Man-in-the-Middle

Jeder EU-Bürger kann in Deutschland eine eID-Karte beantragen. Das soll auch mit gestohlenen Ausweisen möglich sein, weil viele Ämter nicht richtig prüfen.

Angreifer verbreiten über eine Sicherheitslücke im Updater von Notepad++ Malware. Der Entwickler warnt und rät zum Update - aber besser von Hand.

Den Start macht Cloudflare mit seiner eigenen API. Entwickler müssen ihre Anwendungen gegebenenfalls aktualisieren, um Ausfälle zu vermeiden.

Eine der Sicherheitslücken besteht schon seit Ende 2014 und lässt Angreifer SSH-Sitzungen kapern. Die andere Lücke führt Ausfälle herbei.

Ein Man-in-the-Middle-Angreifer kann die Ablehnung einer Authentifizierungsanfrage von einem Radius-Server in eine Annahme umwandeln - mit weitreichenden Folgen.

In einem Video zeigen zwei Forscher, wie sich Tesla-Autos durch Phishing-Angriffe übernehmen lassen. Laut Tesla ist das demonstrierte Verhalten wohl "beabsichtigt".

Das BSI warnt in diesem Zuge, es seien weiterführende Angriffe möglich, etwa durch gefälschte, aber signierte Versionen der Anydesk-Software.

Das ermöglicht eine Schwachstelle in einer iOS-App, über die Leistungsberechnungen für Flugzeugstarts ausgetauscht werden.

Allein in Deutschland gibt es mehr als eine Million über das Internet erreichbare SSH-Server, die nicht gegen Terrapin gepatcht sind.

Ein Angriff kann wohl zur Verwendung weniger sicherer Authentifizierungsalgorithmen führen. Betroffen sind viele gängige SSH-Implementierungen.

Potenziell Milliarden von Smartphones, Laptops, Tablets und anderer Bluetooth-Geräte sind anfällig für eine neue Angriffstechnik namens Bluffs.

Forscher konnten die Anmeldung per Fingerabdruck an Windows Hello auf drei Notebooks namhafter Hersteller umgehen - im Auftrag von Microsoft.

Die EU will Browser zur Nutzung möglicherweise unsicherer staatlicher Zertifikate zwingen. Sicherheitsexperten befürchten Spionagemöglichkeiten.

Ein noch unbekannter Angreifer konnte wohl über Monate den Datenverkehr des russischen Messaging-Dienstes jabber.ru abhören und manipulieren.

Intellexa hat die jüngst von Apple gepatchten Schwachstellen in iOS ausgenutzt, um eine Zero-Day-Exploit-Kette für iPhones zu entwickeln.

Update Die smarte Glühbirne TP-Link Tapo L530E gehört zu den Bestsellern auf Amazon. Für die Sicherheit heimischer WLANs ist sie aber ein Problem.

Zugangspunkte öffentlicher WLAN-Netze lassen sich leicht fälschen. Mit Snappy haben Anwender jedoch eine Chance, dies zu erkennen.

Millionen von Entwicklern könnten bald MITM-Angriffen ausgesetzt sein, denn Github muss kurzfristig seinen SSH-Host-Key austauschen.

Tesla sucht einen Ermittler mit Geheimdiensterfahrung für die Fabrik in Grünheide. Medien befürchten, dass Missstände nicht mehr aufgedeckt werden.

Wie kommen Domain-Inhaber ohne HTTPS über sichere Verbindungen an ein TLS-Zertifikat? Für dieses Problem bietet Let's Encrypt nun eine Lösung.

Mozilla und Microsoft entziehen der CA Trustcor Systems ihr Vertrauen. Das Unternehmen steht offenbar einem Spyware- und Abhörunternehmen nahe.

Der Traffic für Twitter ist wohl kurzzeitig in Russland gelandet statt bei Twitter. Ob der BGP-Hijack ein Fehler war, ist nicht bekannt.

Mit der gestarteten eigenen CA kann der russische Staat Sanktionen umgehen. Möglich wären aber auch großangelegte MITM-Angriffe auf HTTPS.

Wer an Olympia 2022 in China teilnimmt, muss die App MY2022 nutzen. Die hat allerdings Sicherheitsprobleme.

Update Selbst die Kritik der Parteichefin Esken hat die SPD-Fraktion nicht umstimmen können. Zusammen mit der Union beschließt sie den Staatstrojaner-Einsatz.

Die großen Browser-Hersteller blockieren ein Zertifikat der kasachischen Regierung. Das ist bereits der dritte HTTPS-Überwachungsversuch.

In einem dritten Anlauf versucht die kasachische Regierung erneut, ein Root-Zertifikat zur Überwachung von HTTPS-Verbindungen zu verteilen.

Update Das Innenministerium will weiterhin Ende-zu-Ende-Verschlüsselung fördern. Ermittler sollen "möglichst gering" in die Systeme eingreifen.

Mit einer Blurtooth genannten Sicherheitslücke lassen sich unter bestimmten Bedingungen die Schlüssel einer Bluetooth-Verbindung austauschen.

Mit der Visa-Karte kontaktlos ohne PIN-Abfrage bezahlen: Forscher fanden eine Methode, um die Authentifizierung auch bei größeren Beträgen zu umgehen.

Unbekannte haben fast ein Viertel aller Tor-Exit-Nodes betrieben, um Bitcoin-Adressen auszutauschen. Die Angriffe könnten weitergehen.

Amnesty International hat die Überwachung von mehreren Journalisten mit der NSO-Spyware Pegasus aufgedeckt.

Eine gravierende Sicherheitslücke in GnuTLS führt dazu, dass TLS-1.2-Verbindungen nachträglich entschlüsselt werden können.

Von wegen Datenspende per Smartphone-App: Das RKI hat sich laut CCC direkten Zugriff auf die Fitnessdaten der Nutzer bei den Anbietern verschafft.

Update Bei der Entwicklung einer App, mit der Patienten ihre Covid-19-Testergebnisse abrufen können, wurde wenig Wert auf Sicherheit gelegt.

Das Entwicklerteam von Googles Chrome will künftig alle unsicheren Downloads in dem Browser blockieren. Die Umsetzung soll schrittweise für unterschiedliche Dateiformate verteilt werden.

Das umfangreiche Erheben von Telemetriedaten in Windows 10 lässt sich tatsächlich komplett ausschalten - ein Team unter der Führung des bayerischen Landesdatenschutzbeauftragten hat dies im Labor überprüft. Allerdings gilt das nur für die Enterprise-Version.