IT-Sicherheit

Black Hat 2014 Antoine Delignat-Lavaud präsentierte auf der Black Hat 2014 mehrere neue Sicherheitsprobleme in HTTPS, die zum Großteil auf bekannten Schwächen basieren. Es sind Ergebnisse eines Forschungsprojekts, das versucht, die Sicherheit von TLS mathematisch zu formalisieren.

Hinter den jüngsten Veröffentlichungen zur Spähsoftware Finfisher steht offenbar ein umfangreicher Hack. 40 Gigabyte an Daten sind im Netz aufgetaucht, darunter Quellcode von Finfly Web sowie mögliche Belege für die Nutzung durch autoritäre Staaten.

Die Spähsoftware Finfisher gilt als ausgefeiltes Werkzeug zur Überwachung von Verdächtigen. Eine Reihe neu geleakter Dokumente, darunter Handbücher, enthält sogar Hinweise, wie die Überwachung umgangen werden kann.

Erneut gibt es eine Lücke im Unity-Lockscreen von Ubuntu. Diese könnte Angreifern das Passwort verraten. Patches und neue Pakete stehen bereit. Der Unity-Lockscreen wurde für derartige Fehler bereits mehrfach kritisiert.

Datenexperten haben eine ungewöhnliche Malware entdeckt, die sich in der Windows-Registry versteckt und Payloads über die Powershell installiert. Dadurch sei sie von Antivirensoftware nur schwer aufzuspüren.

Update Die Malware Synolocker verschlüsselt sämtliche Dateien auf NAS-Systemen von Synology und verlangt danach Lösegeld. Noch ist das Einfallstor für Malware unbekannt.

Update Das Urteil des Europäischen Gerichtshofes zum Recht auf Vergessen hat erstmals Konsequenzen für Wikipedia: Auf Bitten eines Nutzers will Google offenbar eine Verlinkung auf das Online-Lexikon entfernen.

Jahrelang hat der Österreicher Max Schrems Facebook mit Beschwerden wegen dessen Datenschutzbestimmungen überhäuft. Jetzt macht er Ernst - und reicht gemeinsam mit tausenden Unterstützern eine Sammelklage ein.

Die von Wearables übertragenen Nutzerdaten sind häufig nicht verschlüsselt und deshalb oft einem Nutzer eindeutig zuzuordnen. Dabei handelt es sich nicht selten um sehr persönliche Daten.

Nach der Sommerpause hat der Snowden-Vertraute Greenwald im NSA-Ausschuss des Bundestags aussagen sollen. Doch er hat abgesagt und kritisiert das Gremium scharf wegen der Weigerung, Snowden in Deutschland zu vernehmen. Eine wirkliche Untersuchung der Vorgänge solle offenbar vermieden werden, um die USA nicht zu verärgern.

Eine neue Version des Enhanced Mitigation Experience Toolkit (EMET) ist von Microsoft fertiggestellt worden. Neu ist die sogenannte Attack Surface Reduction, die das Laden von Plugins verhindert oder auf bestimmte Zonen beschränkt.

Der Bundesverfassungsrichter Johannes Masing kritisiert des EuGH-Urteil zum Recht auf Vergessen. Es gefährde die Meinungsfreiheit und gebe den Vermittlern zu viel Macht.

Black Hat 2014 Durch Manipulation der Firmware in USB-Geräten lassen sich diese beliebig umfunktionieren und als Malware-Schleuder, Tastatur oder Netzwerkkarte nutzen. Bislang gibt es keine Abwehrmöglichkeiten.

Alibaba verhandelt über eine Beteiligung an Snapchat. Das Startup mit seinem 24-jährigen Chef wird dabei mit 10 Milliarden US-Dollar bewertet. Umsatz erzielt Snapchat praktisch noch keinen.

Behörden wollen in großer Zahl Telefone mit Verschlüsselungsfunktion kaufen. Deren Hersteller Secusmart wurde gerade von Blackberry gekauft, einer Firma mit ungeklärten Verbindungen zu einer NSA-Hintertür. Auch bei der Verschlüsselung gibt es viele ungeklärte Fragen.

Hersteller von vernetzten Geräten gehen sorglos mit deren Sicherheit um. Kaputte Webinterfaces, überflüssige Kreditkarteninformationen und zu einfache Passwörter wie 1234 machen viele Geräte angreifbar.

Künftig können auch iPhone-Besitzer verschlüsselt telefonieren. Open Whisper Systems hat Redphone auf iOS portiert und unter dem Namen Signal veröffentlicht.

Black Hat 2014 Ein Fehler in Apaches Harmony soll die Ursache für die fehlerhafte Zertifikatsprüfung in Android sein. Harmony war Apaches Java-Implementierung, das Google in Android einsetzt.

Der Hacker Steven Graham hat einen Programmierfehler beim Foto-Sharing-Dienst Instagram gefunden. Um Druck auf das Mutterunternehmen Facebook zu machen, droht er nun mit einem Hackerangriff.

Black Hat 2014 Android prüft nur unzureichend die mit Apps installierten Zertifikate. Dadurch können sich bösartige Apps Zugriff auf Systemkomponenten verschaffen, die ihnen eigentlich verwehrt sind.

Blackberry kauft die deutsche Firma Secusmart, die das als Kanzlerhandy oder Merkelphone bekanntgewordene Mobiltelefon produziert. Secusmart-Chef Hans-Christoph Quelle betonte, dass die Geheimnisse der Kunden auch "weiterhin zuverlässig geschützt" seien.

Update Ein Datenexperte hat sich aktuelle Virenscanner angesehen. Viele seien durch einfache Fehler angreifbar, meint er. Da sie tief ins System eingreifen, stellen sie eine besondere Gefahr dar - obwohl sie eigentlich schützen sollen.

In der Linux-Distribution Tails befindet sich eine Sicherheitslücke, über die Nutzeridentitäten aufgedeckt werden können. Die Schwachstelle ist nicht in Tor, sondern im Invisible-Internet-Project-Netzwerk zu finden.

Der Automobilhersteller Daimler beschäftigt eine fest angestellte Gruppe von Datenspezialisten, deren Aufgabe es ist, das eigene Firmennetzwerk zu attackieren. So sollen Sicherheitslücken schneller aufgespürt werden.

Das bisherige Verfahren zur Löschung von Googles Suchergebnissen geht Europas Datenschützern nicht weit genug. Sie verlangen unter anderem eine weltweite Sperrung missliebiger Resultate.

Sicherheitspanne bei der Europäischen Zentralbank: Kriminelle drangen in den Webserver ein und verlangten Geld für die gestohlenen Daten.

Über das Mailpoet-Plugin wurden anscheinend bereits mehrere Zehntausend Wordpress-Webseiten mit Schadsoftware versehen. Der Angriff funktioniert laut den Entdeckern auch, wenn das Plugin nicht aktiv ist.

Ein Hacker behauptet, sich Zugang zu den Seiten der US-Medien Wall Street Journal und Vice verschafft zu haben. Die gestohlenen Daten bietet er zum Kauf an.

Canvas Fingerprinting heißt eine Tracking-Methode, die inzwischen auf vielen populären Webseiten zu finden ist - zeitweilig auch bei Golem.de. Wir waren darüber nicht informiert und haben die Tracking-Methode umgehend entfernen lassen.

Sie sind bekannt für ihre immer ähnlichen Phishing-E-Mails: die 419-Scammer aus Nigeria. Jetzt rüsten sie auf und verbreiten Fernwartungssoftware, statt nur um Geld zu betteln.

Update Der iPhone-Hersteller Apple hat Vorwürfe zurückgewiesen, er habe heimliche Hintertüren in sein mobiles Betriebssystem iOS eingebaut. Die besagten Schnittstellen dienten Diagnosezwecken und seien bekannt.

Undokumentierte Systemdienste in Apples Betriebssystem iOS sollen es Angreifern leicht machen, Nutzerdaten auszulesen. Auch Apple selbst kann laut einem Sicherheitsforscher alle Daten einsehen und weitergeben.

Wenn Hacker Autos angreifen, kann es schnell gefährlich werden. Chinesischen Studenten soll das im Rahmen eines Sicherheitswettbewerbs bei einem Tesla S gelungen sein.

Die Electronic Frontier Foundation hat eine eigene Router-Software für sichere, teilbare Open-Wireless-Netzwerke vorgelegt. Noch befindet sich die Software allerdings in einer frühen Entwicklungsphase.

Ars-Technica-Redakteur Cyrus Farivar wollte von der US-Zoll- und Grenzschutzbehörde CBP seinen Passenger Name Record (PNR) haben. Nach mehreren Monaten gelang ihm die volle Einsicht dieser für Fluggäste wichtigen Daten. Seit März 2005 speichern die Behörden teils überraschende Daten über ihn.

Im Juni 2014 ist der zivile Luftverkehr über Österreich, Tschechien, Ungarn und dem Süden Deutschlands massiv gestört gewesen. Zu dieser Zeit hat die Nato ein Manöver abgehalten, bei dem auch der "elektronische Kampf" erprobt worden ist.

Update Der frühere CIA-Deutschlandchef hält die Ausweisung seines Nachfolgers für angemessen. Deutschland müsse aber noch entschiedener auftreten, um im Weißen Haus verstanden zu werden.

Die russische Hackergruppe W0rm hat sich Zugang zu den Servern der Nachrichtenwebseite Cnet verschafft. Die Datenbank mit Benutzerdaten wollen die Hacker für einen symbolischen Betrag von einem Bitcoin verkaufen.

Unter bestimmten Umständen lieferte LibreSSL unter Linux dieselben Zufallszahlen mehrfach. Das Problem wurde in einem neuen Release behoben, die OpenBSD-Entwickler sehen aber das eigentliche Problem beim Linux-Kernel.

Am Oracle-Patchday, der zeitversetzt einmal im Quartal nach den Patchtagen von Microsoft und Adobe stattfindet, hat das Unternehmen neue Versionen von Java veröffentlicht. Wer Java 7 oder 8 einsetzt, sollte ein Update durchführen.

Mit Vollzeit-Entwicklern im Project Zero will Google, das Sicherheitsforschung bisher nur nebenbei betrieben hat, das Internet sicherer machen und politisch Verfolgten helfen.

Viele Hotels stellen ihren Gästen Rechner zur Verfügung, mit denen sie ins Internet gehen können, um E-Mails zu checken, Überweisungen zu tätigen oder Rückflüge zu bestätigen. Ein riskantes Unterfangen, sagt der US Secret Service und warnt vor Keyloggern auf diesen Rechnern.