Mit wenig Code zu einem HTTP-Server: Unsere Schritt-für-Schritt-Anleitung zeigt, wie das geht und vermittelt Basiswissen zur modernen C-Alternative Zig.
Ein Entwickler sollte für nicht autorisierte HTTP-Anfragen an einen S3-Bucket mit ein paar Testdaten 1.300 US-Dollar zahlen. AWS ergreift nun Maßnahmen dagegen.
DNS und Internet gehören seit fast 40 Jahren zusammen. Wegen der wachsenden Bedeutung des Datenschutzes hat es sich aber stark verändert. Wir zeigen, was alte und neue DNS-Technologien bringen und wie man sie einsetzt.
Geheimdienste sollen laut einem Gesetzentwurf Datenverkehr umleiten können, doch das nützt ihnen nur etwas im Zusammenspiel mit weiteren Sicherheitslücken.
Das Entwicklerteam von Googles Chrome will künftig alle unsicheren Downloads in dem Browser blockieren. Die Umsetzung soll schrittweise für unterschiedliche Dateiformate verteilt werden.
Die Webseite des zum BSI gehörenden Cert-Bund war verwundbar für sogenannte Cross-Site-Request-Forgery-Angriffe. Damit wäre ein Zugriff auf die nichtöffentlichen Sicherheitswarnungen des Cert möglich gewesen.
Manche HTTP-Caches können dazu gebracht werden, Serverfehlermeldungen zu speichern, die sich durch bestimmte Anfragen auslösen lassen. Das funktioniert beispielsweise mit besonders langen Headern.
Google plant, dass der Chrome-Browser künftig Mixed Content in Webseiten komplett blockiert. Das heißt, HTTP-Subressourcen können dann nicht mehr in HTTPS-Seiten geladen werden.
Das HTTP/2-Protokoll kann missbraucht werden, um in Webservern hohe CPU-Auslastung zu erzeugen. Laut Sicherheitsforschern von Netflix ist es damit in einigen Fällen möglich, mit einer einzelnen Internetverbindung mehrere Server lahmzulegen.
Das extrem weit verbreitete Download- und Transfer-Werkzeug Curl unterstützt erstmals das Protokoll HTTP/3, das über den ebenfalls neuen Standard Quic transportiert wird. Noch ist die Technik aber sehr experimentell.
Das weltweit beliebte Download- und Transfer-Werkzeug Curl arbeitet in der kommenden Version verschiedene URLs parallel ab. Allerdings müssen Nutzer das explizit einstellen. Chefentwickler Stenberg freut sich über die Funktion, die nicht einmal 22 Jahre benötigt habe.
Cloudflare erzählt in einem ausführlichen Blogpost die Geschichte des vergangenen Ausfalls, der einen Teil der Internetinfrastruktur belastete und sogar das eigene Team bei der Fehlersuche behinderte. Das Unternehmen schämt sich für den Fehler.
In zahlreichen Java-Projekten werden Abhängigkeiten ungeprüft über HTTP ohne TLS heruntergeladen. Ein Netzwerkangreifer kann dadurch trivial die Downloads manipulieren und Schadcode ausführen.
Die HTTP-Bibliothek des Curl-Projekts gilt als wahrscheinlich am weitesten verbreitete dieser Art überhaupt. Für Embedded-Geräte erstellt der Hauptentwickler nun Tiny-Curl, das mit nur rund 100 KByte weniger als ein Viertel so groß ist wie übliche Pakete.
Eine auf Dell-Laptops vorinstallierte Windows-Software zur Installation von Treibern öffnet einen lokalen HTTP-Server. Ein Netzwerkangreifer kann das missbrauchen, um Schadsoftware zu installieren.
Die Web-Entwicklung mit lokalem HTTPS ist nicht immer einfach und auch nicht ohne weiteres möglich. Um den eigenen Code dennoch leicht lokal mit einer HTTPS-Verbindung zu testen, hat ein Google-Sicherheitsforscher das Werkzeug Mkcert vorgestellt.
Obwohl sich HTTP/2 noch nicht besonders weit im Internet durchgesetzt hat, arbeitet die IETF bereits an HTTP/3. Dabei handelt es sich um die Verwendung von HTTP über das neu spezifizierte Quic-Transportprotokoll.
Googles Chrome-Browser erhält in der aktuellen Version 69 ein neues Aussehen im Material Design samt abgerundeter Ecken. Das erinnert an das alte UI des Firefox-Browsers. Google ändert außerdem weiter das Verhalten der TLS-Anzeige, bereitet den Flash-Abschied vor und sollte seltener abstürzen.
Unter bestimmten Umständen lieferten die NPM-Registry ihren Nutzern den HTTP Statuscode 418 "I am a Teapot". Der zugrundeliegende Fehler für diese wenig hilfreiche Nachricht ist schnell behoben worden.
Wo kann eine Webseite optimiert werden? Sonar scannt Domains auf eventuelle Fehler oder Designschwächen im Quellcode und bietet Lösungsvorschläge an. Das Tool kann kostenlos im Browser oder in der Kommandozeile verwendet werden.
Der Optionsbleed-Bug im Apache-Webserver wurde 2014 bereits in einem wissenschaftlichen Paper beschrieben. Allerdings hatte offenbar niemand bemerkt, dass es sich um eine kritische Sicherheitslücke handelt, obwohl kurz zuvor der ähnliche Heartbleed-Bug entdeckt worden war.
Beim Apache-Webserver lassen sich in bestimmten Konfigurationen Speicherfragmente durch einen Angreifer auslesen. Besonders kritisch ist diese Lücke in Shared-Hosting-Umgebungen.
Black Hat 2017 Durch geschickt gewählte HTTP-Header ist es Sicherheitsforschern gelungen, zahlreiche Lücken bei Yahoo, beim Department of Defense und bei der British Telecom zu identifizieren.
Black Hat 2017 Mittels Caches von Content-Delivery-Netzwerken und Loadbalancern lassen sich geheime Daten aus Webservices extrahieren. Dafür müssen jedoch zwei Fehler zusammenkommen. Unter anderem Paypal war davon betroffen.
Erfolg im zweiten Anlauf: Ein US-Berufungsgericht hält eine Klage der Wikipedia gegen die Massenüberwachung des Internets durch den US-Geheimdienst NSA für zulässig. Andere Organisationen sind erneut gescheitert.
Die Firma Tenable hat Details zur Sicherheitslücke in Intels Active Management Technology publiziert. Die sind reichlich peinlich für Intel: Mit einem leeren String als Passwort-Hash kann sich der Nutzer einloggen.
Die Linux-Distribution Debian wird Ende dieses Jahres ihre öffentlichen FTP-Server abschalten. Die Gründe sind ähnliche wie bei den Linux-Kernel-Entwicklern, die ebenfalls auf FTP verzichten, allerdings mit einem entscheidenden Unterschied.
