IT-Sicherheit

Stärkerer Schutz für Bezahldienste im Rundfunk und Internet. Ab kommendem Samstag, dem 23. März 2002, tritt das auch als Zugangskontrolldiensteschutzgesetz bezeichnete "Gesetz zum Schutz von zugangskontrollierten Diensten und Zugangskontrolldiensten" (ZKDSG) in Kraft. Es soll die gewerbsmäßige Verbreitung von "Umgehungsvorrichtungen" verhindern, die dazu bestimmt sind, den geschützten Zugang von Fernseh- (PayTV) und Radiosendungen sowie von Tele- und Mediendiensten zu überwinden.

Aufklärung gegen Telefonabzockerei. Die 0190er-Abzocke per Telefon beschäftigt seit längerer Zeit Bürger und Behörden. Mit zahlreichen Tricks wird versucht, Anrufe von Telefonnummern zu provozieren, die mit der gebührenpflichtigen Vorwahl 0190 beginnen. Da jüngst auch Bürger und Stadtverwaltung in Frankfurt von einer besonderen Spielart dieser Geldabschöpfung betroffen waren, startet nun eine Plakatkampagne der Stadt.

Zahlreiche Systeme von dem Sicherheitsloch in Java betroffen. Wie Sun in einem aktuellen Security Bulletin mitteilt, wurde jüngst eine Sicherheitslücke in dem Java Runtime Environment (JRE) gefunden, die es Angreifern erlaubt, gefährlichen Programmcode auf einem befallenen System auszuführen. Sowohl Sun als auch Microsoft bieten bereits passende Patches an; nur Netscape lässt hier noch auf sich warten.

"Größte Angriffsfläche für Hacker versiegelt". Premiere hat nach eigenen Angaben eine entscheidende Sicherheitslücke in seiner verschlüsselten Programmausstrahlung geschlossen: Der Sender hat am gestrigen Montag, den 18. März 2002 um 12.00 Uhr die Ausstrahlung seines Gesamtprogramms über einen einzigen Verschlüsselungscode beendet.

Biometrie für den heimischen Rechner. Mit der BioCam USB LTB-3700 hat Leadtek auf der CeBIT 2002 eine Webcam mit integriertem Fingerabdrucksensor vorgestellt. Letzterer soll die Eingabe von Passworten, beispielsweise bei der Nutzer-Anmeldung unter Windows, durch Fingerabdruckerkennung ersetzen können.

E-Mails wurden nicht von Microsoft verschickt - ISDN Dialer wurde installiert. E-Mails, die seit Samstag, den 16.3.2002, unter diesem Absender in Umlauf gebracht wurden, enthalten eine angebliche Viruswarnung vor einem neuen Virus namens "Sweartheart". Der Empfänger der Mail wird darin aufgefordert, sich unter einer dort angegebenen URL-Adresse eine angebliche Microsoft-Virenschutz-Software kostenlos herunterzuladen, die diesen Virus dann vernichten soll.

Bundeswirtschaftsministerium stellt GNU Privacy Projekt 1.1 vor. Das erweiterte und verbesserte E-Mail-Verschlüsselungsprogramm GnuPP 1.1 (GNU Privacy Projekt) stellt das Bundeswirtschaftsministerium auf der CeBIT 2002 vor. GnuPP ist eine Open-Source-Kryptografiesoftware für E-Mails und Dateien, vollständig kompatibel zu PGP und seiner Infrastruktur und kann im Gegensatz zu diesem auch kommerziell eingesetzt werden.

Schutz vor Viren, Verschlüsselung von E-Mails und Filter für das Web. Fritz Rudolf Körper, Parlamentarischer Staatssekretär beim Bundesinnenminister, hat heute in Hannover eine neue Sicherheits-CD vorgestellt. Die kostenlos unter www.bsi.de erhältliche CD war von Bundesinnenminister Otto Schily beim Bundesamt für Sicherheit in der Informationstechnik (BSI) in Auftrag gegeben worden.

Michael Wall, Bluetooth-Experte bei Frost & Sullivan. Nachdem Bluetooth 2001 quasi schon totgesagt war, ist die Technologie nun mit den Themen Sicherheit und Interoperabilität zu neuem Leben erwacht. Dass Sicherheitsfragen an Bedeutung gewinnen, sei nur eine Frage der Zeit angesichts der Tatsache, dass Bluetooth über Handys, PDAs und Notebooks von Mitarbeitern bald in die Unternehmen einziehen wird. Zum aktuellen Interesse hat nach Michael Wall, Bluetooth-Experte bei Frost & Sullivan, beigetragen, dass das Wired Equivalent Protocol (WEP) geknackt wurde und sich bei Wireless LAN Sicherheitslücken zeigen.

Sicherheitslücke erlaubt lokalen Nutzern, Root-Rechte zu erlangen. OpenSSH, das für sichere Logins auf Remote-Systeme genutzt wird, enthält in den Versionen 2.0 bis 3.02 eine Sicherheitslücke, die es lokalen Nutzern unter bestimmten Umständen gestattet, Root-Rechte auf einem System zu erlangen. Gefährdet sind sowohl Server- als auch Clientsysteme.

Käufersuche für PGP gescheitert. Wie Network Associates (NAI) auf Nachfrage von Golem.de mitteilte, hat das Unternehmen den Verkauf von PGP seit Anfang März eingestellt und bietet das Verschlüsselungs-Produkt vorerst nicht mehr an. Ferner teilte NAI mit, dass kein passender Käufer für PGP gefunden werden konnte.

Proprietäres Protokoll 802.IQ als Alternative zu TCP/IP. Durch die beständig zunehmende Verwendung drahtloser Technologien bei der Implementierung oder Erweiterung lokaler Netzwerke spielen auch Sicherheitsfragen eine immer wesentlichere Rolle. Psion Teklogix, ein Anbieter von Datenfunklösungen, hat die wichtigsten Aspekte zur "Sicherheit im Wireless LAN" in einem White Paper zusammengefasst. Die Datenfunk-Experten erläutern darin die unterschiedlichen Sicherheitsrisiken sowie Verschlüsselungs- und Authentifizierungsmöglichkeiten bei drahtlosem Zugriff auf offene und proprietäre Systeme, aber auch die Vorteile des Wireless LAN gegenüber der verkabelten Variante.

Konsequentes Vorgehen der Telekommunikationsbranche gefordert. Dass der zunehmende Betrug mit Computerprogrammen, die den Internet-Zugang auf eine kostenpflichtige 0190-Nummer umschalten, enorme Kosten für die Nutzer verursacht, hat nun auch die Regierung erreicht: "Diesem üblen Betrug muss ein Ende gesetzt werden. Die seriösen Anbieter und die Telekommunikationsunternehmen sind gefordert, hier konsequent vorzugehen und die schwarzen Schafe der Branche vom Markt zu verdrängen", erklärte Bundesverbraucherministerin Renate Künast heute in Berlin. Gelinge dies nicht in angemessener Frist, würden entsprechende Änderungen der gesetzlichen Regelungen initiiert werden.

Sicherheitsloch tritt nur bei Verwendung von Proxy-Servern auf. Bei der Ausführung von Java-Applets innerhalb des Internet Explorers können Angreifer eine Sicherheitslücke in der Java Virtual Machine von Microsoft ausnutzen, um an persönliche Daten zu gelangen. Microsoft selbst stuft das Sicherheitsloch als kritisch ein und bietet für die meisten Systeme einen passenden Patch an.

Weder Active Scripting noch Active X für die Ausführung von Dateien benötigt. In einem Beitrag der israelischen Sicherheitsfirma GreyMagic wird von einem Sicherheitsloch im Internet Explorer und in Outlook Express sowie Outlook berichtet, das es Angreifern ermöglicht, beliebigen Programmcode auf einem fremden Rechner auszuführen. Dazu muss weder Active Scripting und Active X im Browser aktiviert sein.

Biometriedaten kryptographisch sichern. Eine Sicherheitslücke bei der Übertragung biometrischer Benutzerverifikationsdaten zu einer SmartCard (intelligente Chipkarte) will jetzt das Fraunhofer-Institut für Sichere Telekooperation (SIT) schließen. Die Verifikationsdaten werden z.B. aus den von einem Fingerabdrucksensor gelieferten Messdaten gewonnen. Die Lösung besteht darin, diese Daten auf dem Weg zur SmartCard, wo sie mit den dort gespeicherten Referenzdaten verglichen werden, kryptographisch zu schützen.

Hfnetchk arbeitet nun auch mit Windows XP zusammen. Das Tool hfnetchk wurde von Microsoft jetzt aktualisiert und überprüft nun nicht nur Systeme mit Windows NT und 2000 sondern auch PCs mit Windows XP nach fehlenden Sicherheits-Patches. Das kostenlose Kommandozeilen-Tool gibt dazu eine Übersicht aller noch nicht auf dem System installierten Patches und soll so die bequeme Aktualisierung des Systems ermöglichen.

Anhänge werden zwischen Outlook und Exchange immer unverschlüsselt übertragen. Wie heise.de berichtet, werden Dateianhänge in E-Mails in einem firmeninternen Netzwerk zwischen Outlook-Clients und Exchange-Servern unverschlüsselt übertragen, auch wenn ein verwendetes Verschlüsselungs-Plug-In anderes suggeriert. Dadurch kann also ein Teil des firmeninternen E-Mail-Verkehrs ohne großen Aufwand von Unbefugten eingesehen werden.

FireWall-1 GX soll für Datensicherheit in drahtlosen Netzen sorgen. Check Point stellt eine neue Produktfamilie vor, die die Datensicherheit in 2,5G- und 3G-General-Packet-Radio-Service-(GPRS-)Netzwerken umfassend gewährleisten soll. Als erstes Produkt der Reihe ist jetzt FireWall-1 GX verfügbar, eine Lösung für den Schutz von Kommunikation, Transaktionen und Roaming zwischen Mobilfunk-Netzbetreibern.

Biometrische Verfahren auf dem Prüfstand. Biometrische Erkennungssysteme sollen die Verbrechensbekämpfung unterstützen oder die Geheimzahl am Bankautomaten ersetzen. Doch die Technik produziert viele Fehler und ihr tatsächlicher Nutzen bleibt umstritten. Auch datenschutzrechtliche Bedenken sind noch immer nicht geklärt, so das Computermagazin c't in seiner aktuellen Ausgabe 5/02.

Soll Heim- und kleinere Büro-Netzwerke vor Angreifern schützen. Zum Schutz von Heim- und kleineren Büro-Netzwerken bietet Zyxel Deutschland eine günstige Hardware-Firewall namens "ZyWALL 1". Das Gerät wird per 10-MBit-Ethernet-Schnittstelle ans WAN- bzw. DSL-Netz angeschlossen; der integrierte Switch mit DHCP-Server bietet vier 10/100-Mbit-Fast-Ethernet-Schnittstellen.

Mehrere Versionen des Internet Explorer und SQL-Server von Problemen betroffen. Microsoft selbst informierte jetzt wieder über drei Sicherheitslücken in Redmondscher Software. Zwei Sicherheitslecks in zahlreichen Internet-Explorer-Versionen erlauben das Auslesen lokaler Dateien, während eine weitere Sicherheitslücke im SQL-Server gefunden wurde. Für alle Probleme bietet Microsoft bereits passende Patches zum Download an.

Hamburger Datenschutzbeauftragte mit konkreten Einstellungsempfehlungen. Der Hamburger Datenschutzbeauftragte Dr. Hans-Hermann Schrader hat eine neue Broschüre zum Datenschutz bei Windows 2000 herausgegeben. Die Broschüre zeigt die zentralen sicherheitsrelevanten Aspekte des Betriebssystems für IT-Entscheidungsträger, Administratoren, betriebliche Datenschutzbeauftragte sowie für Personal- und Betriebsräte auf. Außerdem werden konkrete Empfehlungen zur datenschutzgerechten Konfiguration gegeben.

Mobiles Büro auf GPRS- und Bluetooth-Basis. Red-M zeigt auf der diesjährigen CeBIT Sicherheitsapplikationen für Bluetooth-Netzwerke sowie für drahtlose konvergente Netze. Außerdem will man eine portable Bürolösung auf Bluetooth-Basis vorstellen. Zu sehen ist das Leistungspaket, das auf den Bluetooth-Produkten von Red-M basiert, auf den Ständen der beiden Partner SRC Security Research & Consulting GmbH und Fujitsu Siemens Computers.

stern: US-Angriffsziele auf CD in einem Notebook vergessen. Im europäischen Hauptquartier der US-Streitkräfte, dem "US European Command" in Stuttgart, gibt es offenbar Mängel im Umgang mit militärischen Geheimnissen. Wie das Hamburger Magazin stern in seiner neuen Ausgabe berichtet, gelangte eine von dem US-Hauptquartier erstellte CD der Geheimhaltungsstufe "Nato Secret" an die Öffentlichkeit, die 53 potenzielle Angriffsziele in Bosnien, Serbien und Montenegro detailliert beschreibt.

Yarner-Wurm löscht Betriebssystem-Partition; kostenloses Lösch-Tool erhältlich. Ein bösartiger Zeitgenosse verschickt seit kurzem einen gefälschten E-Mail-Newsletter von trojaner-info.de unter einem ebenfalls gefälschten Absender. An den vermeintlichen Newsletter ist eine Datei angehängt, in der ein gefährlicher Wurm namens Yarner steckt, der sich wiederum als Software-Update ausgibt. Die Öffnung des Dateianhangs löscht etliche Daten von der Festplatte. BitDefender bietet bereits ein kostenloses Tool zum Löschen des Yarner-Wurms per Download an.

Vermeintliches Sicherheitsloch sei keine Neuheit und damit unwahr. Nachdem am Freitag bekannt wurde, dass in den neuen .NET-Compilern von Microsoft ein Sicherheitsleck enthalten sein soll, wehrt sich Microsoft nun energisch auf sehr ungewöhnliche Weise gegen diese Behauptung. Nach Ansicht von Microsoft enthält der Compiler in Visual C++ .NET dieses kolportierte Sicherheitsleck nicht und "arbeitet korrekt".

Enthält zusätzlich AntiVirus für PalmOS und Datenwiederherstellungs-Funktionen. Symantec bietet jetzt auch die Professional-Variante von Norton AntiVirus 2002 an, die zusätzlich zu der normalen Version auch einen Virenscanner für PalmOS und eine Dateirestaurierung enthält. Ansonsten entspricht der Leistungsumfang der Professional-Stufe dem normalen Norton AntiVirus 2002.

Angreifer können in kompilierten Programmen einen Buffer Overflow erzeugen. Nach Erkenntnissen des amerikanischen Sicherheitsunternehmens Cigital stellen die Compiler des jüngst vorgestellten Visual C++ .NET und Visual C++ Version 7 von Microsoft ein Sicherheitsrisiko dar. Damit geschriebene Programme können leicht ein Sicherheitsleck enthalten, das Angreifer ausnutzen können, um einen Buffer Overflow zu erzeugen.

E-Mail-Header werden von Outlook und Outlook Express falsch interpretiert. Wie jetzt bekannt wurde, steckt in zahlreichen Versionen von Microsoft Outlook eine fehlerhafte Interpretation der Message Header (Nachrichtenkopf) von E-Mails. So kann ein Carriage Return von MS Outlook fälschlicherweise als Carriage Return mit Line Feed verstanden werden, womit Virenscanner getäuscht und umgangen werden können. Das berichtet der niederländische Sicherheitsexperte Valentijn Sessink von Open Office, da bereits ein Wurm aufgetaucht ist, der ein ähnliches Sicherheitsloch ausnutzt.

Seit zwei Tagen Patch verfügbar, der das Problem behebt. Im Internet tauchte gestern ein neuer Wurm auf, der sich über den MSN Messenger verbreitet und dazu eine Sicherheitslücke im Internet Explorer ausnutzt, die seit zwei Monaten bekannt ist. Seit zwei Tagen bietet Microsoft einen Patch an, um diese Sicherheitslücke zu stopfen. Allerdings scheinen viele Anwender diesen nicht installiert zu haben, weil der Wurm sich recht stark verbreitet hat.

Zahlreiche Produkte verschiedener Hersteller betroffen. Wie das CERT jüngst berichtet, wurden einige Sicherheitslöcher im Network Management Protocol (SNMP) entdeckt, die es Angreifern unter anderem erlauben, Denial-of-Service-(DoS-)Attacken auszuführen oder unberechtigt auf Daten zuzugreifen. Die Sicherheitslücken sollen zahlreiche Produkte verschiedener Hersteller betreffen.

Bugfix-Sammlung soll sechs Sicherheitslöcher im Microsoft-Browser beheben. Microsoft bietet ab sofort ein so genanntes Security Update für den Internet Explorer an, das sechs Sicherheitslöcher in dem Browser stopfen soll. Darunter auch das jüngst wieder entdeckte Problem im Zuammenhang mit dem MSN Messenger. Eine deutsche Version steht ebenfalls bereits zum Download bereit.

Sicherheitsloch im Internet Explorer weiterhin nicht gestopft. Die Sicherheits-Mailingliste Bugtraq vermeldet eine Sicherheitslücke im Zusammenhang mit dem MSN Messenger und dem Internet Explorer. Darüber erlangen Angreifer Kontrolle über den gesamten MSN Messenger und können so auch die Kontaktdaten ausspionieren. Das Sicherheitsloch steckt dabei im Internet Explorer und ist seit knapp zwei Monaten bekannt. Bislang war Microsoft nicht in der Lage, einen entsprechenden Bugfix bereitzustellen.

Angreifer können gezielt Office-Applikationen beenden und so Daten löschen. Microsoft bietet ab sofort einen Patch gegen eine jüngst entdeckte Sicherheitslücke in MS Office v. X an, dem aktuellen Office-Paket für MacOS. Das Sicherheitsloch kann es Angreifern ermöglichen, Daten auf dem betreffenden System zu zerstören.

Auch fremde Websites könnten Kontaktliste und E-Mail-Adressen abrufen. Der MSN Messenger und der Windows Messenger unter XP haben nach Ansicht des Sicherheitsexperten Richard Burton eine gravierende Sicherheitslücke, mit der es möglich ist, über eine Website persönliche Informationen über die User abzurufen.

Internetsicherheit für SOHOs - Check Point startet neue Produktlinie. Check Point Software Technologies präsentiert eine neue Produktlinie, die kleinen bis mittleren Unternehmen sowie Firmenniederlassungen und Heimbüros maßgeschneiderte Internetsicherheitslösungen bieten soll. Safe@Home Pro, Safe@Office und VPN-1/FireWall-1 SmallOffice Next Generation sollen sich durch eine einfache Implementierung auszeichnen und sich nahtlos in unterschiedlichste Umgebungen einfügen.

Sicherheitsloch gestattet Angreifern das Ausführen beliebigen Programmcodes. Der RealPlayer enthält in zahlreichen Versionen eine Sicherheitslücke, die es Angreifern ermöglicht, beliebigen Programmcode auf einem fremden Rechner auszuführen. Real stellt Patches für den RealPlayer zum Download bereit, wodurch dieses Sicherheitsloch gestopft sein soll.

Produktkriterien für das Schleswig-Holsteiner Gütesiegel veröffentlicht. Das Unabhängige Landeszentrum für Datenschutz (ULD) Schleswig-Holstein hat die Unterlagen für Anträge auf die Zertifizierung von IT-Produkten sowie die Namen der ersten drei anerkannten Gutachter veröffentlicht. Das schleswig-holsteinische Datenschutzrecht bietet Herstellern und Vertriebsfirmen von IT-Produkten die Möglichkeit, ihr Produkt mit einem Gütesiegel auszeichnen zu lassen.

EPIC: Offener Brief an Generalstaatsanwälte der US-Bundesstaaten. In einem offenen Brief an die Generalstaatsanwälte der US-Bundesstaaten fordert die Electronic Privacy Information Center (EPIC) diese auf, gegen Microsofts Passport-Dienst sowie damit zusammenhängende Dienste wie "Wallet," "Kids Passport," "Hailstorm," und die ".Net Services" vorzugehen. Diese Systeme würden in unfairer und trügerischer Weise persönliche Informationen sammeln.

Patch soll Leseprobleme und den Verlust von Daten beheben. Microsoft bietet ab sofort einen Patch an, der zahlreiche Probleme in den CD-Brennfunktionen von Windows XP beheben soll. Offenbar verursacht die in Windows XP integrierte Brennfunktion unter verschiedenen Umständen gehörige Schwierigkeiten.

Patch-Sammlung enthält alle Sicherheits-Bugfixes seit dem SP2 für Windows 2000. Microsoft bietet ab sofort eine Sammlung aller Sicherheits-Patches an, die nach dem Service Pack 2 (SP2) für Windows 2000 erschienen sind. Microsoft bezeichnet das Update-Paket als "Windows 2000 Security Roll-up Package" und bietet auch bereits eine deutschsprachige Version zum Download an.

Verseuchte E-Mail trägt eine gefälschte Absenderadresse von Microsoft. Wie Symantec, ein Hersteller von Anti-Viren-Software, berichtet, verbreitet sich seit kurzem ein Mail-Wurm mit der Bezeichnung W32.Whitebait@mm sehr stark, indem er sich über IRC und E-Mail versendet. Um möglichst viele Adressaten zu erreichen, durchforstet der Wurm perfiderweise zahlreiche lokale Dateien nach E-Mail-Adressen. Das Outlook-Adressbuch beachtet er dabei gar nicht und enthält auch keine Schadroutine.