Man-in-the-Middle-Attacke
-
HTTPS: Private Schlüssel auf dem Webserver
Zu einem Zertifikat für verschlüsselte HTTPS-Verbindungen gehört ein privater Schlüssel. Doch was, wenn der Schlüssel auf dem Webserver landet - und dann nicht mehr privat ist? Wir fanden zahlreiche Webseiten, die ihren privaten Schlüssel zum Herunterladen anbieten.
Von Hanno Böck -
OSCI-Transport: Schwachstellen könnten Behördenkommunikation gefährden
Zwei Schwachstellen in einem Programm der öffentlichen Verwaltung können unter Umständen dazu genutzt werden, die rechtssichere Signatur und Verschlüsselung von Behördenkommunikation zu umgehen. Ein Patch steht zwar zur Verfügung, wird aber nur langsam eingespielt.
-
Checker ATM Security: Sicherheitslücke ermöglicht Übernahme von Geldautomaten
Eine Sicherheitslücke in einer Sicherheitslösung für Geldautomaten konnte von Angreifern ausgenutzt werden, um illegal Geld auszuzahlen. Der Hersteller beschwichtigt und hat einen Patch bereitgestellt.
-
TLS-Interception: Sophos-Firewall wird von Chrome-Änderung überrascht
Nutzer, die den Chrome-Browser hinter einer Firewall von Sophos nutzen, sehen zurzeit nur Zertifikatswarnungen. Die neue Chrome-Version ignoriert den sogenannten CommonName, der schon seit 17 Jahren als veraltet gilt.
-
Trutzbox Apu 2 im Test: Gute Privacy-Box mit kleiner Basteleinlage
Auch die zweite Version der Trutzbox überzeugt im Test - selbst wenn wir Kleinigkeiten bei der Einrichtung zu bemängeln haben. Letztlich ist das Gerät ein umfassender Heimserver mit einfacher Konfiguration. Für das WLAN müssen die Nutzer Hand anlegen.
Ein Test von Hauke Gierow -
HTTPS: US-Cert warnt vor Man-In-The-Middle-Boxen
Wer HTTPS-Verbindungen aufmacht, schadet der Sicherheit der Nutzer. Dieser Ansicht ist Forschern zufolge jetzt auch das US-Cert und fordert Unternehmen auf, verwendete Geräte zu testen.
-
Confide: "Military Grade Encryption" scheitert kläglich
Ein Messenger namens Confide scheint vor allem bei Mitarbeitern des Weißen Hauses beliebt zu sein. Dabei ist das Protokoll alles andere als sicher und der Confide-Server verriet zeitweise die Daten aller Nutzer.
-
Chrome: Bluecoat bremst Einführung von besserem TLS-Protokoll
Die Entwickler von Chrome wollten eine Vorabversion von TLS 1.3 ausliefern - und mussten sie kurz danach wieder deaktivieren. Schuld daran sind fehlerhafte Bluecoat-Geräte.
-
Chrome: Google zahlt 20 Millionen US-Dollar für Anti-Malware-Patente
Auch für Google sind 20 Millionen Dollar nicht wenig Geld. Ein US-Gericht verurteilte das Unternehmen zur Zahlung dieser Summe, weil es Patente zur Sicherung vor Malware im Chrome-Browser unrechtmäßig verwendet haben soll.
-
HTTPS-Interception: Sicherheitsprodukte gefährden HTTPS
Zahlreiche Sicherheitsprodukte erlauben es, mittels lokal installierter Root-Zertifikate HTTPS-Verbindungen aufzubrechen. In einer Untersuchung sorgten alle getesteten Produkte für weniger Sicherheit. In vielen Fällen gibt es katastrophale Sicherheitslücken.
Von Hanno Böck -
Protonmail: Die halbe Verschlüsselung
Protonmail bezeichnet sich als sicherster E-Mail-Dienst der Welt. In der Praxis zeigt sich, dass der Dienst zwar durchaus durchdacht ist, aber mangels vollständiger PGP-Kompatibilität eine Insellösung bleibt.
Ein Praxistest von Hauke Gierow -
Mozilla: Firefox 51 warnt vor unsicheren Webinhalten
Die aktuelle Version 51 des Firefox-Browsers warnt vor unverschlüsselt übertragenen Logins und vor kaputten Zertifikaten mit SHA-1-Signatur sowie jenen von Wosign und Startcom. Der Browser nutzt außerdem WebGL 2 und ermöglicht eine bessere Videowiedergabe ohne GPU.
-
Anonymität: Ultraschall-Tracking kann Tor-Nutzer deanonymisieren
33C3 Forschern ist es gelungen, Tor-Nutzer mit Hilfe von Cross-Device-Tracking via Ultraschall zu identifizieren. In einem Livetest zeigten sie, wie auch staatliche Angreifer die Infrastruktur der Werbefirmen nutzen können.
-
Reverse Engineering: Mehr Spaß mit Amazons Dash-Button
33C3 In beeindruckender Feinarbeit hat ein Hacker die Hard- und Software von Amazons Dash-Button auseinandergenommen, um zu verstehen, wie das Gerät funktioniert. Sein Lohn: die Ausführung von Code auf dem Gerät. Warum? Weil es geht!
Von Hauke Gierow -
Sicherheitslücke: Kaspersky schlampt bei TLS-Zertifikatsprüfung
Die Antivirensoftware von Kaspersky liest bei TLS-Verbindungen mit und sorgt nebenbei dafür, dass die Zertifikatsprüfung ausgehebelt wird. Wieder einmal konnte Tavis Ormandy von Google damit zeigen, wie löchrig sogenannte Sicherheitssoftware ist.
-
Console Hacking: Der Weg zu Steam auf der PS4
33C3 Die Playstation 4 ist alles andere als ein PC - dank eines ARM-SoC, das viele, aber nicht alle PC-Komponenten simuliert. Diese Doppelarchitektur und viele bis dato nicht gesehene Designentscheidungen erschweren die Analyse des Systems.
-
Sicherheitslücke bei Routern: Netgear liefert erste finale Firmware-Updates
Nach der schwerwiegenden Sicherheitslücke stellt Netgear erste Updates zur Verfügung. Für sieben betroffene Router liegen weiterhin nur Beta-Versionen vor.
-
Webserver angreifbar: Große Sicherheitslücke in Netgear-Routern
Zahlreiche Netgear-Router sind über manipulierte Webseiten angreifbar. Das Unternehmen hat für verschiedene Modelle bereits eine Beta-Firmware zum Patchen bereitgestellt.
-
Urteil zu Sofortüberweisung: OLG empfiehlt Verbrauchern Einkauf im Ladengeschäft
Im Streit über die Zulässigkeit kostenloser Zahlungsangebote haben Verbraucherschützer eine Niederlage vor Gericht erlitten. Das OLG Frankfurt empfiehlt den Nutzern, zur Vermeidung von Datenmissbrauch im stationären Handel einzukaufen.
-
Android-Backdoor: Schwere Sicherheitslücke in China-Handys entdeckt
In der Firmware chinesischer Billig-Handys haben Sicherheitsexperten erstaunliche Lücken entdeckt. Selbst ohne ausgefeilte Angriffsmethoden hätten Millionen Android-Handys gehackt werden können.
-
Single Sign-on: Eine Milliarde Accounts für Hijacking anfällig
Single Sign-on ist praktisch, wird aber oft falsch implementiert. Sicherheitsforscher haben demonstriert, welche Fehler App-Entwickler dabei machen. Mehrere hundert Apps machten dabei Probleme.
-
Datenschutz: Windows 10 könnte Arbeitnehmer unzulässig überwachen
Mit Windows 10 will Microsoft im großen Stil an Nutzerdaten gelangen. Der Einsatz in Büros könnte daher aus rechtlichen Gründen unerlaubt sein. So sendet der Defender eine Liste aller installierten Programme in die Cloud.
-
Commerzbank und Deutsche Bank: Forscher zeigen Angriff auf Photo-Tan-Verfahren
Das Photo-Tan-Verfahren sollte ursprünglich als zweiter Faktor Überweisungen absichern. Weil das nicht mehr geschieht, und die Banken nachlässig programmierte Apps entwickeln, ist das Verfahren angreifbar.
-
Schleuder: Wie verschlüsselt man eine Mailingliste?
E-Mails zu verschlüsseln gilt schon als kompliziert, doch wie verschlüsselt man eigentlich eine ganze Mailingliste? Das Tool Schleuder soll das ermöglichen, allerdings kann der Server dabei Nachrichten mitlesen.
-
Sicherheit: Hacker knacken 12 von 16 Smartlocks
Zwei Hacker haben drei Viertel der von ihnen untersuchten Bluetooth-Smartlocks knacken können - mit stellenweise haarsträubend einfachen Mitteln. Die Reaktion der Hersteller zeugt nicht von großem Interesse, an den Problemen etwas ändern zu wollen.
-
Anonymes Dokument: Angriffe auf den FreeBSD-Update-Prozess
Ein anonymes Dokument beschreibt detailliert Sicherheitslücken im FreeBSD-Update-System. Betroffen sind Portsnap, Libarchive und Bspatch. Fixes gibt es bislang nur für wenige der Bugs. Möglicherweise existieren ähnliche Angriffe auch auf Linux-Systemen.
-
HEIST: Timing- und Kompressionsangriff auf TLS
Black Hat 2016 Durch die geschickte Kombination eines Timing-Angriffs in Javascript und der bereits bekannten Breach-Attacke ist es möglich, Geheimnisse in TLS-Verbindungen zu entschlüsseln. Anders als früher ist dafür kein Man-in-the-Middle-Angriff nötig.
-
STARTTLS: Keine Verschlüsselung mit der SPD
Der Mailanbieter Posteo hat die Möglichkeit eingeführt, E-Mails nur noch zu verschicken, wenn der Zielserver die STARTTLS-Verschlüsselung anbietet. Dabei fielen einige Mailserver auf, die den längst etablierten Verschlüsselungsstandard nicht unterstützen.
-
Spähsoftware: Maxthon-Browser sendet kritische Daten nach China
Forscher haben entdeckt, dass der alternative Browser Maxthon sicherheitsrelevante Nutzerdaten an einen Server in Peking sendet. Die Daten ließen sich hervorragend für gezielte Angriffe nutzen. Und sie sind nur schlecht gegen Dritte abgesichert.
-
Android Nougat: Google will vor Ransomware und Zertifikatsspionage schützen
In der kommenden Android-Version will Google mit einer umstrittenen Maßnahme verhindern, dass verschlüsselte Daten von Angreifern mitgelesen werden. Außerdem soll das Betriebssystem vor Erpressungstrojanern schützen.
Von Hauke Gierow -
Verschlüsselung: Sicherheitslücke bei Start Encrypt
Sicherheitsforscher haben im Client der Let's Encrypt-Alternative Start Encrypt zahlreiche Probleme gefunden, die die Ausstellung gültiger Zertifikate für beliebige URLs ermöglichte. Der Client hatte zudem zahlreiche weitere Probleme, die jetzt behoben sein sollen.
-
Überwachung : Google sammelt Telefonprotokolle von Android-Geräten
Google lässt sich in seiner Datenschutzerklärung das Recht einräumen, Metadaten beim Telefonieren und beim SMS-Versand zu speichern. Der ehemalige Bundesdatenschutzbeauftragte Peter Schaar kritisiert das Unternehmen. Mittlerweile hat Google Stellung genommen.
Von Hauke Gierow -
IT und Energiewende : Fragen und Antworten zu intelligenten Stromzählern
Die große Koalition regelt den Einbau von elektronischen und vernetzten Stromzählern neu. Golem.de beantwortet die wichtigsten Fragen, die Verbraucher und Solaranlagenbetreiber betreffen.
-
E-Mail-Verschlüsselung: EU-Kommission hat Angst vor verschlüsseltem Spam
PGP ist sicher, aber in der Handhabung oft kompliziert, gerade in größeren Unternehmen. Die EU-Kommission will die Technik in einem Pilotprojekt für alle Mitarbeiter einführen. Eine Angst geht dabei um: die vor verschlüsselten Spammails.
Ein Bericht von Jan Weisensee -
Sicherheitslücke: Netgear verwendet hartcodierte Schlüssel
Ein Routermodell von Netgear weist eine gravierende Schwachstelle auf: Auf dem Gerät befinden sich ein hartcodierter Verschlüsselungskey und ein Zertifikat, die von Angreifern missbraucht werden können. Für das Update braucht Netgear mehr als sechs Monate.
-
Unsicheres WLAN: Forscher hacken Alarmanlage von Mitsubishi-Jeep
Vernetzte Autos werden immer anfälliger für Hackerangriffe. In einem aktuellen Beispiel gelang es Forschern, die Alarmanlage eines Mitsubishi-SUVs zu deaktivieren. Der Hersteller reagierte erst, nachdem sich Medien einschalteten und arbeitet daran, die Sicherheitslücke zu schließen.
-
Sicherheitslücke: Lenovo rät zur Deinstallation vorinstallierter Anwendung
Der Computerhersteller Lenovo warnt vor einer Sicherheitslücke in einer Anwendung, die auf Windows-10-Rechnern vorinstalliert ist. Die Accelerator App soll den Start anderer vorinstallierter Lenovo-Anwendungen beschleunigen.
-
Fraunhofer Studie: Sicherheitslücken in fast allen Smartphone-Virenscannern
Fast alle Antiviren-Apps für Smartphones haben Fehler, stellt eine neue Studie fest. Eine App von Kaspersky soll sogar mit Malware infizierte Werbung heruntergeladen haben. Die meisten Hersteller haben die Lücken mittlerweile gepatcht.
-
Überwachung : Aufregung um Intermediate-Zertifikat für Bluecoat
Kritiker sprechen von unbegrenzten Überwachungsmöglichkeiten, Symantec und Bluecoat von internen Tests: Dass Bluecoat mit einem neuen TLS-Zertifikat faktisch als Zertifikatsausgabestelle handeln kann, sorgt für Diskussionen.
-
Betriebssystem-Statistik: Windows XP ist weiter verbreitet als Windows 8.1
Das dritthäufigste Desktop-Betriebssystem? Windows XP! Das veraltete und unsichere Betriebssystem kommt aktuellen Zahlen zufolge immer noch häufig zum Einsatz. Windows 10 belegt den zweiten Platz.
-
Security: Drown gefährdet weiterhin zahlreiche Webdienste
Wie schnell patchen Serverbetreiber die Drown-Sicherheitslücke? Offenbar zu langsam, sagen mehrere Sicherheitsfirmen. Bei Heartbleed lief es deutlich besser.
-
Drown-Angrifff: Ein Drittel der HTTPS-Server angreifbar
Kein moderner Browser unterstützt das alte SSL-Protokoll Version 2. Trotzdem kann es zum Sicherheitsrisiko werden, solange Server es aus Kompatibilitätsgründen unterstützen. Es muss nicht einmal derselbe Server sein.
Von Hanno Böck -
Sparkle-Installer: Gatekeeper-Sicherung für Macs lässt sich umgehen
Viele App-Entwickler für Mac nutzen das Sparkle-Framwork für praktische Auto-Updates - und machen damit zahlreiche Mac-Programme angreifbar. Betroffen sind nicht nur VLC und uTorrent.
-
Captive Portals: Ein Workaround, der bald nicht mehr funktionieren wird
Sogenannte Captive Portals, Vorschaltseiten, die in vielen WLANs zum Einsatz kommen, sind ein fragwürdiger Hack, der bald zu technischen Problemen führen wird. Trotzdem will die Bundesregierung ihnen jetzt Gesetzesrang verschaffen.
-
12345678: Lenovos Shareit-App verwendet unsicheres Standardkennwort
Lenovos Chef kündigte zwar im Interview vor einigen Wochen an, künftig sichere Software einsetzen zu wollen - im Fall eines Programms zur Dateiübertragung funktioniert das jedoch noch nicht besonders gut.
-
Man-In-The-Middle-Angriff: Schwachstelle in Intels Driver Update Utility
Treiber-Updates sollen einen Rechner sicherer machen, nicht verwundbarer. Im Fall von Intels Treiber-Update-Programm ist das leider misslungen - eine Schwachstelle ermöglicht es Angreifern, bösartigen Code auf dem Rechner der Nutzer auszuführen.
-
Firefox: Mozilla schmeißt SHA 1 raus - und gleich wieder rein
Das Ende von SHA 1 naht - doch jetzt gibt es einen Rückschritt beim Abschied von dem alten Algorithmus. Weil es in Firmennetzwerken Probleme mit TLS-Man-In-The-Middle-Proxys wie Antivirenscannern und Firewalls gibt, hat Mozilla die Zertifikate wieder aktiviert - vorerst.
-
Support-Scam: Dell-Nutzer werden mit falschen Support-Anrufen belästigt
Gefälschte Support-Anrufe sind ein großes Ärgernis für viele PC-Nutzer. Jetzt gibt es eine neue Masche, die gezielt Dell-Nutzer anspricht. Möglicherweise hängen die Anrufe mit den von Dell im vergangenen Jahr installierten SSL-Zertifikaten zusammen.
-
CMS: Kritische Lücken im Update-Prozess von Drupal
Die automatischen Updates von Drupal können so manipuliert werden, dass recht leicht Malware eingeschleust werden kann. Bekannt ist dies wohl schon seit Jahren, Lösungen dafür werden nun erneut diskutiert.
-
MD5/SHA1: Sloth-Angriffe nutzen alte Hash-Algorithmen aus
Neue Angriffe gegen TLS: Krypto-Forscher präsentieren mit Sloth mehrere Schwächen in TLS-Implementierungen und im Protokoll selbst. Am kritischsten ist ein Angriff auf Client-Authentifizierungen mit RSA und MD5.
-
Update für Real Racing 3EA verärgert einige Spieler mit Werbeeinblendungen
Mit dem neuen Update für Real Racing 3 verärgert Electronic Arts einige Stammspieler, da EA nun an vielen Stellen Google Ads einblendet. Darüber dürften auch die Werbetreibenden verärgert sein, da die Banner mitunter nicht funktionieren. Wir konnten sie jedoch mit einem In-App-Einkauf loswerden.
(Real Racing 3) -
AppleDigitale Geldbörse in iPhone 6 macht offenbar Fortschritte
Apple soll Visa, Mastercard und American Express für sein digitales Portemonnaie im iPhone 6 gewonnen haben. Die NFC-Partnerschaft für mobiles Bezahlen werde zusammen mit den neuen Smartphones am 9. September 2014 vorgestellt.
(Iphone 6) -
Devolo Home ControlSmarthome-Paket mit Z-Wave-Funktechnik
In Kürze will Devolo für Endkunden auch ein Smarthome-Paket anbieten. Von Heizkörpern über Bewegungs- und Rauchmelder bis hin zu anklebbaren physischen Lichtschaltern kann sich der Interessent sein Smarthome selbst zusammenbauen. Auch für eine eventuelle Zigbee-Unterstützung ist das System vorbereitet.
(Devolo) -
Bash-LückeDie Hintergründe zu Shellshock
Inzwischen wird die Bash-Sicherheitslücke Shellshock zur Verbreitung von Malware ausgenutzt. Die erste Korrektur war offenbar unvollständig. Wir haben die wichtigsten Hintergründe zu Shellshock zusammengefasst.
(Shellshock) -
Test Dragon Age InquisitionGrand Theft Fantasy
Eine riesige Welt, Massen an Nebenmissionen und viel Freiheit: Für Inquisition hat sich Bioware bei so gut wie allen bekannten Openworld-Spielen bedient - und zum Glück trotzdem ein echtes und durchaus komplexes Dragon Age abgeliefert.
(Dragon Age Inquisition Test) -
Vodafone All-in-OneBündelangebot mit LTE, 100 MBit/s und TV für 60 Euro
Vodafone und seine Tochter Kabel Deutschland haben das erste gemeinsame Produktangebot zusammengestellt. Es bündelt LTE und TV-Kabelnetz. Der Preis von 60 Euro gilt aber nur im ersten Jahr.
(Vodafone)
Man-in-the-MiddleE-Mail an news@golem.de