Vor einer weiteren Angriffsmethode auf iOS warnen Datenexperten. Mit Masque Attack lassen sich manipulierte Apps über bestehende installieren. Grund ist eine unzureichende Zertifikatsprüfung.
Kurze RSA-Schlüssel lassen sich schneller und günstiger brechen, wenn man einen Angriff auf viele Schlüssel gleichzeitig durchführt. Insbesondere bei DNSSEC sind RSA-Schlüssel mit 1.024 Bit noch in breitem Einsatz.
Update "An Dreistigkeit kaum zu überbieten": Der Chaos Computer Club kritisiert die angeblichen Pläne des BND zum Ankauf von bislang unbekannten Sicherheitslücken. Das Geld ließe sich viel besser verwenden.
Der BND hat Millionen Euro für Informationen über unbekannte Exploits eingeplant, um staatliche Malware zu schaffen. Damit will der Geheimdienst "auf Augenhöhe mit führenden westlichen Nachrichtendiensten" kommen. Das BSI war hier bereits aktiv.
Eine effizienten Art des Phishing hat Google untersucht. Die Studie zeigt, dass die Angriffe raffinierter werden, so dass viele Nutzer darauf hereinfallen. Das Ziel ist nicht mehr nur Identitätsdiebstahl, sondern konkreter finanzieller Schaden.
Neben Silk Road 2.0 wurden auch zahlreiche weitere illegale Handelsplattformen im Tor-Netzwerk gesperrt. Die Razzia war eine koordinierte Aktion zwischen europäischen und US-Behörden.
Die wichtigsten Funktionen zum Live-Patching des Linux-Kernels aus Kgraft und Kpatch könnten vereint werden. Der Code dazu steht nach einer Diskussion nun bereit.
Menschen zu Hause in ihrem Fernsehsessel oder bei der Arbeit am Rechner: Das zeigt eine Webseite - ohne dass die Betroffenen davon wissen. Die unbekannten Betreiber haben dafür weltweit Tausende Webcams angezapft.
Am 11. November 2014 will Microsoft eine ungewöhnlich hohe Anzahl an Sicherheitslücken per Windows-Update schließen. Allein fünf der Bugs stuft Redmond als kritisch ein, sie betreffen alle noch unterstützten Windows-Versionen, eine davon den Internet Explorer. Insgesamt gibt es 16 Patches.
Facebook räumt App-Anbietern den Zugriff auf den Chat ein und erlaubt das Posten auf der Seite des Nutzers. Die Einwilligung dazu ist unterhalb des Buttons in kleiner, hellgrauer Schritt versteckt. Das ist rechtswidrig, urteilt das Landgericht Berlin.
Update Der Onlineshop des Elektronikhändlers Conrad.de war von einer Datenpanne betroffen. Nach Hinweisen eines Kunden und später von Golem.de behob das Unternehmen umgehend die Schwachstelle.
Whatsapp, Facebook und Google sollen ihre Dienste öffnen, so dass Nutzer ihre Daten austauschen und kommunizieren können, wie es Netzbetreiber über Roaming erlauben. Das fordern Telekom, Vodafone und Telefónica.
Update Sicherheitsexperten warnen vor einer neuen Malware, die gezielt Produkte von Apple angreife. Wirelurker soll die bislang größte Attacke auf die Systeme des US-Konzerns sein.
Eine neue Version der Verschlüsselungssoftware GnuPG liefert Unterstützung für elliptische Kurven. Die Unterstützung für alte Schlüssel von PGP 2 wurde entfernt.
Immer wieder gibt es Berichte, wonach die Geheimdienste den Frankfurter Internetknoten abhören. Wo, wann und wie das geschehen soll, ist aber alles andere als sicher. Indizien deuten aber auf mindestens zwei bekannte Anbieter hin.
Deutschen Fluglinien wie Airberlin und Lufthansa droht bald ein Landeverbot in Großbritannien. Die britische Regierung verlangt vorab die Passagierlisten, was Berlin laut Medienberichten aber verweigert. Es geht um den Konflikt zwischen Datenschutz und Terrorabwehr.
Einem Sicherheitsforscher ist es gelungen, ein gefälschtes Zertifikat für die .onion-URL von Facebook ausstellen zu lassen. Facebook ist seit kurzem über das Tor-Netzwerk erreichbar.
Gotofail, Heartbleed, Poodle: Derartige Sicherheitslücken sollen Entwickler, die TLS-Verbindungen benutzten, mit dem Google-Werkzeug Nogotofail verhindern. Genutzt werden dazu MITM und Clients auf vielen Plattformen.
Die Pin für das WPS-Verfahren zur einfachen Konfiguration von WLAN-Zugängen wird bei zahlreichen D-Link-Routern aus der MAC-Adresse berechnet. Damit ist ein unautorisierter Login ins WLAN trivial.
Neue Tools zur angeblich sicheren Kommunikation gibt es seit der NSA-Affäre jede Menge. Die Electronic Frontier Foundation (EFF) versucht, einen Überblick zu verschaffen. Textsecure und Cryptocat schneiden besonders gut ab.
Der neue Chef des britischen Geheimdienstes GCHQ greift die amerikanischen IT-Konzerne scharf an. Um Terrorismus bekämpfen zu können, müssten sie Ermittlern besseren Zugang erlauben.
Die aktuelle Version 5.6 von OpenBSD enthält erstmals den OpenSSL-Fork LibreSSL und die Entwickler ersetzen den Standard-MTA Sendmail durch die Eigenentwicklung OpenSMTPD. Begleitet wird die Veröffentlichung von Wagners Walkürenritt.
Als Reaktion auf die Poodle-Lücke will nun auch Google in seinem Chrome-Browser auf die Verwendung von SSLv3 verzichten. Zunächst soll das Fallback, später die gesamte Protokollversion entfallen.
"Internetüberwachung leicht gemacht": Die italienische Firma Hacking Team gilt neben Finfisher als bekanntester Hersteller von Spionagesoftware. Nun veröffentlichte Handbücher zeigen die Möglichkeiten der Überwachung.
Mittels eines Tricks lassen sich gültige GIF-Bilder erstellen, die Javascript-Code enthalten. Damit kann der Schutzmechanismus Content-Security-Policy ausgehebelt werden. Abhilfe schafft ein noch wenig verbreiteter HTTP-Header.
In Mac OS X 10.10 und 10.8.5 befindet sich eine Sicherheitslücke, die die Übernahme des gesamten Systems ermöglicht. Details hat ihr Entdecker noch nicht veröffentlicht - in Absprache mit Apple.
Mit einem neuen Open-Source-Projekt will Google Daten über Chrome sammeln, ohne dabei die Privatsphäre der Nutzer zu verletzen. Garantieren kann der Konzern das aber nicht.
Bundesverkehrsminister Alexander Dobrindt hat Forderungen abgelehnt, die Pkw-Mautdaten anderen Behörden etwa zu Fahndungszwecken zur Verfügung zu stellen. Dies hatte unter anderem der scheidende BKA-Präsident Jörg Ziercke verlangt.
Die Deutsche Telekom garantiert ihren Kunden, deren E-Mails an Empfänger im Inland nicht mehr über ausländische Server zu schicken. Telekom-Chef Tim Höttges machte jedoch eine Einschränkung, die dieses Versprechen sofort relativiert.
Es wird wieder Zeit, sich bei Sicherheitslücken verstärkt um Adobes Flashplayer zu kümmern. Zwei gerade erst abgesicherte und gefährliche Sicherheitslöcher sind bereits in aktuelle Exploit-Kits integriert worden. Eset glaubt sogar, dass Flash nun wieder Java in der Beliebtheitsskala ablöst.
Das soziale Netzwerk Facebook hat jetzt eine Adresse im Tor-Netzwerk. Darüber sollen sich Nutzer auch anonymisiert anmelden können. Das klappt bei unserem ersten Versuch noch nicht richtig.
Wenn Unternehmen Sicherheitslücken nicht rechtzeitig melden, darf die Bundesnetzagentur Bußgelder verhängen. Gemacht hat sie das noch nicht, obwohl die Zahl der Datenpannen gestiegen ist.
Nach einem Zeitungsbericht werden auf deutschen Flughäfen nun doch Körperscanner eingesetzt. Sie zeigen allerdings nur stilisierte Umrisse der Personen an. Die Benutzung ist freiwillig. Doch wer nicht damit kontrolliert werden will, wird körperlich untersucht.
Mit Osquery stellt Facebook ein Open-Source-Framework zur Systemüberwachung bereit, das SQL-basierte Suchanfragen erlaubt. Die Tabellen repräsentieren dabei Systemressourcen und die Technik läuft auf Linux und Mac OS X.
Wer seine Drupal-Installation nicht innerhalb von sechs Stunden nach Bekanntgabe der kürzlich entdeckten Sicherheitslücke gepatcht hat, sollte sein System als kompromittiert betrachten, warnt das Drupal-Team.
Eine SQL-Injection-Lücke erlaubt den Zugriff auf Kundendaten des Playstation Networks. Sony wurde bereits vor zwei Wochen über die Sicherheitslücke informiert, sie wurde jedoch bisher nicht geschlossen. Es ist nicht der erste Vorfall im Playstation-Network.
Eine neue Malware nutzt die Entwurfsfunktion von Googles E-Mail-Dienst, um Befehle zu empfangen und Daten auszulesen. Wer betroffen ist, lässt sich nur schwer feststellen.
Update Israelische Security-Forscher haben einen neuen Weg für eine Seitenkanalattacke auf PCs gefunden. Mit einem Smartphone und einem Desktoprechner, die beide keine Onlineverbindung haben, können sie ein eingetipptes Passwort mitlesen.
Eine Sicherheitslücke in dem FTP-Client von NetBSD erlaubt mit einem angepassten Server das Ausführen von Code auf dem Rechner. Betroffen davon sind wohl verschiedene BSD-Derivate, Mac OS X sowie Linux-Distributionen. Ein Patch steht bereit.
Zum besseren Aufspüren von Terrorverdächtigen sollen europäische Fluggastdaten jahrelang gespeichert werden. Während die Regierung die Pläne verteidigt, befürchten Gegner eine umfassende Vorratsdatenspeicherung.
Nicht nur SSDs der Serie 840 Evo, sondern auch Laufwerke der Serie 840 ohne Namenszusatz können mit der Zeit langsamer werden. Samsung hat dieses Problem nun bestätigt und will für die Geräte eine Lösung bereitstellen.
Die Telekom hat das US-Cybersecurity-Unternehmen Fireeye als Partner "an Bord geholt". Fireeye wurde über den Risikokapitalgeber In-Q-Tel von der CIA finanziert und beschäftigt seit der Übernahme von Mandiant viele frühere Geheimdienstmitarbeiter. Telekom-Vorstand Clemens nannte diese Partnerschaft "in Europa einzigartig."
Angriffe auf die Computernetze von Regierungen kommen weltweit tagtäglich vor. Hackern ist es nun offenbar gelungen, in das nicht abgeschirmte Netz des Weißen Hauses einzudringen.
Die Datenpakete der Kunden des US-Mobilfunkanbieters Verizon enthalten eine eindeutige Identifikationsnummer. Damit sollen einzelne Personen von Verizons Werbekunden identifiziert werden können. Die Aktion läuft bereits seit zwei Jahren, wurde jedoch erst jetzt aufgedeckt.
Security-Experten haben die Verbreitung manipulierter Windows-Dateien im Tor-Netzwerk entdeckt, die mit Malware infiziert sind. Der Exit-Server ist inzwischen auf der schwarzen Liste, ein vollkommener Schutz ist das jedoch nicht.
Über einen Fehler in der Browser-Engine Webkit haben Programmierer eigenen Code auf Sonys PS4 ausgeführt. Das ist jedoch noch kein vollständiger Hack der Konsole, zudem steht ein größeres Firmware-Update für die Playstation kurz bevor.
Kickstarter hat das nächste Tor-Router-Projekt beendet. Laut seinem Initiator wurde Torfi mangels Innovation eingestellt. Das Torfi-Projekt wollte einen Tor-Router ähnlich dem Projekt Anonabox entwickeln, das ebenfalls durch Kickstarter ausgesetzt wurde.
