Sicherheitsforscher aus Googles Project Zero haben Angriffsmöglichkeiten auf den XNU-Kernel von Apples Betriebssystemen macOS und iOS gefunden. Damit soll es möglich sein, über eine lokale Rechteausweitung an Admin-Rechte zu gelangen.
Alle TLS-Zertifizierungsstellen müssen ab nächstem Herbst ihre Zertifikate vor der Ausstellung in ein öffentliches Log eintragen. Mittels Certificate Transparency kann Fehlverhalten bei der Zertifikatsausstellung leichter entdeckt werden - das TLS-Zertifikatssystem insgesamt wird vertrauenswürdiger.
Mozillas Firefox-Browser wird keine TLS-Zertifikate der beiden skandalträchtigen Certificate Authorities mehr akzeptieren. Wie dies genau umgesetzt wird, hat die Stiftung nun erläutert.
Die Hersteller vernetzter Geräte für das IoT sollen nach Ansicht des BSI höhere Sicherheitsstandards einhalten. Bei der Entwicklung dürfe nicht nur auf den Preis geachtet werden.
Update Ein weiterer großer Zeitungsverlag führt eine Adblocker-Sperre ein. Allerdings lässt Sueddeutsche.de den Lesern eine Möglichkeit, trotz Werbeblocker die Artikel kostenlos zu lesen.
Mit forcierten Bitflips im Arbeitsspeicher lassen sich leicht Root-Rechte auf Systemen erlangen. Forscher zeigen, dass dies auch zuverlässig auf Android-Telefonen umsetzbar ist und Gegenmaßnahmen eher schwierig sind, was auch an dem Android-System liegt.
Betrüger haben eine neue Masche: Im Darknet erworbene Kreditkarteninformationen setzen sie in gefälschte Bahntickets um. Die Bahn warnt Verbraucher vor solchen vermeintlich günstigen Angeboten.
Update Der Zugang zum IoT-Botnetz Mirai setzt neuerdings keine technischen Kenntnisse mehr voraus, sondern nur genügend Finanzmittel - 7.500 US-Dollar. Ein chinesischer Hersteller sagt "Mirai ist ein Desaster für das IoT" und reagiert mit einer Rückrufaktion.
Die Veröffentlichungen von Wikileaks bringen die US-Politik in Schwierigkeiten. Die Hacks machen deutlich, welche Gefahren durch die Nutzung populärer E-Mail-Dienste wie Gmail entstehen.
Der Internet-Dienstleister Dyn hat erste Details zur schweren DDoS-Attacke vom vergangenen Freitag genannt. Demnach gab es drei Angriffswellen von unterschiedlichem Ausmaß.
Bisher war Google eines der Internet-Unternehmen, das Werbe-Tracking und personalisierte Informationen der Nutzer getrennt hielt. Bis zu diesem Sommer - als Google seinen Kunden neue Nutzungsbedingungen präsentierte, die diese Schranke aufhoben.
Update Erneut gibt es einen schweren Denial-of-Service-Angriff auf wichtige Internet-Infrastruktur - erneut durch unsichere Geräte für das Internet of Things. Der Angriff auf DynDNS betraf zahlreiche prominente Kunden - unter anderem Amazon, Github und Level3.
Eine alte Sicherheitslücke im Linux-Kernel lässt sich relativ leicht ausnutzen - und verschafft einfachen Nutzern Root-Rechte. Die Entdecker machen sich mit dem Branding der Sicherheitslücke auch über Logos und Sicherheitslücken-Fanshops lustig.
Seit der Aufdeckung der geheimen E-Mailüberwachung von Yahoo steht das Unternehmen für seine Kooperation mit den US-Behörden in der Kritik. Jetzt hat das Unternehmen den US-Geheimdienstchef um Erlaubnis gebeten, die Details veröffentlichen zu dürfen.
Knapp drei Monate nach dem Inkrafttreten des neuen Telemediengesetzes zum Schutz der Hotspot-Anbieter vor Abmahn-Anwälten sieht das Bundeswirtschaftsministerium Bedarf für Nachbesserungen.
Facebook will weiterhin an die Telefonnummern von Whatsapp-Nutzern herankommen - das Unternehmen hat daher Klage gegen den Beschluss des Hamburger Datenschützers eingereicht.
Wieder ein Zertifikatsfehler, dieses Mal bei Comodo: Weil das Unternehmen nur die Inhaber der Domain im Whois prüft und einen falschen Texterkennungsalgorithmus nutzt, konnten sich Forscher ein gültiges Zertifikat für die Domain eines Mobilfunkproviders erstellen lassen.
Niederlage für den Piraten-Politiker Patrick Breyer: Laut EuGH können IP-Adressen zwar personenbezogene Daten sein. Website-Betreiber dürfen sie dennoch aufbewahren.
Dank der Arbeit von Suse und Red Hat bietet künftig auch Canonical Live-Patches für den Linux-Kernel in Ubuntu an. Der Dienst ist kommerziell und nutzt das proprietäre Landscape-Werkzeug, kann von der Community aber im kleinen Umfang gratis genutzt werden.
Als ob Schufa-Abfrage, Mieterselbstauskunft und freundliches Benehmen bei der Besichtigung noch nicht genug sind: Das Unternehmen Tenant Assured aus Großbritannien plant, potenzielle Mieter in sozialen Medien zu durchleuchten - mit fragwürdigen Resultaten.
Der Truecrypt-Fork Veracrypt wurde einem Security-Audit unterzogen. Dabei zeigten sich eine ganze Reihe von Sicherheitslücken in der Verschlüsselungssoftware. Beispielsweise eine uralte zlib-Version von 1998 und eine fehlerhafte Verwendung eines russischen Verschlüsselungsalgorithmus.
Das Photo-Tan-Verfahren sollte ursprünglich als zweiter Faktor Überweisungen absichern. Weil das nicht mehr geschieht, und die Banken nachlässig programmierte Apps entwickeln, ist das Verfahren angreifbar.
Manchmal kann das Geoblocking von Netflix nicht umgangen werden, wie ein VPN-Betreiber aus Panama zugibt. Die Umgehungstechniken müssten häufig geändert werden. Die Nutzer könnten sich nie sicher sein, ob es funktioniere.
Netflix ist so engagiert im Kampf gegen Proxys und VPNs, die das Geoblocking umgehen, dass mindestens zwei Anbieter bereits aufgegeben haben. Doch einige machen weiter.
Ein Fehler bei Wartungsarbeiten bei der CA Globalsign führt zu SSL/TLS-Problemen bei Kunden weltweit. Auch wenn das Unternehmen den Fehler behoben hat, können Kunden weiterhin Probleme haben. Wir zeigen, was zu tun ist.
Bei dem auf die Automobilbranche und Arbeitsvermittlung spezialisierten Dienstleister Modern Business Solutions sind offenbar rund 58 Millionen Datensätze geleakt. Ursache ist wohl erneut eine Sicherheitslücke bei MongoDB.
Das DTEK50 wird von Blackberry als das weltweit sicherste Android-Smartphone angepriesen, doch einige Nutzer warten seit Wochen auf aktuelle Sicherheits-Patches von Google. Dem Hersteller zufolge soll das Problem mittlerweile gelöst sein.
Mozilla hat auf der Entwicklermailingliste angekündigt, Zertifikaten von Wosign und Startcom mit der übernächsten Firefox Version 51 nicht mehr zu vertrauen. Die Version ist für den kommenden Januar geplant.
Zehn Punkte für den Po: Männliche Mitarbeiter eines Apple Stores sollen Kundinnen private Fotos von ihren iPhones gestohlen, sie geteilt und nach sexuellen Merkmalen bewertet haben. Die australische Datenschutzbehörde ermittelt.
Mehr Viren für Smartphones und finanzielle Schäden durch Betrug, Ransomware oder ausspionierte Zugangsdaten bei einem Viertel der Internetnutzer - das ist das Ergebnis einer Bitkom-Studie zum Thema Cybercrime. Sie enthält aber auch wenig glaubwürdige Angaben zu Mailverschlüsselung und Tor.
Wer eine große Domain per DNS-Hijacking übernehmen will, sollte sich vorher Gedanken um die nötigen Hosting-Kapazitäten machen - wie eine Attacke auf Blockchain.info zeigt.
Netgear hat mit der Arlo Pro eine verbesserte Version seiner kabellosen Sicherheitskamera vorgestellt, die mit einem Mikrofon und einem Lautsprecher ausgerüstet worden ist. Außerdem kann bei erkannten Bewegungen oder Lärm eine Sirene ausgelöst werden.
Kryptographen ist es gelungen, einen Primzahlparameter für DSA und Diffie-Hellman zu erstellen, der eine geheime Hintertür enthält. Diskutiert wurde diese Möglichkeit schon vor 25 Jahren, doch trotz der Gefahr für die Sicherheit von Verschlüsselungen wurden oft keine Gegenmaßnahmen ergriffen.
Signal-Nutzer können künftig selbstzerstörende Nachrichten versenden - ein bekanntes Feauture von anderen Messengern. Außerdem soll es einfacher werden, den Fingerprint des Gegenübers zu verifizieren.
Die bisher bei XMPP-Instant-Messengern zum Einsatz kommenden Ende-zu-Ende-Verschlüsselungen OTR und OpenPGP haben zahlreiche nervige Limitierungen, mit OMEMO steht nun ein zeitgemäßer Nachfolger zur Verfügung. Wir erklären die technischen Hintergründe - und sagen, wie man es benutzt.
Cloudflare hat sich die aktuellen DDoS-Angriffe genauer angeschaut - und berichtet, dass einige Angriffe 1,75 Millionen HTTP-Anfragen pro Sekunde erzeugen.
Der französische Fernsehsender TV5 wurde von einer islamistischen Gruppe gehackt - das war zumindest im Jahr 2015 die erste Theorie. Eine Untersuchung der französischen Polizei zeigt aber, dass die Täter aus einem andern Land kommen - und sehr planvoll vorgingen.
Befürchtet wird es seit langem: Der Chef der Internationalen Atomenergiebehörde hat erstmals öffentlich von einem "Cybervorfall" in einem Atomkraftwerk gesprochen.
Update Nach den jüngsten Brandvorfällen stoppt Samsung nicht nur weltweit das Austauschprogramm für das Galaxy Note 7, sondern auch dauerhaft die Produktion. Händler und Netzbetreiber sollen das Gerät nicht mehr in Umlauf bringen, die Produktion soll nicht mehr aufgenommen werden.
Großbritannien bewirbt sich um die absurdeste Auslegung von Anti-Terror-Gesetzen. Einem angeblichen Terroristen wird vorgeworfen, dass er sein Blog mit HTTPS verschlüsselt hat. Hoffentlich haben die Richter nicht verstanden, was sie getan haben.
Open Source-Projekte müssen in der Türkei derzeit einen VPN nutzen, wenn sie auf Github setzen. Genau wie andere Dienste ist die Programmierplattform dort derzeit geblockt.
Britische Minister dürfen sich bei langwierigen Brexit-Verhandlungen nicht mit ihrer Smartwatch ablenken - jedenfalls ist das Tragen von Apple Watches bei Kabinettssitzungen künftig untersagt.
Die chinesische Zertifizierungsstelle Wosign will den drohenden Abschied aus Mozillas Root-Programm offenbar mit drastischen Maßnahmen verhindern - der CEO muss gehen, die Firma wird aufgespaltet. Die rückdatierten SHA-1-Zertitikate erklärt Wosign mit einem Systemfehler.
Da ein Austauschgerät des Galaxy Note 7 unter Verdacht steht, in einem Flugzeug Rauch verursacht zu haben, soll der US-Netzbetreiber AT&T die Verkäufe von Samsungs Top-Smartphone stoppen wollen. Dies wäre ein weiterer schwerer Schlag für Samsung.
Dokumente werden neuerdings nicht mehr nur veröffentlicht - sondern offenbar vorher bearbeitet. Das behauptet zumindest die Welt-Anti-Dopingagentur Wada, nachdem Hacker vertrauliche Daten von Sportlern veröffentlicht hatten.
Das OLG Köln hat das bezahlte Whitelisting durch Adblock-Plus-Anbieter Eyeo untersagt. Nun will der Axel-Springer-Verlag eine komplette Freischaltung seiner Werbung durch den Adblocker durchsetzen.
Über die Web-API des Dating-Dienstes ließen sich bis vor kurzem Informationen über Nutzer abrufen - auch ohne Login. Per Skript-Automatisierung können damit Bewegungsprofile erstellt werden.
