NIST - National Institute of Standards and Technology
-
Executive Order: Trump fordert viele Cybersecurity-Berichte an
Deutlich später als geplant hat Donald Trump eine Executive Order zum Thema IT-Sicherheit unterzeichnet. Darin fordert er 18 verschiedene Berichte an, ändert an der Politik seines Vorgängers aber nur wenig.
-
Verschlüsselung: Kryptographie im Quantenzeitalter
Quantenkonferenz Quantencomputer sind eine Herausforderung für die globale Datensicherheit - aber es gibt bereits Ansätze für ein "quantensicheres" Internet.
Ein Bericht von Dirk Eidemüller -
Kollisionsangriff: Hashfunktion SHA-1 gebrochen
Forschern von Google und der Universität Amsterdam ist es gelungen, zwei unterschiedliche PDF-Dateien mit demselben SHA-1-Hash zu erzeugen. Dass SHA-1 unsicher ist, war bereits seit 2005 bekannt.
-
TLS 1.3: Die Zukunft der Netzverschlüsselung
Schwache Kryptographie raus, weniger Round-Trips und damit mehr Performance - und außerdem Schmierfett für zukünftige Protokollversionen und Erweiterungen: Die Version 1.3 des TLS-Verschlüsselungsprotokolls kommt bald.
Eine Analyse von Hanno Böck -
DSA und Diffie Hellman: Primzahlen können Hintertür enthalten
Kryptographen ist es gelungen, einen Primzahlparameter für DSA und Diffie-Hellman zu erstellen, der eine geheime Hintertür enthält. Diskutiert wurde diese Möglichkeit schon vor 25 Jahren, doch trotz der Gefahr für die Sicherheit von Verschlüsselungen wurden oft keine Gegenmaßnahmen ergriffen.
-
FBI-Projekt: Zeig mir dein Tattoo und ich sag dir, wer du bist!
Die US-Bundespolizei FBI will Informationen aus Tätowierungen mit Hilfe eines Algorithmus automatisiert auswerten. Damit sollen Ermittlungen vereinfacht werden. Aktivisten beklagen Eingriffe in die Meinungs- und Religionsfreiheit.
-
Security: Sirins Supersmartphone soll nur noch 9.500 Pfund kosten
Das Startup Sirin verspricht ein supersicheres Smartphone zum Luxuspreis. Für 9.500 britische Pfund plus Steuern soll es verschlüsselte Kommunikation geben. Der zugrundeliegende Krypto-Standard dürfte aber nicht jedem gefallen, dafür gibt es Wigig-WLAN.
Von Hauke Gierow -
Security: 85 Prozent der SSL-VPNs haben unsichere Konfigurationen
Zahlreiche SSL-VPNs sichern den Traffic der Nutzer nur unzureichend ab - das behauptet eine Sicherheitsfirma. Viele Anbieter würden nach wie vor SHA-1 oder MD5 verwenden. Außerdem seien rund 10 Prozent der Dienste für Heartbleed anfällig.
-
Curve25519/Curve447: Neue elliptische Kurven von der IETF
Die Krypto-Arbeitsgruppe der IETF hat RFC 7748 veröffentlicht. Darin spezifiziert sind die zwei elliptischen Kurven Curve25519 und Curve447. Sie sind das Ergebnis einer langen Diskussion.
-
Dual EC DRBG: Die Hintertüren in Juniper-Firewalls
Eine der in Juniper-Firewalls gefundenen Hintertüren nutzt offenbar einen Zufallszahlengenerator, der mutmaßlich von der NSA kompromittiert ist. Bei der Analyse der Änderungen gibt es Hinweise, dass hier mehrere Akteure am Werk waren - und dass die Hintertür gar nicht wirklich geschlossen worden ist.
-
Hash-Funktion: SHA-3 ist jetzt offiziell ein Standard
Das US-Handelsministerium hat die Hashfunktion SHA-3 jetzt offiziell als Federal Information Processing Standard (FIPS) 202 anerkannt. Das Nist hatte den Entwurf vor mehr als einem Jahr eingereicht. Grundlegende Änderungen gab es seitdem nicht.
-
Microsoft: Die Neuerungen von Windows 10
Mit Windows 10 bietet Microsoft nun sowohl für Windows-7- als auch für Windows-8-Nutzer einen Nachfolger an. Mit einer Übersicht fassen wir ebenjene Neuerungen zusammen, die nicht offensichtlich sind und teils erst durch kommende Apps und Programme ihre volle Wirkung zeigen können.
Von Andreas Sebayang, Sebastian Grüner und Marc Sauter
-
Dual EC DRBG: Die Fehler des Nist
RWC2015 Sehr ehrlich äußert sich John Kelsey von der US-Standardisierungsbehörde über die Probleme des Nist. Sie haben vermutlich dazu geführt, dass die NSA einen kompromittierten Standard durchsetzen konnte. Das Nist will aus den Fehlern lernen.
-
Elliptische Kurven: Microsoft akzeptiert Curve25519
Curve25519 wird voraussichtlich bald von der IETF-Kryptographie-Arbeitsgruppe standardisiert werden. Nach längeren Diskussionen um Alternativvorschläge von Microsoft hat es ein Einlenken gegeben.
-
Bernstein gegen Microsoft: Die Suche nach neuen Kurven
Die Kryptographie-Arbeitsgruppe der IETF will neue elliptische Kurven standardisieren. Curve25519 von Daniel Bernstein gilt als Favorit, doch Microsoft-Techniker sträuben sich dagegen.
-
Verschlüsselung: GnuPG 2.1 bringt Unterstützung für elliptische Kurven
Eine neue Version der Verschlüsselungssoftware GnuPG liefert Unterstützung für elliptische Kurven. Die Unterstützung für alte Schlüssel von PGP 2 wurde entfernt.
-
Nist: US-Behörde entwickelt Tele-3D-Scanner
Die Gipsabdrücke an einem Tatort könnten ausgedient haben: Die US-Behörde Nist hat einen 3D-Scanner vorgestellt, der für solche Anwendungen eingesetzt werden soll. Er scannt Gegenstände aus mehreren Metern Entfernung und erstellt davon ein 3D-Bild.
-
Linux-Kernel: Mehr Zufall in Linux 3.17
Mit neuen Generatoren für Zufallszahlen, einer Prüfung für Firmware sowie einem schnelleren Block Layer für SSDs und USB im Netzwerk ist Linux 3.17 freigegeben worden.
-
Firefox/Chrome: BERserk hätte verhindert werden können
Die Sicherheitslücke BERserk ist nur deshalb ein Problem, weil einige Zertifizierungsstellen sich nicht an gängige Empfehlungen für RSA-Schlüssel halten. Mit BERserk akzeptieren Firefox und Chrome gefälschte Zertifikate.
-
HTTPS: Kostenlose TLS-Verschlüsselung bei Cloudflare
Cloudflare aktiviert künftig bei allen Kunden kostenlos verschlüsselte HTTPS-Verbindungen. Damit verdoppelt sich die Zahl der Webseiten im Netz, die verschlüsselt erreichbar sind.
-
Bash-Lücke : Die Hintergründe zu Shellshock
Inzwischen wird die Bash-Sicherheitslücke Shellshock zur Verbreitung von Malware ausgenutzt. Die erste Korrektur war offenbar unvollständig. Wir haben die wichtigsten Hintergründe zu Shellshock zusammengefasst.
-
Phil Zimmermann: Telkos sollen Kooperation mit Geheimdiensten beenden
Def Con 22 Der PGP-Erfinder Phil Zimmermann will mit seinem Silent-Circle-Dienst und verschlüsseltem VoIP die Zusammenarbeit der Telekommunikationsunternehmen mit den Geheimdiensten und Regierungen beenden.
-
Hash-Funktionen: Bösartige SHA-1-Variante erzeugt
Forschern gelang es, durch kleine Veränderungen eine Variante der SHA-1-Hashfunktion mit einer Hintertür zu erzeugen. Die Sicherheit von SHA-1 selbst beeinträchtigt das nicht, es lassen sich aber Lehren für die Entwicklung von Algorithmen daraus ziehen.
-
Secusmart/Blackberry: Krypto-Handys mit vielen Fragezeichen
Behörden wollen in großer Zahl Telefone mit Verschlüsselungsfunktion kaufen. Deren Hersteller Secusmart wurde gerade von Blackberry gekauft, einer Firma mit ungeklärten Verbindungen zu einer NSA-Hintertür. Auch bei der Verschlüsselung gibt es viele ungeklärte Fragen.
-
NSA totrüsten: Experten fordern Verschlüsselung und Schengen-Routing
Der NSA-Ausschuss des Bundestages befasst sich mit den technischen Hintergründen der Überwachung. Die Empfehlungen der Experten dürften Politik und Geheimdiensten nicht gefallen.
-
Dual EC: Das Patent auf die NSA-Hintertür
Die Firma Certicom wusste spätestens seit Anfang 2005 von der Hintertür im Zufallszahlengenerator Dual EC DRBG. Das geht aus Patentanmeldungen hervor. Bei dem Zufallszahlengenerator handelt es sich mit hoher Wahrscheinlichkeit um eine NSA-Hintertür.
-
OpenSSL: Sieben Fehler gefunden und repariert
In der Kryptobibliothek OpenSSL sind weitere teils gravierende Sicherheitslücken entdeckt worden. Patches dafür und neue Versionen der Software gibt es bereits.
-
Dual EC DRBG: Nist zieht Zufallszahlengenerator zurück
Die US-Standardisierungsbehörde Nist zieht Dual EC DRBG offiziell zurück. Der Zufallszahlengenerator wurde von der NSA entwickelt, enthält nachweisbare Fehler und eventuell Hintertüren.
-
IMHO - Heartbleed und die Folgen: TLS entrümpeln
Die Spezifikation der TLS-Verschlüsselung ist ein Gemischtwarenladen aus exotischen Algorithmen und nie benötigten Erweiterungen. Es ist Zeit für eine große Entrümpelungsaktion.
Von Hanno Böck -
Hash-Funktion: Entwurf für SHA-3-Standard liegt vor
Die US-Behörde Nist hat einen Entwurf für die Standardisierung der Hashfunktion SHA-3 vorgelegt. Drei Monate lang besteht nun die Möglichkeit, diesen zu kommentieren.
-
Wettbewerb: Neue Hash-Funktionen für Passwörter
Die Passwort Hashing Competition (PHC) sucht nach neuen Verfahren, um Passwörter sicherer zu speichern. 24 Vorschläge wurden in der ersten Runde eingereicht.
-
Dual EC : Angriff auf Zufallsgenerator mit Hintertür
Schwächen im Zufallsgenerator Dual EC DRBG lassen sich praktisch ausnutzen, um TLS-Verbindungen anzugreifen. Eine TLS-Erweiterung, die nie standardisiert wurde, erleichtert die Attacke enorm. Schon länger wird vermutet, dass Dual EC eine Hintertür der NSA enthält.
-
Verschlüsselung: Caesar-Wettbewerb sucht authentifizierte Verschlüsselung
Die erste Runde des Caesar-Wettbewerbs hat begonnen. Das Ziel: Kryptographen suchen bessere Algorithmen für authentifizierte Verschlüsselung.
-
RSA-Security-Chef: Coviello verteidigt Zusammenarbeit mit der NSA
Der Chef des Sicherheitsunternehmens RSA Security, Art Coviello, hat die Zusammenarbeit mit der NSA bestätigt und gleichzeitig verteidigt. RSA Security sei nicht die einzige Firma, die mit dem US-Geheimdienst zusammenarbeite.
-
SHA-1: Eigene Empfehlungen nicht gelesen
Nach Empfehlungen der US-Behörde Nist darf der Hash-Algorithmus SHA-1 für digitale Signaturen 2014 nicht mehr genutzt werden, das Nist hielt sich aber selbst nicht daran. Auch das BSI kennt offenbar seine eigenen Empfehlungen in Sachen Hash-Funktionen nicht.
-
Bessere Verschlüsselung: OpenSSH 6.5 veröffentlicht
Das OpenSSH-Team hat OpenSSH in der Version 6.5 veröffentlicht. Die neue Version der Secure Shell bietet bessere Verschlüsselungsverfahren als der Vorgänger.
-
Kryptographie: OpenSSH rüstet auf
Die kommende Version 6.5 von OpenSSH wird zahlreiche verbesserte Verschlüsselungsverfahren enthalten, darunter die elliptische Kurve Curve25519 und die Stromverschlüsselung Chacha20. Die bisher verwendeten elliptischen Kurven stammten von der NSA.
-
OpenSSL.org: Webseite des OpenSSL Project gehackt
Angreifern ist das Defacement der Webseite des OpenSSL Project gelungen. Die Code Repositories wurden laut den Betreibern überprüft, ohne dass eine Manipulation festgestellt werden konnte.
-
Verschlüsselung 2013: Das Jahr der Kryptokalypse
30C3 2013 war kein gutes Jahr für die Verschlüsselung. Auch jenseits des NSA-Skandals gab es etliche Schwachstellen, die zwar bereits bekannt waren, 2013 aber akut wurden.
-
Verschlüsselung: RSA dementiert "geheimen Vertrag" mit der NSA
Das Sicherheitsunternehmen RSA Security hat dementiert, in einem geheimen Vertrag mit der NSA dafür zu sorgen, dass Verschlüsselung mit Hintertüren in ihren Produkten eingesetzt wird.
-
BSafe: NSA bezahlte RSA Security, um Krypto-Backdoor einzusetzen
10 Millionen US-Dollar zahlte die NSA an das Sicherheitsunternehmen RSA Security, um Dual_EC_DRBG in seiner BSafe-Bibliothek als Standard einzusetzen. Bereits im September 2013 hatte RSA davor gewarnt, die Bibliothek zu nutzen.
-
OpenSSL: Fataler Fehler im kaum verwendeten Krypto-Modul
Das OpenSSL-Team hat einen fatalen Fehler in der Umsetzung eines Verschlüsselungsalgorithmus entdeckt. Er betrifft ausgerechnet das ins Verruf geratene Dual_EC_DRBG. Da der betroffene Standard kaum Verwendung findet, wird er nicht repariert.
-
FreeBSD: Misstrauen bei RNGs von Intel und Via
Künftig werden Zufallszahlen in FreeBSD nicht mehr direkt von der Hardware von Intel oder Via berechnet. Nach der Enthüllung durch NSA-Dokumente seien sie nicht mehr sicher, so die Entwickler.
-
SHA-3: Nist bleibt beim Original
Anders als zunächst angekündigt, will das Nist jetzt darauf verzichten, beim neuen Hash-Standard SHA-3 die Sicherheitsparameter zu ändern. Die Ankündigung hatte vor einigen Wochen heftige Kritik erregt.
-
SHA-3: Nist will weniger Sicherheit
In einem Vortrag hat die Standardisierungsbehörde Nist angedeutet, substanzielle Änderungen am Verschlüsselungsalgorithmus Keccak vorzunehmen. Keccak soll zum neuen Sicherheitsstandard SHA-3 werden.
-
Chrome: Strengere Regeln für TLS-Zertifikate
Googles Browser wird künftig Nutzer bei Zertifikaten mit kurzen Schlüsseln und anderen Problemen warnen. Auch eine neue Technologie namens Certificate Transparency, die betrügerische Zertifizierungsstellen identifiziert, soll bald genutzt werden.
-
BSafe: RSA Security warnt vor NSA-Zufallsgenerator
Der umstrittene Zufallsgenerator Dual_EC_DRBG wurde von der BSafe-Bibliothek als Standardeinstellung genutzt. Jetzt warnt deren Hersteller RSA Security davor.
-
Zufallszahlen: Taiwanische Bürgerzertifikate geknackt
Aufgrund schlechter Zufallszahlen konnten Kryptographen zahlreiche private Schlüssel von Chipkarten berechnen, die die taiwanische Regierung ausgibt.
-
Elliptische Kurven: Die Herkunft der Nist-Kurven
Nach den jüngsten Enthüllungen fragen sich Kryptographen, welche Algorithmen von der NSA beeinflusst sein könnten. Zweifel bestehen auch bei elliptischen Kurven, die für Public-Key-Kryptographie eingesetzt werden.
-
Linux-Kernel: Bessere Zufallszahlen selbst mit NSA-Backdoor
Die Linux-Entwickler wehren sich dagegen, den Code für den Zufallsgenerator in Intels Ivy-Bridge-Chips zu entfernen. Er nutzt Nists SP800-90-Standard. Dort wird eine Hintertür der NSA vermutet.
- Seite:
- 1
- 2
-
Chop-SyncSchneidebrett mit Touchscreen und Waage
Sharp hat mit dem Chop-Sync den Prototyp eines Küchenschneidebretts mit eingebautem Touchscreen vorgestellt, das Rezeptideen aus dem Netz holt und beim Kochen helfen soll.
(Schneidebrett Mit Waage) -
Oculus Rift DK2 im TestPixeldichte schlägt Pentile-Matrix
Das Development Kit 2 des Oculus Rift ist toll, hat aber seine Schwächen: Die Kameraerfassung klappt gut, das neue Display ist Fluch und Segen zugleich. Bei der Spieleunterstützung braucht es Geduld.
(Oculus Rift Dk2) -
MiitomoNintendo stellt erste Anwendung für Smartphones vor
Es ist kein richtiges Spiel, was Nintendo als erste App für Mobilegames vorgestellt hat: Mit Miitomo sollen Spieler kommunizieren können. Außerdem wurde Nintendo Account für den plattformübergreifenden Austausch etwa von Speicherständen angekündigt.
(Miitomo) -
iOS 9.3iPhone warnt künftig vor dem Chef
Apples iOS 9.3 wird Anwendern unmissverständlich klarmachen, wenn ihr Dienst-iPhone unter Kontrolle der Firma steht. Das Unternehmen kann den Internetverkehr überwachen, das Gerät lokalisieren oder künftig auch Apps am Bildschirm fixieren.
(Ios 9.3) -
Sidechannel-Angriff auf 3D-DruckerWie man 3D-Objekte über Audiosignale kopiert
Forschern ist es gelungen, ein 3D-gedrucktes Objekt anhand der Audiosignale des 3D-Druckers zu kopieren. Solche Side-Channel-Angriffe sind eher aus der Kryptographie bekannt.
(3d Drucker)
NISTE-Mail an news@golem.de