Datensicherheit

Insgesamt sieben sicherheitskritische Fehler entdeckt. Stefan Esser von Hardened-PHP-Projekt weist auf sieben Sicherheitslücken in der freien Scriptsprache PHP hin, mit denen unter anderem beliebiger Code auf verwundbaren Systemen ausgeführt werden kann. Die neu erschienenen PHP-Versionen 4.3.10 und 5.0.3 beseitigen diese und fünf weitere Probleme.

Daniel J. Bernstein unterrichtet "UNIX Security Holes". Studenten von Daniel J. Bernstein, unter anderem Autor von qmail und den daemontools, haben im Rahmen eines Kurses zum Thema UNIX Security Holes an der Universität Illinois in Chicago insgesamt 44 Sicherheitslücken in verschiedenen Unix-Applikationen gefunden. Eine Liste der entsprechenden Security-Adisorys wurde jetzt veröffentlicht.

Coverity findet 985 Bugs in 5,7 Millionen Code-Zeilen. Linux enthält in der aktuellen Version 2.6 rund 985 Bugs in 5,7 Millionen Code-Zeilen und weist damit eine bessere Code-Qualität auf als die meiste proprietäre Software für den Einsatz im Unternehmen, zu diesem Schluss kommt Coverity nach einer vierjährigen Code-Analyse des Linux-Kernels.

Erste ZigBee-Produkte sollen Anfang 2005 auf den Markt kommen. Die "ZigBee Alliance" hat jetzt eine erste Version einer Spezifikation für den auf IEEE-802.15.4 aufbauenden Datenfunkstandard "ZigBee" offiziell verabschiedet. Mit ZigBee sollen künftig verlässliche, kosteneffektive und besonders stromsparende, drahtlos vernetzte Sensor- und Steuerungsprodukte - darunter auch PC-Eingabegeräte - entwickelt werden können.

Zahlreiche Fehler erlauben Angreifern, fremden Code auszuführen. Microsoft hatte in einem vorgezogenen Patch-Day schon Anfang Dezember 2004 bereits eine kritische Sicherheitslücke im Internet Explorer geschlossen. Nun folgen zum geplanten Patch-Day-Termin fünf weitere Patches. Dabei werden Sicherheitslücken in WordPad, dem DHCP-Server unter NT 4.0, HyperTerminal sowie dem Windows-Kernel und dem lokalen Sicherheitsdienst LSASS beseitigt.

Anti-Virenhersteller warnen vor Zafi.D bzw. W32.Erkez.D. Ein neuer auf den Namen "W32.Erkez.D" bzw. "Worm/Zafi.D" getaufter Wurm tarnt sich als Weihnachtsgruß und öffnet unter den Betriebssystemen Windows 95, 98, ME, NT, 2000 und XP sowie Windows Server 2003 eine Backdoor. Verbreitet wird der Virus wie üblich per E-Mail, aber auch über Peer-to-Peer-Netze.

Gläserner Bürger dank Arbeitslosengeld II und zugehörigem Softwaresystem? Beim Arbeitslosengeld II hat sich der Bund laut Dr. Thilo Weichert, dem Landesbeauftragten für Datenschutz Schleswig-Holstein und Leiter des Unabhängigen Landeszentrums für Datenschutz (ULD), von der für einen Rechtsstaat üblichen Selbstverständlichkeit zur Wahrung des Sozialgeheimnisses von Anfang an verabschiedet. "Für Arbeitslose soll es nach dem Willen des Bundes keinen Datenschutz geben", kritisiert Weichert nach mehreren Monaten Diskussion.

Computerbild hält sich mit Details zurück. Beim Internetauktionshaus eBay klaffen nach Informationen der Computerbild mehrere Sicherheitslücken. Ein Angreifer oder Wurm könne durch die Sicherheitslücken Nutzerdaten von eBay-Mitgliedern ändern und in deren Namen Gebote in beliebiger Höhe abgeben - ohne das Passwort des Mitglieds kennen zu müssen.

Verunsicherung über Spam gefährdet weiteres Wachstum des Online-Handels. Trotz eines gesunden Wachstums der Online-Verkäufe in der Weihnachtssaison droht dem Verkaufskanal Internet eine Vertrauenskrise. Dies ist das Ergebnis einer Studie des Marktforschungsinstituts Forrester Data. Obwohl die Online-Umsätze im deutschen Weihnachtsgeschäft auf 3,9 Milliarden Euro stiegen und damit EU-weit einen Anteil von 29 Prozent erreichen, fürchten immer mehr Verbraucher auf Grund von Spam-Mails um die Sicherheit ihrer Daten. Die BSA warnt deshalb davor, auf die Angebote in unverlangt erhaltenen Werbe-Mails einzugehen.

Phishing-Trick kann Inhalte von Pop-Up-Fenstern verändern. Die Sicherheitsspezialisten von Secunia haben eine neuartige Phishing-Variante in etlichen Web-Browsern entdeckt, die es einem Angreifer mit Hilfe spezieller Tricks erlaubt, den Inhalt eines Pop-Up-Fenstern zu verändern und sich so Zugriff auf vertrauliche Daten zu verschaffen. Je nach verwendetem Browser ist das tatsächliche Risiko unterschiedlich hoch.

Prototyp aus Österreich erreicht Geschwindigkeit von mehr als 1 MBit/s. Im Rahmen des Projekts PRODEQUAC entwickelten jetzt Forscher um Prof. Anton Zeilinger vom Institut für Experimentalphysik der Universität Wien den Prototypen einer Hardware-Firewall, die einen sicheren, per Quantenkryptographie geschützten Datenaustausch ermöglichen soll. Mit Hilfe des Gerätes sollen sich sensible Daten jeder Art bis hin zu IP-Telefongesprächen oder Videokonferenzen mit höchster Sicherheit austauschen lassen.

Spam-Filter überprüft nur die Identität des Absenders. IBMs "Internet Technology Group" hat auf den Entwicklerseiten des Unternehmens mit FairUCE einen neuen Spam-Filter veröffentlicht, der Spam schon verhindern soll, bevor er die Postfächer der Nutzer erreicht. Der Inhalt spielt dabei keine Rolle, der Filter prüft vielmehr die Identität des Absenders.

Anbieter gibt sich vom eigenen Erfolg überrascht. Anfang Dezember 2004 hatte Lycos Europe unter dem Motto "Make Love not Spam" eine Kampagne gegen unerwünschte Werbe-E-Mails gestartet. Mit einem Bildschirmschoner sollten die Lycos-Nutzer Web-Server bekannter Spammer ausbremsen. Nun fand die Aktion ein vorzeitiges Ende.

Winamp 5.07 behebt endlich Sicherheitsleck. Das vor rund zwei Wochen bekannt gewordene Sicherheitsleck in der Multimedia-Software Winamp soll nun endlich mit einer aktuellen Version tatsächlich behoben werden. Eigentlich sollte das vor etwa 14 Tagen erschienene Winamp 5.06 das betreffende Sicherheitsloch schließen, was sich dann aber als Trugschluss herausstellte.

Patch bereinigt zwei Sicherheitslücken in Safari. Mit einem Sicherheits-Update bereinigt Apple zahlreiche Sicherheitslücken in verschiedenen Komponenten von MacOS X, um das Betriebssystem gegen mögliche Angriffe abzusichern. Mit dem Patch werden unter anderem zwei Sicherheitslecks in dem Apple-Browser Safari behoben.

Überwachungsgerät MyAy mit Mobilfunktechnik und verschiedenen Sensoren. Siemens hat mit MyAy eine Ergänzung für Mobiltelefone entwickelt, die etwa als mobile Alarmanlage oder als Babyfone überall nutzbar sein soll und derzeit als Prototyp vorliegt. MyAy verfügt über Sensoren, um Bewegungen, Geräusche und Ähnliches zu registrieren und bei Bedarf darüber den Nutzer per SMS oder Anruf zu informieren.

Microsoft verlegt Patch-Day für den Dezember 2004 vor. Nach fast genau einem Monat hat Microsoft überraschend außerplanmäßig einen Patch für die IFRAME-Sicherheitslücke im Internet Explorer veröffentlicht. Seit nunmehr drei Wochen nutzt der Bofra-Wurm dieses Sicherheitsleck aus und Ende November 2004 wurde dieser Wurm sogar über zahlreiche seriöse Webseiten verbreitet. Das IFRAME-Sicherheitsloch gestattet Angreifern eine umfassende Kontrolle über fremde Systeme.

Forderung: Staatliche Kontenkontrolle muss auf den Prüfstand. Ab dem 1. April 2005 können nicht nur Finanzbehörden, sondern auch eine Vielzahl weiterer Behörden Zugriff auf die Bankdaten der Bürger erhalten. Nach Auffassung des Bundesbeauftragten für den Datenschutz, Peter Schaar, muss dabei insbesondere die Transparenz des Verfahrens beachtet werden. Dies bedeutet, dass die Betroffenen möglichst frühzeitig über einen Zugriff auf ihre Kontostammdaten informiert werden. Der Zugriff erfolgt ohne Anfangsverdacht und ohne richterliche Erlaubnis.

Unbekannter Twiki-Exploit erlaubt unautorisierten Zugriff. Spanischen Hackern gelang es, unautorisiert auf Server des Chaos Computer Clubs (CCC) zuzugreifen und "in Vergessenheit geratene Registrierungsdaten des Chaos Communication Camp 2003" zu veröffentlichen, meldet jetzt der selbst betroffene CCC. Schuld ist ein bislang unbekannter Exploit in der Software TWiki.

Gehackte Webseite kündigt Klage gegen Microsoft an. Der Webserver von SCO wurde über das Thanksgiving-Wochenende offenbar gehackt. So verkündet die Seite nun: "We own all your code - pay us all your money". Damit aber nicht genug.

Update-Paket für Windows 2000 soll Mitte 2005 erscheinen. Mitte 2005 will Microsoft ein Update-Paket für Windows 2000 anbieten und verzichtet damit auf ein Service Pack 5 für Windows 2000, so dass nach dem aktuellen Service Pack 4 für Windows 2000 kein weiteres erscheinen wird.

Make Love not Spam: Bildschirmschoner sendet Anfragen an Server von Spammern. Mit der Kampagne "Make Love not Spam" will Lycos Europe ab dem 1. Dezember 2004 aktiv gegen Spam vorgehen. Zum einen ist der Kampagnentitel als Aufforderung an Spam-Versender zu verstehen, zum anderen sollen aber auch die eigenen Nutzer eingebunden werden.

Aktuelle Winamp-Version stopft Sicherheitsleck nicht. Die am gestrigen 23. November 2004 bekannt gewordene Winamp-Sicherheitslücke wird entgegen den Versprechungen des Herstellers mit der aktuellen Version der Software nicht behoben. Somit bleibt derzeit nur als Lösung, das Angriffsszenario durch Komfort-Einbußen zu umgehen.

Oracle wandelt in Sachen Sicherheit auf Microsofts Spuren. Nach Microsoft will nun auch Oracle Sicherheits-Updates nur noch in regelmäßigen Abständen veröffentlichen. Gibt es bei Microsoft einen monatlichen Patch-Day, will Oracle ab 2005 Sicherheits-Updates nur noch vierteljährlich veröffentlichen.

Aktuelles Winamp 5.06 behebt Sicherheitsleck. In der Multimedia-Software Winamp wurde eine schwere Sicherheitslücke gefunden, über die etwa mit manipulierten Playlisten-Dateien beliebiger Programmcode ausgeführt werden kann. In einer aktuellen Winamp-Version wurde der Fehler mittlerweile bereinigt, so dass sich Nutzer von Winamp diese Version installieren sollten.

Fehler in Java-Plug-In-Technik betrifft Internet Explorer, Firefox und Mozilla. Eine schwere Sicherheitslücke haben die Sicherheitsexperten von iDefense in der Plug-In-Architektur der Java 2 Runtime Environment Standard Edition (JRE) entdeckt, die es Angreifern gestattet, auf einem fremden Rechner beliebigen Programmcode auszuführen. Sun bietet bereits eine Version an, die das Sicherheitsloch in der Java-Engine schließt und so Windows- und Linux-Systeme gegen entsprechende Attacken schützt. Außerdem wurde eine weniger gefährliche Sicherheitsanfälligkeit in der Java-Implementierung von Opera entdeckt.

Fehler erlauben Angreifern Ausführung von beliebigem Code. Der Cyrus-IMAP-Server weist einige gefährliche Sicherheitslücken auf, die es Angreifern von außen erlauben, beliebigen Code auszuführen, darauf weist der Sicherheitsexperte Stefan Esser hin, der die Probleme bei einer Überprüfung gefunden hat.

Sensory Networks setzt auf DSPAM. Zusammen mit dem Open-Source-Projekt DSPAM will Sensory Networks eine hardwarebeschleunigte Spam-Erkennung auf den Markt bringen. Dabei soll DSPAM in den NodalCore Security Accelerator von Sensory Networks integriert werden.

Immer noch kein Patch für den Internet Explorer 6.0 erschienen. Etliche seriöse Webseiten haben seit dem Wochenende den als MyDoom.AI respektive Bofra bezeichneten Wurm verbreitet, der sich über Ad-Server in die Seiten eingeschleust hatte und so Systeme infizierte, wenn die betreffenden Seiten mit dem aktuellen Internet Explorer 6.0 besucht wurden. Der für die Wurm-Verbreitung verantwortliche Ad-Server von Falk wurde anscheinend von Hackern gehackt.

Herkunft angeblicher Platzhalter ist ungeklärt. Ende vergangener Woche machte im IRC und auch in einigen Foren die Nachricht die Runde, Microsoft habe möglicherweise zur Erstellung von Wave-Dateien des Windows Media Player eine gecrackte Version von SoundForge eingesetzt. Unter anderem griff die PC-Welt diese Meldung auf und meldete dies als eigene Entdeckung. Microsoft aber dementiert nun offiziell den Einsatz von "Warez".

SymbOS/Skulls überschreibt Systemdateien von Symbian. Die Virenjäger von F-Secure sind auf ein neues Trojanisches Pferd für die Symbian-Plattform gestoßen, das bei Programmausführung die fest installierten Symbian-Applikationen überschreibt und ein Smartphone mit Series 60 so zum Teil unbrauchbar macht.

Sober.I gibt sich als vermeintliche Fehlermeldung eines Mail-Servers aus. Mit Sober.I verbreitet sich nach einer längeren Ruhephase abermals eine Sober-Variante sehr schnell im Internet und überflutete in den vergangenen Stunden die E-Mail-Postfächer zahlreicher Nutzer. Der Wurm versendet sich unter anderem in einer als angebliche Mail-Server-Fehlermeldung getarnten E-Mail mit deutschsprachigem Betreff und Nachrichtentext. Wie bei aktuellen Würmern üblich, fälscht auch dieser die Absenderadresse und verschleiert somit seine Herkunft.

Staat soll Selbstverantwortung der Bürger stärken. Auf der 28. Datenschutzfachtagung (DAFTA) in Köln hat der Bundesbeauftragte für den Datenschutz, Peter Schaar, auf die Probleme wachsender Überwachungs- und Kontrollmöglichkeiten hingewiesen. Er forderte eine verstärkte öffentliche Auseinandersetzung mit den Gefährdungen des Rechts auf informationelle Selbstbestimmung, die mit dem Einsatz neuer Technologien verbunden sei.

Stefan Esser findet sieben Fehler, die zumindest DoS-Angriffe erlauben. Der Sicherheitsexperte Stefan Esser weist auf insgesamt sieben Fehler in der Implementierung des SMB-Dateisystems in Linux hin. Diese erlauben es, Clients lahm zu legen, möglicherweise aber auch fremden Code auszuführen.

Version 3.5.0 erkennt neue CPUs und Grafikchips, beseitigt kleine Fehler. Futuremark hat dem auf DirectX 8 und 9 basierenden 3D-Grafikkarten-Benchmark 3DMark 03 ein Update auf die Version 3.5.0 spendiert. Der Vorgänger des aktuellen 3DMark 05 soll so besser mit aktueller Hardware zusammenarbeiten, etwa neue Prozessoren sowie Grafikchips zuverlässig erkennen.

Sicherheitslücke im Internet Explorer erlaubt das Tarnen von Programmdateien. Durch einen Programmfehler im aktuellen Internet Explorer lässt sich laut Secunia.com ein Sicherheitsmechanismus vom Service Pack 2 für Windows XP aushebeln, um eine bösartige Programmdatei als HTML-Datei zu tarnen. So können Nutzer dazu gebracht werden, ausführbare Programmdateien zu laden, obwohl sie dahinter unverdächtige HTML-Daten vermuten. Spezielle Sicherheitsfunktionen im Service Pack 2 sollten derartige Möglichkeiten eigentlich unmöglich machen.

Microsoft musste Patch abermals aktualisieren, weil Programmdateien fehlten. Bereits zwei Mal musste Microsoft das Security Bulletin zum Patch-Day vom November 2004 überarbeiten und den betreffenden Patch innerhalb einer Woche abermals korrigieren. Nutzer vom ISA-Server 2000 mit Service Pack 1 müssen daher nochmals ran und den aktualisierten Patch installieren, weil die ersten Versionen nicht alle notwendigen Programmdateien enthielten und die Einsatzfähigkeit der Software beeinträchtigen konnten, wie Microsoft erst eine Woche nach dem Patch-Day bemerkte.

Zweiter Bericht zu Biometrie und Ausweispapieren vorgelegt. Der Ausschuss für Bildung, Forschung und Technikfolgenabschätzung hat seinen zweiten Sachstandsbericht zum Thema "Biometrie und Ausweisdokumente - Technik, Leistungsfähigkeit, politische Rahmenbedingungen und rechtliche Ausgestaltung" vorgelegt. Je nachdem welche Verfahren zur biometrischen Authentifizierung genutzt werden, kommen auf den Steuerzahler Kosten von bis zu 700 Millionen Euro für die Erstausstellung entsprechender Papiere zu.

Aktuelle Skype-Version behebt Sicherheitsloch. In der Windows-Version der Voice-over-IP-Software (VoIP-Software) Skype wurde ein Sicherheitsloch entdeckt, das es einem Angreifer gestattet, schadhaften Programmcode auf ein fremdes System zu schleusen. Er muss sein Opfer lediglich dazu bringen, eine entsprechend präparierte Webseite zu besuchen.

Speicher vom kostenlosen E-Mail-Postfach wird auf 250 MByte erweitert. Yahoo hat sein E-Mail-Angebot überarbeitet und beginnt mit der Einführung von DomainKeys zum Schutz vor Spam. Die Grundidee bei DomainKeys ist es - wie bei Sender-ID oder SPF -, zu verhindern, dass E-Mails unter gefälschten E-Mail-Adressen verschickt werden, dazu wird aber eine kryptographische Adress-Authentifizierung genutzt.

Whitepaper gibt Handlungsempfehlungen für ISPs und Betreiber von Mailing-Listen. Auf ungewollte Nebeneffekte, die der Kampf gegen Spam nach sich zieht, weist die Electronic Frontier Foundation (EFF) in ihrem Whitepaper "Noncommercial Email Lists: Collateral Damage in the Fight Against Spam" hin. Nach Ansicht der EFF behindern Anti-Spam-Maßnahmen oft die Kommunikation über nicht kommerzielle E-Mail-Listen.

Nutzer vom Internet Explorer wollen kein Tabbed-Browsing. Kurz nach der Veröffentlichung des Open-Source-Browsers Firefox 1.0 veranstaltete Microsoft im australischen Sydney eine Sicherheitsveranstaltung, bei der unter anderem die Sicherheit vom Internet Explorer ein Thema war. Microsoft meinte bei der Gelegenheit, dass der Internet Explorer nicht weniger sicher als andere Browser sei. Auch der Funktionsumfang vom Internet Explorer wurde bei der Gelegenheit thematisiert.

Nutzer können eigene Rechte unerlaubt ausweiten. Der Sicherheitsexperte Paul Starzetz hat wieder einmal einige Sicherheitslücken im Linux-Kernel entdeckt. Fehler im ELF-Binary-Loader erlauben es demnach Angreifern, die über ein Benutzerkonto auf einem verwundbaren System verfügen, die eigenen Rechte auszuweiten.