IT-Sicherheit

Microsoft sieht Gefahr von Kompatibilitätsproblemen. Im Juli 2006 endet bekanntlich der technische Support für Windows 98, 98 SE und ME. Bereits im Vorfeld wird Microsoft eine Sicherheitslücke in den DOS-basierten Betriebssystemen nicht mehr schließen. Für andere Windows-Plattformen bietet Redmond bereits seit April 2006 passende Patches, verweigert nun aber die Bereitstellung entsprechender Korrekturen für die Windows-98-Plattform.

Studie untersucht Motivation von Computer-Vielnutzern. Hacker streben nach einem Kompetenzerlebnis, Cracker suchen zudem Aufregung und den Reiz des Illegalen. Beiden Gruppen gemeinsam ist aber das Streben nach einem Gemeinschaftserlebnis, zu diesem Ergebnis kommt der Psychologe Prof. Dr. Falko Rheinberg von der Universität Potsdam. Rheinberg ging der Frage nach, warum diese Gruppen ihre Freizeit so ausgiebig mit dem Rechner verbringen.

Manipuliertes Bild führt zu 100-prozentiger CPU-Auslastung. In der freien Grafikbibliothek GD wurde ein Fehler entdeckt, der für einen Denial-of-Service-Angriff (DoS) ausgenutzt werden kann. GD kann dynamisch Bilder in Formaten wie PNG, JPEG und GIF erstellen und so beispielsweise auf Abruf Diagramme und Vorschaubilder erstellen. Vor allem im PHP-Umfeld kommt die GD-Bibliothek zum Einsatz.

Intrusion Detection System auch in Version 2.4.5 erschienen. Das freie Intrusion Detection System Snort ist in den Versionen 2.4.5 und 2.6 erschienen. Während Snort 2.4.5 nur der Fehlerbereinigung dient, bietet 2.6 auch neue Funktionen wie dynamische Regeln und Preprozessoren. Beide Veröffentlichungen korrigieren außerdem einen Fehler, durch den Snort keine Angriffe auf den Apache-Webserver erkannte.

Dritter Patch für StarOffice 8 beruht auf OpenOffice.org 2.0.3. Kurz bevor die Version 2.0.3 von OpenOffice.org erwartet wird, bietet Sun bereits ein Update für StarOffice 8 an, das die Änderungen aus OpenOffice.org 2.0.3 enthält. Der dritte Patch für StarOffice 8 bringt ein paar Verbesserungen, dient aber vor allem der Beseitigung von Programmfehlern.

Microsoft bringt aufgekaufte Sybari-Produkte auf den Markt. Mit Antigen stellt Microsoft Sicherheitslösungen speziell für Unternehmenskunden bereit, nachdem Redmond kürzlich mit "Windows OneCare Live" ein Sicherheitsprodukt für Privatanwender vorgestellt hat. Antigen soll Unternehmensnetze vor Virenangriffen, Spam-Belästigungen und anderen Computerattacken bewahren.

Version 3.0.6 und 3.1.3 sind nicht betroffen. Eine Sicherheitslücke in SpamAssassin 3.0.3 erlaubt unter Umständen beliebige Shell-Kommandos auszuführen. Das Problem tritt auf, da der Spam-Filter bestimmte Eingaben nicht genügend überprüft. Die aktuellen Versionen sollen jedoch schon korrigiert sein.

400 elektronische Reisepässe mit 50 Lesegeräten ausprobiert. Bei einem Interoperabilitätstest wurden elektronische Reisepässe und Lesegeräte von Experten aus 38 Nationen erfolgreich getestet. Wichtig war vor allem die wechselseitige Funktionsfähigkeit der Systeme.

Ältere Updates sind noch bis Dezember 2006 verfügbar. Vier Jahre nach der Veröffentlichung von Debian GNU/Linux 3.0 läuft Ende Juni 2006 nun die Sicherheitsunterstützung für die Distribution aus. Damit haben die Debian-Entwickler den Anwendern ein Jahr Zeit gelassen, um auf die aktuelle Version 3.1 umzusteigen.

Chiffrierung ohne Softwareinstallation nutzen. Üblicherweise benötigt man zur Textverschlüsselung ein separates Programm wie beispielsweise PGP oder ähnliche Software. Im Internetcafé aber oder an anderen fremden Rechnern bestehen wenig Möglichkeiten, auf die Schnelle Texte für unbefugte Dritte unlesbar zu machen. Der Crypto-Softwarehersteller Steganos hat mit FreeCrypt nun einen Dienst, der Texte auf einer Webseite ver- und entschlüsselt.

Aus Genesis wird Norton 360. Symantec gab bekannt, den bisher unter dem Namen Genesis angekündigten Webservice mit Sicherheitsfunktionen als "Norton 360" auf den Markt zu bringen. Im Sommer 2006 startet der Beta-Test von Norton 360, das Ende 2006 als Abo angeboten wird. Eine Kombination aus Client-Anwendungen und Webinfrastruktur soll Nutzer vor Viren, Spam, Spyware und sonstigen Angriffen schützen.

Virenscanner, Personal Firewall, Anti-Spyware und Backup-Funktion im Paket. Überpünktlich hat Microsoft die Verfügbarkeit von Windows Live OneCare bekannt gegeben. Das Sicherheitsprodukt umfasst einen Virenscanner, eine Personal Firewall und Anti-Spyware sowie Backup-Funktionen für Windows, um das Betriebssystem zu pflegen. Vorerst wird das Produkt nur in den USA angeboten.

Keine starke Verbreitung des Makrovirus ohne Schadfunktion. Im Internet wurde erstmals ein Makrovirus entdeckt, der nicht wie üblich Microsofts Office-Paket, sondern die freie Office-Suite OpenOffice.org angreift. Nach Erkenntnissen des IT-Sicherheitsunternehmens Kaspersky hat sich der Virus aber bislang nicht verbreitet. Da der Virus für OpenOffice.org geschrieben wurde, betrifft er auch StarOffice von Sun, das auf der freien Office-Suite beruht.

Gericht erklärt Entscheidung von EU-Kommission und Rat für nichtig. Der Europäische Gerichtshof (EuGH) spricht sich gegen die Übermittlung von Flugpassagierdaten an US-Behörden aus. Die zu Grunde liegende Vereinbarung zwischen den USA und Europa ist mit dem Urteil des EuGH nichtig.

Trojanisches Pferd spioniert Zugangsdaten von Online-Banken aus. Per E-Mail macht derzeit ein Trojanisches Pferd die Runde, das sich als Windows-Update ausgibt. Die in holprigem Deutsch gehaltene E-Mail soll Anwender dazu bringen, das im Anhang enthaltene Archiv zu öffnen, die ausführbare Datei zu starten und sich so das Trojanische Pferd auf den Rechner zu holen. Der Schädling versucht dann an die Zugangsdaten von Online-Bankkunden zu gelangen.

Haben Nachrichtendienste schon zu viele Befugnisse? Anlässlich der teilweisen Veröffentlichung des so genannten "Schäfer-Berichtes" über die Journalisten-Bespitzelung seitens des Bundesnachrichtendienstes (BND) fordert der Bundesdatenschutzbeauftragte Peter Schaar eine kritische Überprüfung der Befugnisse der Nachrichtendienste. Bevor über eine erneute Ausweitung der Befugnisse der Sicherheitsbehörden entschieden werde, müssten Schaar zufolge erst einmal die bestehenden Befugnisse einer kritischen Revision unterzogen werden.

Ausbesserung des geplanten Grundsicherungsgesetzes gefordert. Dass es um den Datenschutz bei Hilfebedürftigen nicht zum Besten steht, wurde schon des Öfteren bemängelt. Nun haben der Bundesbeauftragte für den Datenschutz sowie Landesdatenschutzbeauftragte den Bundestag und den Bundesrat aufgefordert, den "Entwurf eines Gesetzes zur Fortentwicklung der Grundsicherung für Arbeitsuchende" mit Blick auf das Recht auf informationelle Selbstbestimmung grundlegend zu überarbeiten.

Bezahlfernsehen mit geringem Aufwand ausgehebelt. Berichten zufolge kursieren seit kurzem auf düsteren Webseiten gültige Schlüssel für die Abo-Karten des Pay-TV-Senders Premiere. Damit sollen sich die meisten Kanäle ohne großen technischen Aufwand entschlüsseln lassen, auch wenn man für sie nicht bezahlt hat.

Vom Server unabhängige Verschlüsselung. PGP-Erfinder Philip Zimmermann hat seine Zfone getaufte Anwendung zur Verschlüsselung von Internet-Telefonaten nun auch in einer Version für Windows veröffentlicht. Anders als bei PGP setzt Zfone nicht auf öffentliche Schlüssel und Zertifizierungsstellen, sondern wickelt die Schlüsselüberprüfung direkt zwischen den Clients ab.

Microsoft plant Patch für Mitte Juni 2006. In der Textverarbeitung Word wurde eine Sicherheitslücke entdeckt, die bereits aktiv von Angreifern ausgenutzt wird. Das Öffnen eines infizierten Word-Dokuments richtet eine Hintertür auf dem betreffenden Rechner ein, worüber Angreifer Kontrolle über ein fremdes System erlangen. Das Sicherheitsloch steckt in Word XP sowie 2003 und wird wohl erst am Juni-Patch-Day geschlossen.

Neue Version verhindert ungefragte Dateitransfers durch präparierte URLs. Skype hat in seiner beliebten Telefonie-Software für Windows ein Sicherheitsloch ausfindig gemacht und gestopft. Durch die Lücke kann von einem nicht aktualisierten Skype-System eine Datei übertragen werden, welche der Benutzer gar nicht versenden wollte.

Neue Form der Phishing-Attacke gegen Postbank-Kunden. Normalerweise warnen Softwarehersteller von Antivirenprogrammen vor Phishing-Attacken, doch diesmal hat das Bundeskriminalamt (BKA) eine Warnung herausgegeben. Ob dies nun auf die besondere Brisanz der Angriffe schließen lässt, sei dahingestellt. Gewarnt wird allerdings vor einer Masche, die eine Verquickung von Onlinebetrug und Telefon-Banking zum Inhalt hat.

Vordefinierter Nutzer ermöglicht Angreifern Zugang. Ein vordefinierter Benutzer-Account beim Einsatz der freien Version von Open-Xchange mit LDAP kann Angreifern Zugriff auf das System erlauben. Da nicht explizit auf diesen Benutzer hingewiesen wird, können Administratoren ihn leicht übersehen, so dass die Hintertür nicht geschlossen wird.

WeOnlyDo! wodSSHServer, freeSSHd und freeFTPd betroffen. Gleich in drei SSH-Servern für Windows steckt eine kritische Sicherheitslücke, über die entfernte Angreifer einen Buffer Overflow erzeugen können. Betroffen sind mehrere Versionen der Programme WeOnlyDo! wodSSHServer, freeSSHd und freeFTPd. Updates für freeFTPd und wodSSHServer sind bereits verfügbar.

ZDNet UK: Bis zu zwei Jahre Haft, wenn Verdächtige Schlüssel nicht preisgeben. Die britische Regierung will die Möglichkeiten der Polizei verbessern, wenn es darum geht, Einblick in verschlüsselte Daten zu erhalten. Organisationen und Einzelpersonen sollen durch eine Gesetzesänderung gezwungen werden können, ihre Daten zu entschlüsseln bzw. die Schlüssel an die Strafverfolgungsbehörden herauszugeben. Andernfalls drohen bis zu zwei Jahre Haft, berichtet ZDNet UK.

Kaufpreis unbekannt. Microsoft hat das US-amerikanische Unternehmen Whale Communications übernommen, das sich mit sicherer Zugangssoftware beschäftigt, darunter SSL-gesicherte "Virtual Private Networks" (VPN) und Webanwendungs-Firewalls.

Microsoft behebt entsprechenden Fehler im ACPI-Treiber. Beim Einsatz von USB-2.0-Peripherie an Notebooks mit Intels Core-Duo-Prozessoren konnte auf Grund eines ACPI-Treiberfehlers der Akku unter Windows XP schneller als erwartet geleert werden. Nun hat Microsoft den Fehler endlich beseitigt, ein passender Patch steht zum Download bereit.

Deutsche Bürgerrechtsorganisationen fordern Umdenken auch in Europa. Der US-Geheimdienst NSA hat die laut Medienberichten größte Datenbank der Welt im Betrieb - erstellt aus den ohne Verdachtsmoment abgehörten Telefonverbindungsdaten von 200 Millionen Amerikanern, die automatisch auf Auffälligkeiten geprüft werden und "soziale Netzwerke" der Gesprächsteilnehmer offenbaren. Europäischen Bürgern droht Ähnliches, selbst die Musikindustrie soll Plänen zufolge auf die ermittelten Daten zugreifen können, warnen deutsche Bürgerrechtsorganisationen.

Neue Erkennungsroutinen und verbesserter Kinderschutz. Softwin hat eine Vorabversion seiner Antivirensoftware BitDefender 10 zum Download bereitgestellt. Die Betaversion ist natürlich kostenlos erhältlich und mit einer Früherkennungstechnik für unbekannte Viren ausgestattet worden, bietet eine Rootkit-Erkennung und Maßnahmen gegen Spyware.

Verhältnismäßig komplizierter DVD-Laufwerks-Hack verfügbar. Nun kann das Katz-und-Maus-Spiel zwischen Microsoft und Raubkopierern losgehen: Nachdem Hacker per Video demonstrierten, dass eine modifizierte Version der DVD-Laufwerks-Firmware der Xbox 360 auch Spielekopien abspielt, hat ein Nachahmer nun eine entsprechende Firmware ins Netz entfleuchen lassen.

Interessante Mails verlocken zum sorglosen Anhangöffnen. Auf dem 7. Datenschutzkongress in Berlin warnte Dr. Udo Helmbrecht, Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI), vor der Verbreitung von Viren und anderen Schadprogrammen zur Fußball-Weltmeisterschaft.

Ordnungswidrigkeiten sollen von Bundesnetzagentur verfolgt werden. Ein Gesetzentwurf der Grünen will nationalen Versendern von Spam empfindliche Strafen auferlegen. Der Entwurf eines "Zweiten Gesetzes zur Änderung des Teledienstegesetzes" (Anti-Spam-Gesetz) sieht Bußgelder bis zu 50.000. Euro vor, wenn kommerziell ausgerichtete E-Mails weder den richtigen Absender noch den kommerzielle Charakter offenbaren oder diesen verschleiern.

Aktuelle Sicherheitspatches für MacOS X 10.3 und 10.4. Apple reagiert mit dem Security Update 2006-003 auf Sicherheitslücken, die dem Unternehmen zum Teil schon seit Anfang 2006 bekannt waren. Die Updates stehen seit heute sowohl für MacOS X Panther sowie Tiger zur Verfügung und beheben Fehler in 16 Anwendungen sowie Komponenten von MacOS X.

"Botmaster" zu 57 Monaten Gefängnis verurteilt. Jeanson James Ancheta, 21 Jahre alt, aus Kalifornien hat zugegeben, tausende von Rechnern unter seine Kontrolle gebracht und dieses "Botnet" an Spyware-Firmen und Spam-Versender vermietet zu haben. Dafür wurde er nun zu 57 Monaten Haft verurteilt.

Patch korrigiert Sicherheitsloch in Dreamweaver Server. Adobe hat einen Sicherheits-Patch für Dreamweaver 8 veröffentlicht, um eine Sicherheitslücke im Dreamweaver-Server zu schließen. Darüber können Angreifer beliebige SQL-Kommandos ausführen und so unter Umständen erheblichen Schaden anrichten. Für das gleichfalls betroffene Dreamweaver 2004 gibt es keinen Patch, sondern nur Anweisungen zur Umgehung des Sicherheitsrisikos.

Noch kein Patch für ICQ zu haben. Im Instant Messenger ICQ wurde eine Sicherheitslücke entdeckt, worüber Angreifer beliebigen Script-Code ausführen und damit eine umfassende Kontrolle über ein fremdes System erlangen könnten. Bislang gibt es keinen Patch, um diesen Fehler zu korrigieren.

Gefährliche Sicherheitslücke im Exchange Server wird mit Patch korrigiert. Wie angekündigt, hat Microsoft am diesmonatigen Patch-Day insgesamt drei Security Bulletins veröffentlicht. Überraschenderweise behandelt eines dieser Bulletins zwei seit langem geschlossene Sicherheitslücken in Adobes Flash-Player, während nur die beiden anderen Security Bulletins aktuellen Sicherheitslecks in den Microsoft-Produkten Windows und Exchange Server gelten.

Vorabinformation zu Microsofts Patch-Day am 10. Mai 2006. Microsofts allmonatlicher Patch-Day steht wieder einmal bevor, an dem diesmal Sicherheitslecks in Windows und Exchange geschlossen werden. Während für die Windows-Plattform zwei Security Bulletins geplant sind, wird es am 10. Mai 2006 eines für Exchange geben. Die betreffenden Sicherheitslecks stuft Microsoft als kritisch ein.

Verbreitung per Filesharing und IE-Sicherheitslücke. Der Hersteller von Antivirus-Software MicroWorld warnt vor einem neuen Schädling, der gezielt das beliebte Online-Rollenspiel World of WarCraft angreift. Das Programm soll Passwörter ausspionieren, mit deren Hilfe die Angreifer virtuelle Gegenstände aus dem Spiel offenbar in echtes Geld verwandeln wollen.

Automatische Code-Analyse deckte Fehler auf. Bei einer automatischen Fehleranalyse des X Window Systems wurde die größte Sicherheitslücke in X.org seit sechs Jahren entdeckt. Lokale Benutzer können unter Ausnutzung dieses Fehlers Programmcode mit Root-Rechten ausführen. Die Überprüfung des Quellcodes mit der Analyse-Software Coverity fand im Auftrag des US-Heimatschutzministeriums statt, die Entwickler haben die Lücke bereits geschlossen.

JavaScript-Lücke im Browser beseitigt. Nachdem vor rund einer Woche ein JavaScript-Sicherheitsloch in Firefox bekannt wurde, wird dieses mit der aktuellen Firefox-Version nun geschlossen. Weitere Neuerungen bringt die aktuelle Fassung des Browsers nicht. Bis Ende Mai 2006 wird Firefox 1.5.0.4 mit weiteren Fehlerbereinigungen erwartet.

Microsoft IIS war jahrelang unangefochtener Marktführer. Apache ist nun auch in Sachen SSL-Webserver Marktführer. Laut Netcraft hat Apache hier Microsofts IIS mit einem Marktanteil von 44 Prozent überholt, Microsoft kommt demnach auf 43,8 Prozent.

"Die GPL kommentiert und erklärt" und das "Linux Praxishandbuch". Der O'Reilly-Verlag bietet ab sofort vier neue OpenBooks zum kostenlosen Download an. Dazu zählen die Titel "Die GPL kommentiert und erklärt" und "Linux Firewalls". Ein weiteres Buch beschäftigt sich mit der Spam- und Virenbekämpfung mit Open Source, während es sich beim vierten Buch um das "Linux Praxishandbuch" handelt.