IT-Sicherheit

Patch für Word 2003 erschienen; Mitte Februar 2004 Patch für Internet Explorer. Mit dem Erscheinen eines Patches für Word 2003 wird die neue Sicherheitsstrategie von Microsoft immer unverständlicher. Der eigenen Ankündigung nach wollte Microsoft eigentlich Patches für gefährliche Sicherheitslecks bei Bedarf unabhängig von dem nun monatlichen "Patch-Day" herausbringen, tat dies bislang jedoch nicht. Als überraschende Ausnahme veröffentlicht Microsoft nun einen Patch für einen aus Sicherheitsaspekten unbedeutenden Programmfehler in Word 2003. Eines der jüngsten Sicherheitslecks im Internet Explorer wird hingegen erst Mitte Februar 2004 beseitigt.

MyDoom-Wurm verbreitet sich deutlich stärker als bisheriger Spitzenreiter. Der in der Nacht vom 26. auf den 27. Januar 2004 entdeckte Wurm MyDoom alias Novarg oder Mimail.R scheint sich in der Geschichte der Computer-Würmer einen Spitzenplatz bei der Verbreitung zu ergattern. Bereits in den ersten Stunden verzeichneten die Labors der Antivirenhersteller eine besonders starke Verbreitung, die weiter explosionsartig ansteigt.

Maßnahmenpaket soll helfen, die Spam-Flut einzugrenzen. Die europäische Kommission will künftig verstärkt gegen die wachsende Zahl von Spam-E-Mail vorgehen. Erkki Liikanen, der für Unternehmen und die Informationsgesellschaft zuständige EU-Kommissar, hat dazu jetzt ein Maßnahmenpaket vorgestellt, das bei der Durchsetzung des Spam-Verbots der EU helfen sollen.

Wurm führt DDoS-Attacke gegen sco.com am 1. Februar 2004 aus. Die Hersteller von Antiviren-Software entdeckten in der Nacht vom 26. auf den 27. Januar 2004 einen neuen Wurm, der sich in kürzester Zeit extrem stark verbreitet hat, weswegen die Virenlabors den Schädling mit den zum Teil höchsten Gefahrenstufen versehen haben. Der MyDoom-Wurm verbreitet sich per E-Mail sowie über das P2P-Netzwerk KaZaA und öffnet eine Hintertür am entsprechenden System, worüber ein Angreifer Kontrolle über einen befallenen PC erlangen kann.

Noch keine neue GAIM-Version verfügbar. Software-Sicherheitsexperte Stefan Esser hat zwölf Sicherheitslücken im Multi-Protokoll-Instant-Messenger GAIM entdeckt. Die recht beliebte Software läuft unter Linux, DSD, MacOS X und Windows und unterstützt diverse IM-Protokolle.

Gemeinsame RFID-Lösungen von Philips und IBM. Philips und IBM wollen bei der Entwicklung von RFID-Systemen (Radio Frequency Identification) und Smart-Card-Applikationen zusammenarbeiten. Philips will auf diesem Weg mit seiner RFID-Technologie in den Massenmarkt vordringen.

Sicherheitsleck in Windows XP erlaubt Tarnung von Programmdateien. Ein Beitrag in der Mailingliste Full Disclosure dokumentiert ein Sicherheitsleck in Windows XP, womit ein Angreifer ausführbare Dateien als Verzeichnis ausgeben und so das Starten einer entsprechenden Datei erreichen kann, ohne dass der Anwender dies bemerkt.

Schlaftrunken auf der simulierten Autobahn. Eine häufige Unfallursache beim Autofahren ist der Sekundenschlaf. Vor dem Einnicken am Lenkrad soll in Zukunft ein neues Assistenzsystem schützen - noch ist allerdings nicht ganz klar, wie dieser elektronische Wächter idealerweise gestaltet werden soll und wie Fahrer seine Hilfe annehmen. Dies erforschen nun Wissenschaftler des Vehicle Interaction Lab des Fraunhofer IAO mit einem Simulator.

RFID öffnet Türen, USB-Token mit Passwort ermöglicht Netzwerkzugang. Mit dem RFiKey will Rainbow Technologies den ersten modularen USB-Stecker liefern, der die physische Zugangskontrolle zu Räumen mit einem Zugriffsschutz für Rechner und Daten integriert. Kombiniert werden dabei das drahtlose Nahbereichs-Transpondersystem RFID als berührungslose Zugangskontrolltechnik und eine Nutzer-Authentifizierung per Einstecken und zusätzlicher PIN-Eingabe.

VeriSign verwaltet Zentralserver des EPCglobal-Netzwerkes. VeriSign ist von dem gemeinnützigen Industriekonsortium EPCglobal mit der Verwaltung des zentralen Servers für den Object Naming Service (ONS) des EPCglobal-Netzwerkes beauftragt worden.

Microsoft ignoriert Sicherheitsleck im Internet Explorer vom Dezember 2003. Microsoft veröffentlichte im Januar 2004 drei Security Bulletins, die verschiedene Sicherheitslecks in Microsoft-Produkten beheben sollen. Zwei der drei Sicherheitslücken werden von Microsoft als kritisch eingestuft. Unberücksichtigt blieb weiterhin das bereits Mitte Dezember 2003 entdeckte Sicherheitsleck im Internet Explorer, welches die korrekte URL in der Adresszeile des Browsers verschleiert.

Umfassende RFID-Einführung für 2004 geplant. Der deutsche Handelsriese Metro will künftig durchgängig entlang seiner gesamten Prozesskette RFID-Tags einsetzen. Ab November 2004 werden zunächst rund 100 Lieferanten ihre Paletten und Transportverpackungen für zehn Zentrallager sowie rund 250 Märkte der Vertriebslinien Metro Cash & Carry, Real SB-Warenhäuser, Extra Verbrauchermärkte und Galeria Kaufhof Warenhäuser mit RFID-Etiketten versehen.

Download einer Datei mit überlangem Dateinamen führt zu Buffer Overflow. Wie Tri Huynh auf der Mailingliste Bugtraq berichtet, weist der Yahoo Instant Messenger ein Sicherheitsleck auf, das es Angreifern ermöglicht, Programmcode auf einem anderen Rechner auszuführen. Yahoo bietet eine aktualisierte Version der Software zum Download an.

Fehler im Speichermanagement gefährdet Linux 2.2., 2.4 und 2.6. Der Sicherheitsexperte Paul Starzetz weist auf eine kritische Sicherheitslücke im Linux-Kernel hin, die es lokalen Nutzern erlaubt, beliebigen Code auch auf Kernel-Ebene auszuführen. Betroffen ist Linux 2.2, 2.4 und 2.6.

Geburtstagserinnerungsfunktion verträgt sich anscheinend nicht mit Jahreswechsel. Wie Besitzer vom Tungsten E und Tungsten T3 in Internetforen berichten, macht die neue Geburtstagserinnerungsfunktion in den beiden Palm-PDAs Schwierigkeiten: So kann eine Geburtstagserinnerung dazu führen, dass sich das Gerät nicht dauerhaft ausschalten lässt, weil sich der PDA immer wieder nach etwa 10 Sekunden einschaltet. Einen Patch bietet Palm bislang nicht an.

Zuschauer müssen sich registrieren lassen. Die Union der Europäischen Fußballverbände (Uefa) warnt vor Internet-Seiten, auf denen illegal Tickets für die Fußball-EM 2004 angeboten werden. Anlass ist die Tatsache, dass sich jeder Zuschauer registrieren lassen muss - angeblich aus Sicherheitsgründen.

Brightmail: Spam-Anteil wird 2004 auf 65 Prozent zulegen. Der Anti-Spam-Anbieter Brightmail hat Statistiken für das Jahr 2003 vorgelegt. Das Unternehmen hat insgesamt rund 800 Milliarden E-Mails überprüft, nach eigenen Angaben rund 15 Prozent des gesamten E-Mail-Aufkommens im Internet. Dabei überstieg der Spam-Anteil erstmals den Anteil "legitimer" E-Mails.

Geschickte gewählte Betreffzeilen sorgen für schnelle Verbreitung. Nach Sober.B treibt nun mit Sober.C eine dritte Variante des Sober-Wurms ihr Unwesen: Der Wurm nutzt auch deutschsprachige E-Mails mit drohenden Texten und geht dabei recht geschickt vor, so dass er bereits in kurzer Zeit einen hohen Verbreitungsgrad gefunden hat.

Neuer Wurm setzt auf aktuelle deutschsprachige Betreffzeilen. Anti-Viren-Hersteller warnen vor einer neuen Variante des Sober-Wurms, den sie "Worm/Sober.B" oder "W32/Sober.b@MM" getauft haben. Sober.B verbreitet sich per E-Mail, wobei die Dateigröße des Attachments zwischen 54 und 60 KByte variiert. Auch die Betreffzeilen sind unterschiedlich und recht aktuell.

... sofern sie gekennzeichnet und abbestellbar ist sowie echten Absender enthält. Am 16. Dezember 2003 hat Präsident George Bush das unter dem Titel bekannte "Controlling the Assault of Non-Solicited Pornography and Marketing Act of 2003" (CAN-SPAM Act) Anti-Spam-Gesetz unterzeichnet. Ab 1. Januar 2004 tritt es bundesweit in Kraft und ersetzt teils deutlich strengere lokale Gesetze - anstatt unerwünschte E-Mail-Werbung generell zu verbieten, werden Regeln aufgestellt, wie eine legale E-Mail-Werbung auszusehen hat und dass Empfänger sich aus dem Verteiler austragen können.

Opera unter Windows bis einschließlich Version 7.22 betroffen. Die Site Operash weist auf einen Fehler im Web-Browser Opera hin, der es Angreifern erlaubt, beliebige Dateien auf einem anfälligen System zu löschen. Betroffen ist Opera für Windows in der Version 7 bis einschließlich 7.22.

"SafeGuard Advanced Security PnP Management" verspricht kontrollierten Einsatz. Mit einer für Windows 2000 und XP gedachten Software zur zentralen Kontrolle von Plug&Play-Geräten will Utimaco Safeware IT-Administratoren in Unternehmen ermöglichen, den unerlaubten Datenexport über externe Speichermedien - wie USB-Flash-Speichern - erschweren. Nutzer, die nicht für die USB-Massenspeicher-Nutzung autorisiert wurden, können dann nicht mehr auf diese zugreifen.

Regelung zum Schutz der Verbraucher gilt ab 14. Dezember 2003. Laut der Regulierungsbehörde für Telekommunikation und Post (Reg TP) dürfen kostenpflichtige Einwahlprogramme, so genannte Dialer, ab dem 14. Dezember 2003 nur noch über die Rufnummerngasse (0)900 9 betrieben werden. Nutzen kostenpflichtige Dialer hingegen nach dem 13. Dezember 2003 eine andere Rufnummerngasse, gelten sie als nicht registrierfähig und somit illegal, warnt Reg-TP-Präsident Matthias Kurth.

Patch soll die Stabilität von StarOffice 7 erhöhen. Sun bietet einen Patch für das Office-Paket StarOffice 7.0 zum Download an, das zahlreiche Programmfehler beheben und eine höhere Stabilität bringen soll. Es stehen Download-Archive für Windows, Linux und Solaris auf den Sun-Servern bereit.

Wissenschaftler weisen auf technische und rechtliche Probleme hin. Eine Gruppe von Wissenschaftlern, die am World Summit on the Information Society (WSIS) teilnimmt, weist auf technische und rechtliche Probleme des auf dem Gipfel eingesetzten Sicherheitssystems hin. Sie konnte zum einen fast problemlos einen Zugangspass für die Veranstaltung ergattern, zum anderen entdeckte sie RFID-Tags, die in die offiziellen Zugangspässe integriert sind und mit denen sich die Bewegungen der Teilnehmer überwachen lassen.

Geburtsstunde des Datenschutz-Gedankens in der Bundesrepublik. Am 15. Dezember 2003 jährt sich das so genannte Volkszählungsurteil des Bundesverfassungsgerichts zum 20. Mal. Mit diesem Urteil ist eine für das Persönlichkeitsrecht wegweisende Entscheidung getroffen worden, die auch den Datenschutz ins allgemeine Bewusstsein und in die Rechtslandschaft rief.

Microsoft bietet bislang keinen Patch zur Abhilfe an. Im Internet Explorer wurde ein Fehler entdeckt, um die tatsächliche URL in der Adresszeile zu verschleiern und vorzugeben, eine ganz andere Webseite zu besuchen. Damit können Anwender dazu gebracht werden, sensitive Daten an eine bösartige Webseite zu übermitteln und dabei in den Glauben versetzt werden, diese Daten an eine vertrauenswürdige Seite zu senden.

Trotz bekannter Sicherheitslecks keine Sicherheits-Patches für Dezember 2003. Wie Microsoft bekannt gab, wird das Unternehmen im Dezember 2003 auf die Veröffentlichung der monatlichen Sicherheits-Patches verzichten. Die Ankündigung überrascht, da Ende November 2003 weitere schwere Sicherheitslöcher im Internet Explorer entdeckt wurden, ohne dass Microsoft bislang entsprechende Patches veröffentlicht hätte.

Zu hohe Fehlerquoten. Der neue Bundesbeauftragte für den Datenschutz, Peter Schaar, hat Zweifel an der Tauglichkeit der geplanten biometrischen Merkmale in Ausweisen geäußert. Bei der diskutierten Gesichtserkennung etwa genügten die Systeme kaum den Anforderungen und wiesen eine viel zu hohe Fehlerquote auf, sagte Schaar dem "Tagesspiegel am Sonntag".

BSI-Studie: "Man weiß nicht, dass man nichts weiß". Eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in Auftrag gegebene Studie bescheinigt Jugendlichen zwar, dass Viren, Dialer und Spam für diese keine Fremdwörter sind, trotzdem herrsche beim Thema Sicherheit im Internet Sorglosigkeit und Ignoranz. Ebenfalls ein kritisches Thema bei der Internet-Nutzung sei die Verletzung des Urheberrechts durch illegale Downloads und Kopien.

Patch-Einspielung gelingt nur mit dem Internet Explorer. Für die am 3. Dezember 2003 bekannt gewordene Sicherheitslücke im Yahoo Messenger bietet Yahoo einen Patch, um das Problem zu bereinigen. Während der Entdecker das Sicherheitsleck als gefährlich einstuft, sieht Yahoo keine große Gefahr darin.

Nun auch kostenlose E-Mail-Postfächer mit Schutz vor infizierten Dateianhängen. Web.de bietet nun auch für seine kostenlosen E-Mail-Postfacher ("FreeMail") einen Virenschutz. Bisher war Derartiges zahlender Web.de-Kundschaft vorbehalten.

Palm bietet Patches für Tungsten E sowie Zire 71, Tungsten T, T2, T3 und C an. Nach dem jüngsten Desaster mit den Schwierigkeiten, die der Tungsten T3 mit SD-Cards bereitete, muss Palm erneut Patches im Zusammenspiel mit Speicherkarten bereitstellen. Der aktuelle Fall betrifft einen möglichen Datenverlust im Zusammenspiel mit Backup-Speicherkarten. Während der eine Patch für die Modelle Zire 71, Tungsten T, T2, T3 und C bei Nutzung mit der Palm-Backup-SD-Card mit 64 MByte geeignet ist, steht ein weiterer Patch speziell für den Tungsten E bereit.

Free Software Foundation und Debian wollen eng zusammenarbeiten. Nachdem am 21. November 2003 bekannt wurde, dass Unbekannte eine Sicherheitslücke im Linux-Kernel nutzten und in die Server des Debian-Projekts eingedrungen sind, wurden jetzt auch Einbrüche in Server von Gentoo und der Free Software Foundation (FSF) bekannt.

Erfolgreiche Einspeisung eines Trojanischen Pferdes belegt Gefährlichkeit. Gemäß den Informationen von Tri Huynh weist der Yahoo Messenger der Version 5.6.0.1347 und niedriger ein schwerwiegendes Sicherheitsleck auf, worüber Angreifer Programmcode auf ein System schleusen und diesen ausführen können. Nach Erkenntnissen von Tri Huynh ließ sich so ohne großen Aufwand etwa ein Trojanisches Pferd in ein System einschleusen, um den betreffenden Rechner so zu belauschen.

Neue elektronische Etiketten sind bis 25 Mal schneller als herkömmliche. Mit neuartiger RFID-Technologie will Infineon elektronischen Etiketten für industrielle und Logistikanwendungen einen neuen Schub verpassen. Die jetzt vorgestellten Chips können per Funk gelesen und beschrieben werden und eignen sich so für die berührungslose elektronische Identifizierung von schnell bewegten Objekten.

Datenschutzbeauftragte kritisieren Entwurf zum neuen Telekommunikationsgesetz. Die Datenschutzbeauftragten des Bundes und der Länder meinen, dass der Entwurf der Bundesregierung für ein neues Telekommunikationsgesetz (TKG) gravierende Verschlechterungen des Datenschutzes mit sich bringe. Die Datenschutzbeauftragten sehen erhebliche verfassungsrechtliche Bedenken gegen die vom Rechtsausschuss des Bundesrates geforderte Verpflichtung der Diensteanbieter zur sechsmonatigen Speicherung der Verbindungsdaten.

Linux-Kernel schuld am Einbruch in die Server des Debian-Projekts. Vor knapp zwei Wochen wurde ein Einbruch in einige Server des Debian-Projekts bekannt. Dabei wurde offenbar eine Sicherheitslücke im Linux-Kernel ausgenutzt, die es lokalen Nutzern erlaubt, Root-Rechte zu erlangen. Im Fall des Debian-Projekts wurde der Account eines Entwicklers genutzt.

Abzocke, die zum Himmel stinkt. Die allseits beliebten Dialer-Entwickler haben eine neue und besonders teure Idee entwickelt, den ahnungslosen Anwendern Geld aus der Tasche zu ziehen. Die illegalen Wählprogramme wählen sich über hochtarifierte Satelliten-Nummern ins Netz ein. Mehrere Betroffene sind bereits bekannt, die Täter noch nicht.

LDAP-Server müssen sich gegenüber MacOS X nicht authentifizieren. Ein Security Advisory von William Carrel beschreibt Probleme von MacOS X beim Umgang mit LDAP-Servern, da entsprechende Zugriffe nicht korrekt geprüft werden. So kann ein Angreifer etwa über ein WLAN-Netzwerk ohne großen Aufwand auf Daten eines PCs mit MacOS X zugreifen, ohne dass der Nutzer etwas davon bemerkt. Derzeit bietet Apple nur einen Workaround an; einen Patch zur Behebung dieses Architektur-Problems gibt es bislang nicht.

Werbeaussagen in der Kritik. Das Softwarehaus G-Data Software AG wurde wegen vergleichender Werbung vom amerikanischen Mitbewerber Symantec abgemahnt. G-Data hatte nach eigener Darstellung in verschiedenen Fachmagazinen für seine neue Anti-Viren-Software "AntiVirenKit 2004" geworben. Insbesondere Headlines wie "Schluss mit Gelbsucht" und die Darstellung eines "Norton AntiVirus", dessen Verpackung von einem darauf fallenden AntiVirenKit 2004 zerknautscht wird, möchte Symantec nicht wiederholt sehen.

Gesetzentwurf passiert US-Senat nach kleinen Veränderungen. Nach einigen kleineren Änderungen ist der Anti-Spam-Gesetzentwurf "Controlling the Assault of Non-Solicited Pornography and Marketing Act of 2003", kurz "CAN-SPAM Act of 2003", vom US-Senat akzeptiert worden. In Kraft treten kann der mit Kritik bedachte Gesetzentwurf gegen unerwünschte und betrügerische E-Mail-Werbung allerdings erst, wenn nun noch das Abgeordnetenhaus und schließlich auch der US-Präsident zustimmt.

Angreifer kann beliebigen Programmcode installieren und ausführen. Im Internet Explorer wurden vier weitere Sicherheitslecks entdeckt, womit sich in Kombination der verschiedenen Verfahren Programme installieren und ausführen lassen. Nach derzeitigem Kenntnisstand soll der Internet Explorer in der Version 6.0 betroffen sein, womöglich tritt das Problem aber auch mit dem Internet Explorer 5.x auf. Microsoft bietet bislang keinen Patch an.