrifft IMAP-Verbindungen.
-
Cantact: Open-Source-Platine für Auto-Hacker
Die kleine Platine Cantact samt Software soll das Abgreifen und Analysieren der Daten vereinfachen, die über den CAN-Bus in Fahrzeugen laufen. Cantact soll zwischen 60 und 100 US-Dollar kosten, das Platinenlayout und die Software sind aber auch frei erhältlich.
-
Stellenanzeige: Golem.de sucht Ex-NSA-Mitarbeiter/-in
Du kennst dich in IT-Sicherheitsfragen aus und willst viele Leser über Lücken, Hacks und den Schutz davor informieren. Dann bist du hier genau richtig. Golem.de sucht in Berlin eine Vollzeit-Verstärkung für die Redaktion, die das Thema Security betreut.
-
Sicherheitslücken : Pseudowissenschaftliche Zahlenspiele
IMHO Sicherheitslücken in öffentlichen Datenbanken zu zählen, ist keine seriöse Methode, um etwas über die Sicherheit von Produkten auszusagen. Trotzdem wird das immer wieder gemacht - zuletzt vom Hasso-Plattner-Institut anlässlich der Cebit.
Von Hanno Böck -
Ende-zu-Ende: Yahoo veröffentlicht Quellcode für E-Mail-Verschlüsselung
Wie Google bietet nun auch Yahoo ein Browser-Plugin für die E-Mail-Verschlüsselung an. Der Quellcode basiert auf dem von Google, steht frei zur Verfügung und kann somit von jedem überprüft werden.
-
Verschlüsselung: Neue Angriffe auf RC4
Zwei Forscherteams kündigen unabhängig voneinander an, bald neue Angriffe gegen den RC4-Verschlüsselungsalgorithmus vorzustellen. Knapp ein Prozent der Webserver setzt immer noch ausschließlich auf RC4.
-
Filmkritik : In Blackhat steht die Welt am Abgrund
Blackhat ist ein düsterer Film über die Bedrohung durch Cyberkriminelle, der am 5. Februar in Deutschland anläuft. Er ist spannend, wenn man die teils unglaubwürdige Geschichte akzeptiert.
Von Jörg Thoma -
E-Mail: Web.de will Ende-zu-Ende-Verschlüsselung anbieten
Web.de arbeitet offenbar an einer echten End-to-End-Verschlüsselung, die noch dieses Jahr fertig werden soll. Angaben dazu, wie die Schlüsselverwaltung laufen soll, macht der Betreiber noch nicht.
-
Karsten Nohl: USB-Geräte aller Typen lassen sich für BadUSB nutzen
Auf der Konferenz Pacsec hat der Berliner Sicherheitsforscher Karsten Nohl weitere Details zu dem von ihm BadUSB genannten Angriffsszenario auf PCs vorgeführt. Nicht nur USB-Sticks, sondern alle Geräte von der Webcam bis zum Hub lassen sich für BadUSB umprogammieren.
-
Security: Gefährliche Schwachstellen im UEFI-Bios
In Intels Referenzimplementierung des UEFI-Bios haben Sicherheitsforscher bei Mitre zwei gefährliche Schwachstellen entdeckt. HP stellt deswegen Bios-Updates für 1.500 Geräte bereit.
-
Anti-Cheat-Technologien: Cheating in Spielen schwer zu verhindern
Black Hat Europe 2014 Forscher von iSec präsentieren auf der Black Hat eine neue Methode, um in Computerspielen zu cheaten. Außerdem fanden sie verschiedene Sicherheitslücken in Anti-Cheat-Systemen.
-
Intelligente Stromzähler: Gehackte Smart Meter machen Lichter aus
Black Hat Europe 2014 Sicherheitsexperten ist es gelungen, in Spanien eingesetzte intelligente Stromzähler zu hacken. Damit könnten sie den Strom abschalten, den Zähler manipulieren oder dort Malware installieren.
-
Browser-Fuzzing: 150 Speicherzugriffsfehler im Internet Explorer
Black Hat Europe 2014 Chinesischen Forschern ist es gelungen, mit einer relativ simplen Methode zahlreiche Use-after-Free-Fehler im Internet Explorer zu finden. Einem der Forscher wurde die Einreise in die EU zur Black-Hat-Konferenz verwehrt.
-
Kernel-Treiber: Fuzzing deckt USB-Sicherheitslücken auf
Black Hat Europe 2014 Sicherheitslücken in USB-Treibern können eine einfache Möglichkeit darstellen, um Systeme zu übernehmen. Mittels Fuzzing-Technologien fanden zwei Sicherheitsforscher zahlreiche potenzielle Lücken in Linux-Treibern.
-
Adi Shamir: Den Air Gap überwinden
Black Hat Europe 2014 Krypto-Legende Adi Shamir hat auf der Black Hat Europe eine Methode präsentiert, um mittels eines Scanners mit einem vom Netz isolierten Computer zu kommunizieren.
-
Security: Hacker nehmen sich das Blackphone vor
Def Con 22 Hacker haben sich das Blackphone vorgenommen und einige Fehler entdeckt. Einer ist längst behoben, andere erfordern einen physischen Zugriff auf das Smartphone und eine Eingabe des Benutzers.
-
Black Hat: Cyberspione infiltrieren zwei Geheimdienste
Black Hat 2014 Bei der Sicherheitskonferenz Black Hat haben Sicherheitsexperten über eine Cyberspionagekampagne gegen Regierungen und das Militär in Europa und dem Mittleren Osten berichtet. Erstmals wurden auch Geheimdienste ausspioniert.
-
Seitenkanalangriffe: Was verschlüsselte Kanäle verraten
Black Hat 2014 Durch die statistische Analyse des Netzwerkverkehrs eines verschlüsselten SSH-Tunnels gelang es Forschern, Rückschlüsse auf das verwendete Programm zu ziehen. Das entsprechende Tool wurde samt Quellcode veröffentlicht.
-
Netzsicherheit: Das Internet scannen
Black Hat 2014 In den vergangenen Jahren gab es verschiedene Projekte, die den gesamten IP-Adressraum im Internet scannten. Das Projekt Sonar will nun regelmäßig derartige Scans durchführen.
-
E-Mail: Ende-zu-Ende-Verschlüsselung für Yahoo Mail
Black Hat 2014 Der Sicherheitschef von Yahoo kündigt an, dass das Unternehmen die Möglichkeit einer PGP-basierten Ende-zu-Ende-Verschlüsselung für Yahoo Mail umsetzen will. Dabei will man offenbar mit Google zusammenarbeiten.
-
Security: Experte rät US-Regierung, alle Sicherheitslücken zu kaufen
Black Hat 2014 Der Sicherheitsexperte Dan Geer macht radikale Vorschläge, wie Politik und Wirtschaft für mehr Sicherheit im Netz sorgen können. Seine persönliche Maßnahme: Rückzug.
-
ActaPiratenparteien rufen zu Protesten in Deutschland auf
In Polen haben zehntausende gegen Acta demonstriert, in Deutschland soll es am 11. Februar 2012 so weit sein. Mehrere europäische Piratenparteien kämpfen gemeinsam gegen das umstrittene Handelsabkommen.
(Acta) -
Test Mass Effect 3Entscheidungsschlacht im Weltall
Große Emotionen, noch größere Waffen: In Mass Effect 3 lässt Bioware ein letztes Mal Commander Shepard im Kampf gegen die bösen Reaper antreten. Die entscheidende Schlacht um die Vorherrschaft im Weltall führt die epische Action-Rollenspiel-Reihe zu einem würdigen Abschluss.
(Mass Effect 3 Test) -
HDTVViele Flachbildfernseher halten nur wenige Jahre
Flachbildfernseher stehen seit Anfang 2011 schon in jedem zweiten Haushalt in Deutschland. Doch die kostspieligen und attraktiven Geräte sind oft nach wenigen Jahren kaputt, eine Reparatur lohnt sich nicht. Das sei von den Herstellern so gewollt, meint ein Techniker.
(Flachbildfernseher) -
Streit um DomainsApple hat Domain iPhone5.com erhalten
Seit dem heutigen 20. Mai 2012 gehört die Domain iphone5.com Apple. Apple hatte bei der Weltorganisation für geistiges Eigentum (Wipo) Beschwerde eingereicht, weil die Domain einem anderen Unternehmen gehörte.
(Iphone5) -
AvidCorel kauft Pinnacle Studio
Corel übernimmt die Einsteigersoftware Pinnacle Studio und weitere Produkte von Avid Technology. Corel will die Software in seine Digital-Media-Sparte integrieren, zu der auch Paintshop Pro, WinDVD und die Roxio-Produktlinien gehören.
(Avid Studio) -
HTC Desire HDKein Android-4-Update wegen zu kleiner Systempartition
Eine Woche, nachdem HTC das Android-4-Update für das Desire HD gestrichen hat, reicht der Hersteller einige Gründe dafür nach. Mit einem Update auf Ice Cream Sandwich müsste der Speicher umpartitioniert werden, wobei alle Nutzerdaten verloren gingen.
(Htc Desire Hd) -
Windows 7Update fegt alte Windows-Patches von der Festplatte
Microsoft hat ein Update für Windows 7 veröffentlicht, das der bequemen Bereinigung der Systempartition dient. Der Nutzer kann damit alte Patches und Updates löschen, so dass dem Nutzer mehr Platz auf der Systempartition zur Verfügung steht.
(Windows 7)
Black HatE-Mail an news@golem.de