IT-Sicherheit

"So etwas tut man einfach nicht". Der Bundesbeauftragte für den Datenschutz hat Plänen der Bundesregierung widersprochen, die unbemerkte Durchsuchung von privaten PCs über das Internet zu legalisieren. In einem Interview hatte zuvor Innenminister Schäuble erneut ein entsprechendes Gesetz gefordert.

Erstes Software-Tool entfernt AACS-Entschlüsselung. Um auf Blu-ray Discs und HD-DVDs ausgelieferte hochauflösenden Spielfilme zu schützen, drängten die Filmwirtschaft auf starke Kopierschutzmechanismen - und wählte AACS. Nun hat ein Tüftler herausgefunden, wie sich zumindest bei HD-DVD-Filmen mit einem einfachen Software-Tool der Kopierschutz entfernen lässt.

Helm zeichnet Geräusche und Bilder der Umgebung auf. Das Massachusetts Institute of Technology (MIT) hat einen Media-Helm entwickelt, der einem Radfahrer Informationen aus seiner Umgebung übermitteln und damit die Fahrsicherheit erhöhen soll. Dazu nimmt der Helm Geräusche, Bilder und Bewegungen aus der Umgebung auf und analysiert sie, um notfalls vor Gefahren zu warnen.

SeaMonkey 1.0.7 schließt mehrere Sicherheitslücken. Nachdem zunächst Sicherheits-Updates für Firefox und Thunderbird erschienen sind, steht nun auch eine neue Version von SeaMonkey bereit. Neue Funktionen bringt SeaMonkey 1.0.7 hingegen nicht, weil es hier nur um die Beseitigung von Sicherheitslücken geht.

Dennoch werden mutmaßlich erbeutete Gelder nicht eingezogen. Im so genannten "Osnabrücker Dialer-Prozess" hat das niedersächsische Landgericht nun ein weiteres Urteil gesprochen. Die beiden Hauptbeschuldigten wurden dabei zu Haftstrafen verurteilt, bei ihnen gefundenes Geld wird jedoch nicht eingezogen.

Außerdem Strafzahlungen von 750.000 US-Dollar vereinbart. Im Verfahren um eine Sammelklage von kalifornischen Käufern der mit umstrittenen Kopiersperren versehenen CDs von Sony BMG steht laut US-Berichten eine Einigung bevor. Demnach soll Sony jedem Kunden, der eine der fraglichen CDs besitzt, 175,- US-Dollar Schadensersatz zahlen.

Sicherheitslücke erlaubt das Ausspähen von Bilddaten. Eine Sicherheitslücke in MacOS X 10.4 erlaubt mit einer präparierten Webseite das Ausspähen von lokalen Informationen über Quicktime für Java und den Quartz Composer. Mit dem aktuellen Sicherheits-Update schließt Apple diese Lücke, die nur MacOS X 10.4.x und die Serverversion des Betriebssystems betrifft.

Handlungsempfehlungen und eine Beispiel-Implementierung des BSI verfügbar. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat jetzt eine Sicherheitsanalyse von Microsofts Kommunikationsplattform "Windows Communication Foundation" (WCF) alias Indigo durchgeführt. Zudem wurde eine praxisorientierte Beispielanwendung zur sicheren Nutzung der WCF-Sicherheitsfunktionen erarbeitet und zusätzlich erforderliche Sicherheitsmaßnahmen abgeleitet.

Update-Pakete von Winboard.org, Winhelpline.de und WinFuture.de. Bereits am Dezember-Patch-Day haben Winboard.org und WinFuture.de erste inoffizielle Patch-Pakete für Windows angeboten. Nun stehen die Patch-Sammlungen für alle Windows-Ausführungen bereit und Winhelpline hat als dritter deutscher Anbieter solcher Patch-Pakete nachgezogen. Die Patch-Sammlungen enthalten die in diesem Monat veröffentlichten Sicherheits-Patches für Windows, den Internet Explorer, Outlook Express und den Windows Media Player.

Damit der Garagentoröffner im Ausland nicht aus dem Tritt kommt. Die EU-Kommission will eine europaweite Harmonisierung der Frequenzbänder vorantreiben, die von drahtlosen Geräten des täglichen Gebrauchs genutzt werden. Dazu gehören so banale Dinge wie Garagentoröffner, Alarmanlagen, Baby-Überwachung, schnurlose Kopfhörer, aber auch RFID-Etiketten.

Kooperation mit der Humboldt-Universität. Der Internetdienstleister Strato verwendet so genanntes Fingerprinting, um zuverlässig auch Spam-Botschaften zu erkennen, die statt mit Text mit Bildern versehen sind. Das von der Berliner Humboldt-Universität entwickelte Verfahren erkennt gleichartige Bilder in E-Mail-Nachrichten und merkt so anhand der für Spam-Botschaften großen Menge, dass es sich hierbei um nicht erwünschte E-Mail-Werbung handelt und sortiert diese entsprechend aus.

Drittes offenes Word-Sicherheitsloch in diesem Monat. Microsoft hat gerade seinen Patch-Day absolviert, da taucht eine dritte Sicherheitslücke in Word auf. Hierfür wurde bereits Schadcode entdeckt, der sich das Sicherheitsloch zunutze macht. Somit wurden in diesem Monat bislang drei Sicherheitslücken in Word bekannt, die Microsoft bisher nicht geschlossen hat.

Malaysia führt funkende Kennzeichen ein. In Malaysia werden jeden Tag rund 30 Fahrzeuge gestohlen, die meisten davon aus dem gehobenen Preissegment. Mit RFID-Tags in den Kennzeichen neu zugelassener Fahrzeuge will das Land die Fahrzeuge nun automatisch erfassen. Wie die New Strait Times aus Malaysia berichtet, sollen dazu die winzigen Mikrosender in versiegelte Kennzeichen eingebettet werden. Sie enthalten Informationen über den Halter und das Fahrzeug.

Sicherheitsexperte verlässt das PHP Security Response Team. Stefan Esser kehrt dem PHP Security Response Team den Rücken. Der Sicherheitsexperte hat genug. Seine Versuche, PHP von innen sicherer zu machen, seien vergeblich gewesen. Künftig werde er Sicherheitslücken in PHP auch dann veröffentlichen, wenn es noch keinen Patch gebe.

Sicherheitslücken in Windows und Outlook Express. Am Patch-Day für den Monat Dezember 2006 korrigiert Microsoft Sicherheitslücken in Windows, im Internet Explorer, in Outlook Express, im Windows Media Player und in Visual Studio. In vielen der Fälle können diese Sicherheitslecks zur Ausführung beliebigen Programmcodes missbraucht werden, so dass sich Fremde eine umfassende Kontrolle über andere Systeme verschaffen können.

Rund 800.000 Personen werden vorsorglich gewarnt. Ein Eindringling in einen Server der Universität Kalifornien in Los Angeles (UCLA) hatte Zugriff auf die Daten von rund 800.000 Personen, warnt die Universität. Die gehackte Datenbank enthält persönliche Informationen zu ehemaligen und aktuellen Studenten der Universität sowie Mitarbeitern, Bewerbern und deren Eltern.

Gesetz-Formulierungen noch zu schwammig? Der Branchenverband Bitkom hat Sorge, dass das geplante Anti-Spam-Gesetz über das Ziel hinausschießt und auch "normale" Werbung betreffen könnte. Die Formulierungen seien so schwammig, dass die Kundenansprache kriminalisiert werden könne.

Kein Patch für diesen Monat geplant? Mitte vergangener Woche wurde Schadcode für eine neue Sicherheitslücke in Word ausgemacht, der sich aktiv im Internet verbreitet. Auch für ein weiteres Word-Sicherheitsloch wurde nun Schadcode gefunden, über den sich ein Angreifer eine umfassende Kontrolle über ein fremdes System verschaffen kann. Bisher ist für beide Sicherheitslecks kein Patch in Sicht.

Update für Linux-WLAN-Treiber bereits verfügbar. Der Linux-Treiber "Madwifi" für WLAN-Karten mit Atheros-Chip enthält eine Sicherheitslücke, die es Angreifern ermöglicht, über eine drahtlose Verbindung Schadcode einzuschleusen und auf dem betroffenen System im Kernel-Space auszuführen. Verantwortlich dafür sind Buffer Overflows in Funktionen des Treibers. Ein Update steht bereits zur Verfügung.

Sicherheitsleck in Word bleibt weiter offen. Am allmonatlichen Patch-Day korrigiert Microsoft im Dezember 2006 mehrere Sicherheitslücken in Windows und kümmert sich um Visual Studio. Das jüngst bekannt gewordene Sicherheitsleck in Word lässt Redmond hingegen außen vor und veröffentlicht vorerst keinen Patch. Und das, obwohl Schadcode diese Sicherheitslücke bereits aktiv ausnutzt.

Angreifer können beliebigen Code ausführen. In Microsofts Windows Media Player wurde eine Sicherheitslücke entdeckt, über die Angreifer beliebigen Code ausführen können. Dazu muss ein Opfer nur dazu gebracht werden, eine manipulierte ASX-Playlisten-Datei zu öffnen. Bisher gibt es keinen Patch zur Abhilfe.

Fehlerhaftes ActiveX-Control erlaubt Ausführung von Programmcode. Im Adobe Reader 7.0.x steckt ein Sicherheitsloch, wenn PDF-Dokumente per ActiveX-Control im Internet Explorer geöffnet werden. Angreifer können darüber Code ausführen und nun hat Adobe eine Abhilfe nachgereicht, nachdem als Überbrückungslösung die Löschung der betreffenden ActiveX-Controls empfohlen wurde.

Noch kein Patch-Termin genannt. Microsoft warnt vor einem Sicherheitsloch in Word, das bereits aktiv von Schadcode ausgenutzt wird. Werden entsprechend präparierte Dateien geöffnet, können Angreifer beliebigen Code ausführen und sich so eine umfassende Kontrolle über ein fremdes System verschaffen. Wann ein Patch erscheint, ist nicht bekannt.

Verbesserte, kostenlose Software zur organisationsweiten Sicherheitsüberprüfung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Version 2.0 seiner "BSI OSS Security Suite" (BOSS) getauften, als Open Source freigegebenen Prüfsoftware für Netzwerksicherheit veröffentlicht. Neben Netzwerk-Sicherheitsaudits ermöglicht BOSS V 2.0 jetzt auch die zentrale Verteilung und Konfiguration der Sicherheitssoftware auf den Linux-Clients im Netzwerk.

Studentenportal am Donnerstag wegen eines neuen XSS-Angriffs offline. Die Pannenserie von kleinen und großen Problemen und Sicherheitslücken beim Studentenportal studiVZ reißt nicht ab. Nun verspricht studiVZ eine Belohnung von 256 Euro, wenn jemand Sicherheitslücken im Portal meldet. Parallel zu der Ankündigung ging studiVZ wegen eines erneuten XSS-Angriffs offline.

Verschlüsselung kein Allheilmittel. US-amerikanische Zoll- und Einwanderungsbeamte haben das Recht, Notebooks sowie andere Datenträger ohne Angabe von Gründen näher zu untersuchen oder ganz zu beschlagnahmen. Dies berichtet die Berliner Zeitung unter Berufung auf einen Bericht des Congressional Research Service an den US-Kongress. Auch in Asien ist dies möglich.

Enttäuscht von Betrüger, der PSP-schrottende Firmware anbietet. Der Hacker Dark_AleX ist PSP-Besitzern mit Faible für Homebrew-Software vor allem für seine modifizierten Firmware-Versionen ein Begriff. Nun will er aufhören, da jemand seinen Namen missbrauchte, um anderen die PSPs mit falschen Firmware-Dateien kaputtzumachen.

Einfache Installation von System-Bibliotheken wird ausgenutzt. F-Secure hat nach eigenen Angaben ein Adware-Programm für MacOS X zugespielt bekommen. Theoretisch sei es möglich, die Software unbemerkt auf einem Rechner zu installieren und in nahezu jede Applikation einzuklinken.

Mitgliedsstaaten sollten wirksamere Maßnahmen ergreifen. Die Europäische Kommission will den Kampf gegen Computerübel deutlich ausweiten. Sie ruft deshalb die Regierungen der Mitgliedsländer auf, energischer gegen Spam, Späh- und Schadsoftware anzutreten. Zwar sei innerhalb der EU Spam verboten, doch leiden die Anwender immer noch stark an illegalen Online-Aktivitäten aus den Mitgliedsländern und aus dem EU-Ausland.

Microsoft-Player durch Änderung an der Windows-Registry aufgepeppt. Die in den USA bereits erhältliche iPod-Alternative "Zune" von Microsoft lässt sich ab Werk nur mit der mitgelieferten Software mit Daten füllen. Zudem landen unter den Playern per WLAN getauschte Dateien in einem DRM-Korsett. Dieser Schutz ist jedoch kinderleicht auszuhebeln, wie eine US-Website nun herausgefunden hat.

Staatsanwaltschaft ermittelt wegen Betrugs. Nach einem Bericht der Süddeutschen Zeitung hat die Staatsanwaltschaft Stuttgart Ermittlungen gegen den Bezahlsender Premiere wegen Betrugsverdachts bei der Behandlung von Abo-Kündigungen aufgenommen. Hintergrund ist eine Sammelklage der Verbraucherzentrale Hamburg. Wer den Abo-Vertrag kündigt, muss die Smartcard zurücksenden. Premiere behauptete nach Angaben der Verbraucherschützer besonders häufig, dass die zurückgeschickten Karten nicht angekommen seien und fordere Schadensersatz.

Verbraucherschutz soll beim Telemediengesetz berücksichtigt werden. Bündnis 90/Die Grünen verlangen von der Bundesregierung, auch Verbraucherschutz-Interessen beim geplanten Telemediengesetz zu berücksichtigen. Zwar werde die Zusammenführung der Regelwerke für Tele- und Mediendienste zu mehr Einheitlichkeit und besserer Übersichtlichkeit führen, doch solle die Verfolgung von Spam-Untaten verbessert werden.

Angreifer können Zugangsdaten ausspähen. Im Kennwort-Manager von Firefox 2.0 steckt ein Programmfehler, über den Angreifer Zugangsdaten abgreifen können. Entsprechende Angriffe sollen bereits über gefälschte MySpace-Seiten laufen. Der Fehler liegt darin, dass der Kennwort-Manager nicht prüft, ob die Daten das richtige Ziel erreichen.

Software ist auch für FreeBSD erhältlich. Grisoft hat einige seiner Anti-Viren-Produkte für Linux und FreeBSD neu aufgelegt. Dabei sind sowohl Server- als auch Desktop-Versionen verfügbar, die also nicht nur E-Mails filtern, sondern auch Nutzer der freien Betriebssysteme direkt schützen sollen.

GnuPG 2.0 setzt auf eine neue, modulare Architektur. Der GNU Privacy Guard, kurz GnuPG, ist in der Version 2.0 erschienen. Mit der OpenPGP- und S/MIME-konformen Software lassen sich Daten verschlüsseln und digitale Signaturen erzeugen. Zudem stellt GnuPG ein Framework zur Public-Key-Kryptographie dar - samt Schlüsselverwaltung - und kann den SSH-Agent auf Wunsch komplett ersetzen. Dabei bringt die neue Version eine modulare Architektur mit.

Microsoft schließt auch Sicherheitslücke in Adobes Flash-Player. Am Patch-Day vom November 2006 beseitigt Microsoft Sicherheitslücken in Windows sowie dem Internet Explorer. Einige der von Redmond der Windows-Plattform zugeschriebenen Sicherheitslücken betreffen aber eher den Browser aus Seattle, weil sich darüber Programmcode ausführen lässt. Zudem korrigiert Microsoft am diesmonatigen Patch-Day mehrere Sicherheitslücken in Adobes Flash-Player.

Windows Defender bekämpft Spyware, Rootkits und Keylogger. Nachdem Microsoft Ende Oktober 2006 die Beta-Phase des AntiSpyware-Werkzeugs Windows Defender für englischsprachige Nutzer beendet hat, steht die Software nun auch als deutsche Final zur Verfügung. Das AntiSpyware-Werkzeug soll Spyware, Rootkits und Keylogger ausfindig machen sowie eliminieren können und ist mit einem Pop-up-Blocker für den Internet Explorer 6 ausgestattet.

Sicherheits-Patch für bekanntes Sicherheitsloch angekündigt. Noch in diesem Monat will Microsoft vermutlich das Anfang November 2006 bekannt gewordene Sicherheitsloch in den XML Core Services schließen. Zudem sind für den diesmonatigen Patch-Day fünf Updates für Windows geplant.

Sicherheits-Update für SeaMonkey 1.x verfügbar. Die Arbeiten an der Browser-Suite SeaMonkey 1.1 schreiten voran. Die Entwickler haben nach der Alpha-Version nun eine Beta veröffentlicht, die vor allem Fehlerkorrekturen enthält. Außerdem steht nach Erscheinen von Firefox und Thunderbird 1.5.0.8 nun auch SeaMonkey in der Version 1.0.6 bereit, die einige Sicherheitslücken schließt.

Neue Versionen schließen Sicherheitslücken in Firefox 1.5 und Thunderbird 1.5. Mit Firefox 1.5.0.8 und Thunderbird 1.5.0.8 wurden Sicherheits-Updates für die beiden Mozilla-Applikationen veröffentlicht. Diese schließen eine Reihe von Sicherheitslücken und sollen die Stabilität der Produkte allgemein verbessern. Neue Funktionen gibt es daher nicht.

Kritik: Bundesjustizministerium steuert in Verfassungskonflikt. Nachdem durch eine Entscheidung des Bundesgerichtshofs (BGH) das Urteil des Landgerichts Darmstadt endgültig rechtskräftig wurde, nach dem T-Online die Internetverbindungsdaten eines Privatmannes nicht speichern darf, hat nun Sabine Leutheusser-Schnarrenberger die geplante Vorratsdatenspeicherung als rechtlich nicht haltbar bezeichnet.

Spam-E-Mails verleiten Nutzer zum Download von Dateien. Seit dem heutigen 7. November 2006 macht eine deutschsprachige Spam-E-Mail die Runde, die auf eine nachgebaute Wikipedia-Webseite verweist. Mit Hilfe des E-Mail-Textes sollen Opfer dazu verleitet werden, einen vermeintlichen Windows-Patch herunterzuladen und zu installieren. Diese Dateien könnten Schadcode enthalten, aber bislang gibt es dafür keine Bestätigung.

Chorizo nun auch in einer Intranet-Variante erhältlich. Mit Sicherheitsaudits für PHP-Applikationen will Mayflower die Sicherheit entsprechender Software erhöhen. Zugleich stellt das Münchner Softwarehaus auch eine Intranet-Version seines Security Scanners Chorizo! vor.