Man-in-the-Middle

Bei einem Scan des Internets hat sich herausgestellt, dass Hunderttausende von Geräten denselben SSH-Schlüssel nutzen. Teilweise liegt das an Fehlern, teilweise an fragwürdigen Konfigurationsentscheidungen.

Das NTP-Protokoll, mit dem man die Systemzeit über das Internet stellen kann, bietet keine sichere Authentifizierung und ist anfällig für Man-in-the-Middle-Angriffe. Von OpenBSD kommt jetzt eine Lösung für dieses Problem - eine Kombination aus NTP und HTTPS zum sicheren Stellen der Uhrzeit.

In den vergangenen Monaten häuften sich Berichte über den Einsatz von Imsi-Catchern in den USA. Die US-Bundespolizei FBI räumte ein, die Geräte häufig ohne richterlichen Beschluss zu benutzen.

Eine Google-Managerin hat nicht schlecht gestaunt, als ihr im Flugzeug ein falsches SSL-Zertifikat für Youtube angeboten worden ist. Provider Gogo begründet dies mit Traffic-Management.

Update 31C3 Selbstverteidigung mit einer App: Security Research Labs hat eine App für Android veröffentlicht, die Angriffe auf das eigene Telefon erkennen kann. Die Anwendung gibt es kostenlos im Play Store, doch für die Installation braucht es einen populären Chipsatz.

Das Paket Kaspersky Internet Security kann auch bei Browsern, die unsichere Verbindungen per SSLv3 nicht unterstützen, das veraltete Protokoll dennoch aktivieren. Patchen will das der Hersteller erst 2015, es gibt aber schon jetzt eine einfache Lösung.

Die Poodle-Sicherheitslücke offenbarte eine Schwäche in der alten SSL-Version 3. Wie sich herausstellte, sind auch viele fehlerhafte TLS-Implementierungen betroffen - ganze zehn Prozent aller Server.

Gotofail, Heartbleed, Poodle: Derartige Sicherheitslücken sollen Entwickler, die TLS-Verbindungen benutzten, mit dem Google-Werkzeug Nogotofail verhindern. Genutzt werden dazu MITM und Clients auf vielen Plattformen.

Die Sicherheitslücke BERserk ist nur deshalb ein Problem, weil einige Zertifizierungsstellen sich nicht an gängige Empfehlungen für RSA-Schlüssel halten. Mit BERserk akzeptieren Firefox und Chrome gefälschte Zertifikate.

Update Eine Sicherheitsfirma will die Einbindung von Malware-Code auf der Webseite der Javascript-Bibliothek jQuery beobachtet haben. Ob die Server von jQuery gehackt worden sind, ist noch unklar.

Im von Debian und Ubuntu verwendeten Paketmanagement Apt ist ein sicherheitskritischer Fehler entdeckt worden. Es ist bereits das zweite Mal in kurzer Zeit, dass Apt Sicherheitsprobleme hat.

Wer beim Onlinebanking Opfer einer Man-in-the-Middle-Attacke wird und das Smart-TAN-Plus-Verfahren einsetzte, bekommt den Schaden nicht von der Bank erstattet. Das hat das Landgericht Darmstadt entschieden.

Die neue Version 32 des Mozilla-Browsers Firefox benutzt einen generationellen Garbage Collector, einen HTTP-Cache und unterstützt Public Key Pinning. Die Entwicklertools funktionieren nun auch mit sehr hohen Auflösungen und es gibt einen neuen Audio-Editor.

Bei den Ermittlungen zu Computerkriminalität hat die Polizei mit Verschlüsselungs- und Anonymisierungstools zu kämpfen. Jeder vierte Nutzer verzichtet inzwischen aus Sicherheitsgründen auf soziale Netzwerke.

Über eine Lücke in der Fritzbox-App konnten Hacker den Router übernehmen. Laut AVM war das Risiko für einen möglichen Man-in-the-Middle-Angriff jedoch gering.

Die NSA und das GCHQ gehen nicht gezielt gegen Gegner vor, vielmehr scannen sie mit ihrem Programm Hacienda das gesamte Netz, um über Schwachstellen sogenannte Operational Relay Boxes (ORB) einzurichten. Diese sollen den Datenverkehr der Geheimdienste verschleiern.

Für seinen Chrome-Browser führt Google eine Liste von Webseiten, die ausschließlich über HTTPS erreichbar sein sollen. Dort kann sich jeder Webseitenbetreiber eintragen, der die HSTS-Erweiterung nutzt.

Def Con 22 Schlüssel für PGP-verschlüsselte Mails werden üblicherweise über eine achtstellige ID gefunden. Doch mit trivialem Aufwand lässt sich ein Schlüssel mit derselben ID erzeugen. Oftmals lassen sich Nutzer dadurch verwirren.

Um Nutzer künftig vor falschen oder entwendeten Zertifikaten zu schützen, will Mozilla eine zentrale Sperrliste pflegen. Damit folgen die Firefox-Macher den Ideen Googles für Chrome.

Nach dem Auftauchen von Zertifikatsfälschungen des indischen National Informatics Centre (NIC) liefert Microsoft ein Windows-Update, welches die Zertifikate sperrt. Ursprünglich war nur von vier gefälschten Zertifikaten die Rede, inzwischen sind 45 bekannt.

Mitarbeiter von Google haben mehrere gefälschte Zertifikate für Domains des Konzerns gefunden. Ausgestellt wurden sie von einer Zertifizierungsstelle der indischen Regierung. Diese Zertifizierungsstelle wird nur von Windows akzeptiert.

Sony gehört jenseits von Google zu den ersten Herstellern, die bereits ein Update auf Android 4.4.4 anbieten. Samsung verteilt für eines seiner Galaxy-Tab-Modelle und das Galaxy S4 Active noch Android 4.4.2.

Das zweite Update in einem Monat: Google hat Android 4.4.4. veröffentlicht. Es beseitigt vor allem ein Sicherheitsloch und korrigiert kleinere Fehler. Das Rooting-Tool Towelroot funktioniert weiterhin.

Im Code des POP3-Kioslaves in KDEs E-Mail-Anwendung Kmail beziehungsweise in Kdelibs ist ein Fehler, durch den ungültige Zertifikate ohne Abfrage akzeptiert werden. Angreifer könnten sich so in den verschlüsselten E-Mail-Verkehr einklinken.

In der Kryptobibliothek OpenSSL sind weitere teils gravierende Sicherheitslücken entdeckt worden. Patches dafür und neue Versionen der Software gibt es bereits.

Zu komplex, zu unsicher und unausgereift: Die Kritik an der Verschlüsselung von E-Mails reißt auch ein Jahr nach den ersten Enthüllungen von Edward Snowden nicht ab. Dabei wurde gerade im vergangenen Jahr vieles umgesetzt, was lange gefordert wurde. Die E-Mail-Verschlüsselung bleibt aber kompliziert.

Heartbleed gilt als eine der gravierendsten Sicherheitslücken in der Geschichte des Internets. Einen Monat danach scheint die Gefahr größtenteils gebannt zu sein, auch wenn noch nicht alle Betroffenen reagiert haben.

Im Zuge von Heartbleed sollen Serverbetreiber ihre Zertifikate erneuern und die alten zurückziehen. Das Problem dabei: Das bringt fast nichts, denn kein einziger Browser prüft die Gültigkeit der Zertifikate auf sichere Weise.

Mit Hilfe von fehlerhaften X.509-Zertifikaten haben Forscher zahlreiche zum Teil sicherheitskritische Bugs in TLS-Bibliotheken gefunden. Erneut wurde dabei eine gravierende Sicherheitslücke in GnuTLS entdeckt.

Das alte Rohrpostsystem in Berlin wird wieder in Betrieb genommen und modernisiert. Künftig sollen darüber besonders sensible Dokumente im Regierungsviertel verschickt werden. Damit soll die Spionage durch ausländische Geheimdienste erschwert werden.

Entwickler verlassen sich zu sehr auf HTTPS und verzichten auf grundlegende Sicherheitsmaßnahmen. Über eine Man-in-the-Middle-Attacke konnten Security-Forscher in den Datenverkehr zwischen App-Server und Apps hineinsehen - und entdeckten Sonderbares.

SXSW 2014 Edward Snowden lobt in der Diskussion auf der SXSW Openwhispersystems und dessen Entwickler Moxie Marlinspike für die Veröffentlichung einfach zu nutzender Verschlüsselungstools.

Die Frage nach dem freien WLAN ist sicher eine der meistgestellten von Besuchern Cafés, Restaurants oder Hotels. Doch Troels Oerting von der Europol warnt davor, die offenen Netzwerke zu nutzen.

Der Messenger Threema verspricht sichere Verschlüsselung und bietet eine sogenannte "Validation", bei der ein Nutzer angeblich überprüfen kann, ob eine Nachricht korrekt verschlüsselt wurde. Doch die Validation sagt wenig über die Sicherheit des Systems.

In den vergangenen Monaten häufen sich Berichte über Sicherheitslücken bei Routern. Nicht nur die NSA, auch kriminelle Hacker können offenbar problemlos in viele Geräte eindringen. Muss das so sein?

Die Entwickler des Messengers Telegram werben damit, dass derjenige, der ihre Verschlüsselung knackt, 200.000 US-Dollar erhält. Doch in der Praxis relevante Angriffe werden von dem Contest überhaupt nicht erfasst.

Das Update für Mavericks auf OS X 10.9.2 steht zum Download bereit. Auch wenn Apple das nicht ausdrücklich betont, schließt der Patch die Lücke bei der Behandlung von SSL-Verbindungen. Jeder Mac-Nutzer sollte das Update also schleunigst installieren.

Über seinen Bürgerservice informiert das Bundesamt für Sicherheit in der Informationstechnik über die gravierenden Lücken in Apples Betriebssystemen. Patches für iOS 6 und 7 und das Apple TV gibt es, ein Update für OS X steht aber immer noch aus.

Ein Entwurf für eine Erweiterung des künftigen HTTP-Protokolls entfacht viel Aufregung, denn er sieht vor, dass Internetzugangsprovider verschlüsselte Datenströme mitlesen und verändern können.

Ein in den USA festgenommener und in Atlanta vor Gericht gestellter Russe hat sich selbst als Drahtzieher des Botnetzes SpyEye bezeichnet. Von 2009 bis 2011 sollen zeitweise bis zu 1,4 Millionen Rechner von der Malware infiziert gewesen sein, womit vor allem durch Bankbetrug Schäden in Höhe von mehreren Millionen US-Dollar entstanden sein sollen.

30C3 2013 war kein gutes Jahr für die Verschlüsselung. Auch jenseits des NSA-Skandals gab es etliche Schwachstellen, die zwar bereits bekannt waren, 2013 aber akut wurden.