IT-Sicherheit

Fehler in der Implementierung der International Domain Names (IDN). Die in mehreren Browsern enthaltene Unterstützung der International Domain Names (IDN) enthält einen Fehler, worüber Phishing-Attacken vorgenommen werden können. Von dem Sicherheitsproblem sind alle Web-Browser betroffen, die Umlaut-Domains verarbeiten. Da dies Microsofts Internet Explorer auch knapp ein Jahr nach der Einführung der Umlaut-Domains nicht beherrscht, ist der Browser in der Standardausführung nicht davon betroffen.

MailWasher Server 2.0.1 unter GPL und FPL veröffentlicht. Die Firma Firetrust hat ihre Anti-Spam-Software "MailWasher Server" Ende Janaur als Open Source unter der GPL sowie einer modifizierten Mozilla Public License (MPL) veröffentlicht. Die Software bietet ein Quarantäne-Management mit einem Web-Interface an.

Vorabinformationen zum Patch-Day am 8. Februar 2005. Wie seit kurzem üblich, gab auch Microsoft für den Monat Februar vorab bekannt, welche Sicherheits-Patches am Patch-Day dieses Monats veröffentlicht werden. Demnach sollen mindestens zehn Sicherheitslücken in Windows behoben werden, die zum Teil als gefährlich eingestuft werden.

Bropia-Wurm schleust weiteren Wurm ein. Mehrere Hersteller von Antivirenlösungen warnen von einem neuen Wurm, der sich ausschließlich über Microsofts MSN Messenger verbreitet und nach Aktivierung ein Trojanisches Pferd auf dem befallenen System installiert. Zur Verbreitung versendet sich der aktuelle Bropia-Wurm als Datei an alle Kontakte im installierten MSN Messenger, um so möglichst viele Rechner zu infizieren.

Microsoft legt neue Sicherheitsinitiative auf. In Prag hat Microsofts Chief Software Architect Bill Gates eine neue Sicherheitsinitiative vorgestellt, wonach Landesregierungen künftig über Sicherheitsthemen informiert werden, bevor der Rest der Welt davon erfährt. Dazu müssen die Regierungen an Microsofts "Security Cooperation Program" (SCP) teilnehmen.

Wann sollen Sicherheitslücken im Linux-Kernel bekannt gemacht werden? Nach dem Bekanntwerden der letzten Sicherheitslücken im Linux Kernel schlug Chris Wright auf der Kernel-Mailingliste vor, eine separate Liste speziell für die Diskussion von Sicherheitsfragen einzurichten und löste damit eine längere Diskussion aus. Im Kern steht die Frage: Wann sollen Sicherheitslücken im Linux-Kernel bekannt gemacht werden?

Verbesserter Schutz für Kommunikationsdienste angekündigt. Im ersten Quartal 2005 sollen sämtliche T-Online-E-Mail-Postfächer endlich mit einem postfachindividuellen Virenschutz und einem individuellen Spamschutz ausgestattet werden. Dies teilte das Unternehmen im Rahmen der Initiative "Deutschland sicher im Netz" mit. Bei den kostenpflichtigen Angeboten werden die Leistungen des "SicherheitsPakets", das für Erstbucher sechs Monate inklusive ist, erweitert.

Microsoft hält Integration eines Virenscanners für denkbar. Microsoft denkt darüber nach, dem Windows-Betriebssystem einen Virenscanner zu spendieren, berichtet die Financial Times Deutschland. Eine Entscheidung darüber sei aber noch nicht getroffen, gab ein Microsoft-Mitarbeiter bekannt. Somit bleibt es weiterhin ungewiss, ob Microsoft aktiv in den Markt für Antiviren-Software einsteigt.

Behörde bei E-Mail-Spam zumeist machtlos - Telefon- und Fax-Spam im Visier. Die Regulierungsbehörde für Telekommunikation und Post (RegTP) will gegen Spam in Verbindung mit Rufnummernmissbrauch vorgehen. Dabei hat die RegTP unaufgeforderte Versendung von Werbung in Form von Telefax-Übermittlungen, Telefon-Anrufen, E-Mails oder SMS an Verbraucher und Unternehmen im Blick.

Qualität von PHP-Scripten und Fähigkeiten von Entwicklern im Mittelpunkt. Ein internationales Team von PHP-Experten hat jetzt das PHP Security Consortium (PHPSC) ins Leben gerufen. Dabei hat man vor allem Entwickler im Auge, denen man Techniken für sicheres Programmieren ans Herz legen will.

Linux-Verband: Microsofts Programme sind größte Gefahr für Computersicherheit. Mit der IT-Sicherheitsinitiative "Deutschland sicher im Netz" will sich Microsoft Deutschland zusammen mit Partnern zu nachhaltigem Engagement für mehr Sicherheit in der Informationsgesellschaft verpflichten. Der Linux-Verband kritisiert die Initiative unterdessen hart und sieht in Microsofts Programmen die größte Gefahr für Computersicherheit.

Sober.J täuscht eine laufende E-Mail-Unterhaltung vor. Mit Sober.J verbreitet sich seit dem Wochenende nach einer längeren Ruhephase abermals eine Sober-Variante recht zügig im Internet. Der Wurm versendet sich in einer deutschsprachigen E-Mail und gibt vor, im Anhang Informationen zu einer E-Mail-Unterhaltung zu enthalten. Wie bei aktuellen Würmern üblich, fälscht auch dieser die Absenderadresse und verschleiert somit seine Herkunft.

DEP-Mechanismus kann umgangen werden. Das russische Unternehmen MaxPatrol berichtet, dass sie einen Programmfehler im Service Pack 2 für Windows XP entdeckt haben, womit sich ein Sicherheitsmechanismus zur unberechtigten Ausführung von Programmcode umgehen lässt. Von dieser Entdeckung geht derzeit keine akute Gefährdung aus.

Sicherheit von RFID-Chips nicht ausreichend. Forscher der Johns Hopkins Universität warnen vor unsicheren Autoschlüsseln auf Basis von RFID-Tags, die in den USA auch zum Benzinkauf genutzt werden können. Das System lasse sich mit preiswerten Mitteln umgehen und könnte so leichtes Spiel für Diebe bedeuten.

Schwache Root-Passwörter öffnen Wurm die Tür. Das SANS Internet Storm Center (ISC) warnt vor einem neuen "Bot", der sich über MySQL verbreitet. Der Wurm sucht auf dem MySQL-Port 3306 nach Opfern, die, einmal infiziert, über einen IRC-Server mit weiteren Instruktionen versorgt werden.

...tun aber nicht genug für ihre Internetsicherheit. Viele deutsche Computernutzer interessieren sich nur wenig für das Thema Internetsicherheit, ergab eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in Auftrag gegebene Umfrage. Demnach nutzen 25 Prozent der deutschen Internetnutzer keinen Virenscanner und die Hälfte surft ohne Firewall. Dieser Umstand überrascht, zumal 90 Prozent der Nutzer sehr wohl wissen, dass ihr PC über das Internet einer Gefahr ausgesetzt ist.

Projekte - darunter auch Jabber - erhalten zwei Wochen Zeit Dateien zu prüfen. Wie jetzt bekannt wurde, ist bereits vor einem Jahr der Server der Website JabberStudio.org gehackt worden, auf der eine Vielzahl von Open-Source-Projekten residieren wie etwa das Instant-Messaging-Protokoll Jabber. Der Vorfall auf JabberStudio.org blieb ein Jahr unbemerkt, soll allerdings keinen Schaden verursacht haben. Dennoch sollen alle Projekte überprüft werden, wofür die Projektleiter zwei Wochen Zeit haben.

Neuer Bagle-Wurm verbreitet sich stark. Nach längerer Ruhephase verbreitet sich abermals ein weiterer Ableger des Bagle-Wurms im Internet stark, nachdem die in den vergangenen Monaten anderen entdeckten Bagle-Varianten nur eine mittelmäßige Verbreitung erreichten. Der neue Bagle-Wurm vermehrt sich wie seine Vorgänger per E-Mail sowie über Peer-to-Peer-Netzwerke. Auf befallenen Systemen öffnet er eine Hintertür, über die sich ein befallener Rechner zur Spam-Verbreitung missbrauchen lässt.

Router möglicherweise durch Denial-of-Service-Angriffe gefährdet. Cisco warnt vor drei Sicherheitslücken in seinem Internetwork Operating System (IOS), durch die sich entsprechende Router unter Umständen lahm legen lassen. Ein Problem im Multi Protocol Label Switching (MPLS) kann auch dann auftreten, wenn das System gar nicht für MPLS konfiguriert ist, warnt Cisco.

Wurm-Komfort unter Linux lässt zu wünschen übrig. Mit Wine lassen sich Windows-Applikationen auch unter Linux ausführen. Was aber mit vielen Applikationen funktioniert, muss nicht auch für Viren und Würmer gelten, die Windows-Nutzer auf Trab halten, zu diesem Schluss kommt Matt Moen, der bei Newsforge über seine Erfahrungen mit Klez, Sobig, MyDoom und Netsky.D berichtet.

Sicherheits-Update für MacOS X 10.2.8 und 10.3.7. Mit einem weiteren Sicherheits-Update bereinigt Apple zahlreiche Programmfehler und Sicherheitslücken in verschiedenen Komponenten von MacOS X. Damit wird auch ein Sicherheitsloch in Apples Safari-Browser beseitigt, das einem Angreifer erlaubt, gefälschte Inhalte in einem Pop-up-Fenster einzubinden.

Microsoft weitet Windows Genuine Advantage Program bald auf Deutschland aus. Nachdem bereits im September 2004 auf den US-Seiten von Microsofts Download Center ein neuer Dienst getestet wurde, der Updates und Patches für Windows 2000 und XP erst nach einer freiwilligen Prüfung der Gültigkeit der Windows-Lizenz bereitstellte, soll dies schon bald obligatorisch werden. In Kürze startet der Probebetrieb auch in Deutschland. Noch im Laufe des Jahres will Microsoft Updates nur noch Besitzern einer gültigen Windows-Lizenz zur Verfügung stellen.

Patent beschreibt Firewalls mit Kartographiefunktion. Das US-Patentamt hat McAfee jetzt ein Patent auf "Firewall-Systeme und Methoden mit Kartographiefunktionen" zugesprochen. Die patentierte Technik wird in verschiedenen Firewall-Produkten eingesetzt, die es beispielsweise erlauben, den Ursprung von potenziellen Netzwerkangriffen auf einer Weltkarte anzuzeigen.

Organisationsweite Verschlüsselung von mobilen Daten. Die Bundeswehr hat mit Utimaco einen Generalvertrag über 20.000 Lizenzen der Verschlüsselungssoftware SafeGuard Easy abgeschlossen. SafeGuard Easy soll sensitive Daten, die als Verschlusssache klassifiziert sind, im mobilen Umfeld vor fremden Zugriffen schützen.

Angreifer kapern Funkverbindungen zu Hotspots. Dr. Phil Nobles von der Cranfield Universität warnt vor so genannten bösen Zwillingen, über die WLAN-Nutzern sensitive Daten entwendet werden können. Dabei positionieren Angreifer in der Nähe von Hotspots eigene Funktechnik, um die Signale des eigentlichen Hotspots zu überlagern.

Sun behebt weiteres Sicherheitsloch in Java-Virtual-Machine. Suns Java-Plug-In für den Internet Explorer weist eine schwere Sicherheitslücke auf, die es Angreifern erlaubt, beliebigen Programmcode auf einem fremden Rechner auszuführen. Bereitgestellte Updates sollen das Sicherheitsloch schließen und ein weiteres Leck in Suns Java-Virtual-Machine stopfen, das einem Java-Applet gestattet, ein anderes Applet ohne entsprechende Berechtigungen zu beeinflussen.

Amateurfehler macht Verschlüsselung in Microsofts Applikationen angreifbar. Die Dokumentenverschlüsselung in Word und Excel lässt sich leicht umgehen, weil Microsoft bei der Implementierung der entsprechenden Verschlüsselungstechnik geschlampt hat. Entgegen den üblichen Gepflogenheiten verwendet Microsoft bei der Dokumentenverschlüsselung den gleichen Initialisierungsvektor für zwei unterschiedliche Dokumente. Pikanterweise wurde der gleiche Fehler auch schon vor rund fünf Jahren bei der Verschlüsselung in Windows NT 4.0 gemacht.

Neues Angriffsszenario für Sicherheitsloch im Internet Explorer entdeckt. Das eigentlich mit einem Patch behobene Sicherheitsloch im Internet Explorer kann weiterhin von Angreifern für Attacken auf fremde Rechner missbraucht werden, berichten die Sicherheitsexperten von GeCAD NET. Zwar wurde von Microsoft das seinerzeit berichtete Angriffsszenario mit dem Patch behoben, aber mittlerweile wurde eine weitere Möglichkeit gefunden, das betreffende Sicherheitsloch auszunutzen.

Linux-Entwickler sehen keine steigende Zahl von Sicherheitslücken im Kernel. Nachdem in den letzten Monaten wiederholt Sicherheitslücken im Linux-Kernel entdeckt wurden, kam in der Linux-Kernel-Mailingliste die Frage auf, inwieweit der Kernel-Code auf Sicherheit überprüft und wie sicher der Kernel letztendlich ist. Während Brad Spengler kürzlich das neue Entwicklungsmodell für zunehmende Sicherheitslücken verantwortlich machte, sehen die Kernel-Entwickler Alan Cox und Theodore Ts'o eher einen positiven Trend.

Kommentar-Spam in Blogs soll indirekt bekämpft werden. Mit einem neuen Link-Tag für Webseiten will Google so genannten Kommentar-Spam bekämpfen, also Spam, der nicht per E-Mail verschickt, sondern in Form von Kommentaren z.B. in Blogs eingestellt wird. Spammer versuchen auf diese Weise, ihre Position in Suchmaschinen wie Google zu erhöhen.

Astaro Security Gateway in vier Modellvarianten angekündigt. Hatte sich Astaro bislang vor allem auf Software für Security-Appliances auf Basis von Linux konzentriert, nimmt das Unternehmen nun auch eigene Geräte ins Programm. Die vier Modelle der Reihe "Astaro Security Gateways" richten sich an kleine und mittlere Unternehmen sowie Abteilungen großer Firmen oder Behörden.

Derzeitiger Erfassungskreis sei angemessen groß. Nach dem schnellen Fahndungserfolg im Mordfall Moshammer wird die Forderung nach Ausweitung von DNA-Analysen wieder lauter. Doch davor warnte Peter Schaar, Bundesbeauftragter für den Datenschutz im "ZDF-Mittagsmagazin". Er fragt sich, ob es sehr viel Sinn hat, jetzt und immer wieder weitere Ausweitungen der DNA- Analysen zu fordern.

Ab Ende 2005 Reisepässe mit Chip, ab 2007 auch Personalausweise. Vom Jahr 2007 an will die Bundesregierung auch Personalausweise mit biometrischen Daten einführen, wie im Rahmen der Diskussion um die zu erwartenden Kosten für die ab Ende 2005 mit Chips ausgestatteten Reisepässe bekannt wurde. Die FDP-Innenpolitikerin Gisela Piltz sieht für das Vorhaben "überhaupt keine Notwendigkeit".

Patch-Sammlung umfasst aktuelle Sicherheits-Patches. Die Webseite Winboard.org hat neue Update-Pakete für Windows 2000 und XP zum Download zur Verfügung gestellt. Die Patch-Sammlungen umfassen die aktuellen Sicherheits-Patches für Windows 2000 und XP in einem kompakten Archiv, so dass man die Patches nicht einzeln herunterladen muss.

Microsoft nimmt Tester ausgewälhter Kunden und Partner. Um die Zuverlässigkeit und Kompatibilität von Sicherheits-Patches zu verbessern, will Microsoft derartige Patches künftig auch von externen Beta-Testern prüfen lassen, berichtet das US-Magazin eWeek. Damit soll der Prozess der Bereitstellung von Sicherheits-Patches verbessert und womöglich auch beschleunigt werden. Bislang wurden Sicherheits-Patches aus Redmond überwiegend intern getestet.

Personalausweise mit Chips für biometrische Identitätsüberprüfung kommen 2007. Um das Fälschen von Ausweisen weiter zu erschweren und vor allem um europäischen Bürgern ab Herbst 2005 weiterhin die visumfreie US-Einreise zu ermöglichen, müssen die EU-Staaten nun biometrische Reisepässe einführen. Die Kosten für die mit Funkchips versehenen Reisepässe soll der einzelne Bürger tragen. Politiker aus Reihen der Grünen und der FDP befürchten nun, die Kosten könnten um ein Vielfaches über die der aktuellen Reisepässe (26,- Euro) steigen und für den Bürger eine schwere Bürde werden.

Ciphire Mail für Windows, Linux und MacOS X verfügbar. Mit Ciphire Mail bietet das Münchener Unternehmen Ciphire Labs eine Kryptografie-Software an, um E-Mails zu verschlüsseln und zu signieren. Dabei soll sich die Software leicht bedienen lassen und nur wenige Konfigurationen erfordern, um zwischen zwei Nutzern von Ciphire Mail verschlüsselte Nachrichten austauschen zu können.

Staatsanwaltschaft: Kundendaten von MyChannel.de lagen ungeschützt im Internet. Das von MyChannel.de veranlasste Ermittlungsverfahren wegen Zugriffs auf ungeschützte Daten wurde nach Auskunft der Staatsanwaltschaft Berlin eingestellt, weil das Ausspähen der Daten nicht strafbar gewesen sei. Der Betreiber von MyChannel.de, Peter Huth, hatte im August 2004 "Anzeige gegen Unbekannt" erstattet, nachdem zuvor eine Sicherheitslücke auf der von MyChannel.de betriebenen Website dialersiegel.de bekannt wurde, über die Kundendaten für jeden einsehbar im Internet standen.

Sicherheitsloch in E-Mail-Dienst gestattete Einblick in fremde E-Mails. In Googles E-Mail-Dienst Gmail wurde ein weiteres Sicherheitsloch entdeckt, worüber Angreifer Einblick in über Gmail laufende E-Mails erhalten haben. Mittlerweile wurde dieses Sicherheitsloch von Google geschlossen. Ein gezieltes Ausspähen bestimmter Nutzer war so nicht möglich, weil das Sicherheitsleck wohl die zuletzt vom Gmail-Server verarbeitete Nachricht angezeigt hatte.

Angeblich Zugriff auf Kundendaten, E-Mails und Fotos. Einem Hacker gelang es angeblich, Zugang zu Servern von T-Mobile zu erlangen, berichtet SecurityFocus. Mindestens ein Jahr lang habe der Hacker Zugriff auf E-Mails des US-Sicherheitsdienstes Secret Service sowie Daten von T-Mobile-Kunden gehabt. Auch soll er Zugang zu Fotos gehabt haben, die Nutzer des Sidekick mit dem Gerät geschossen haben.

RFID-Etiketten vom Lieferanten bis zum Kunden geplant. Wie der Metro-Vorstand Zygmunt Mierdorf im Gespräch mit der WirtschaftsWoche angab, will der Düsseldorfer Handelskonzern mit RFID-Funketiketten die Lieferkette vom Hersteller bis zur Ladenkasse weitgehend automatisieren. Erste RFID-Tests der Metro Group in einem Extra-Markt in Rheinberg hatten Datenschützer mit Protesten begleitet, da RFID-Etiketten am Ladenausgang nicht zerstört wurden und wie eine RFID-Kundenkarte auch nach Verlassen des Ladens auslesbar gewesen sein sollen.

Wettbewerbsaufsicht erwirkt gerichtliche Verfügungen wegen Spam-Versand. Die US-Wettbewerbsaufsicht Federal Trade Commission (FTC) hat jetzt gerichtliche Verfügungen gegen ein Netzwerk von Firmen und Einzelpersonen wegen Spam erwirkt. Die Spammer sollen per E-Mail für Porno-Seiten geworben haben.

Neue Versionen vom "Malicious Software Removal Tool" im Monatsrhythmus. Microsoft hat am Patch-Day für den Januar 2005 ein "Malicious Software Removal Tool" vorgestellt, das ausgewählte Würmer und ein Trojanisches Pferd erkennen und vernichten können soll. Die kostenlos angebotene Software soll den Einsatz herkömmlicher Virenscanner ergänzen und wird mindestens einmal monatlich aktualisiert.