OpenSSH

Sonst noch was? Was am 20. April 2021 neben den großen Meldungen sonst noch passiert ist, in aller Kürze.

Schlüssel für SSH lassen sich auf sogenannte Hardware-Token auslagern. Diese können in OpenSSH mit einem zweiten Faktor geschützt werden.

Mit einer kryptischen Warnmeldung im Browser weist die Schadsoftware auf die soeben gestohlenen Passwörter hin.

Obwohl SHA-1 angreifbar ist, kommt es immer noch häufig zum Einsatz. Auch bei SSH. Das soll sich ändern.

Das aktuelle OpenSSH 8.2 bringt erstmals Support für Fido U2F mit. Damit lässt sich für SSH künftig eine Zwei-Faktor-Authentifizierung über einen Hardware-Token einrichten. Die Entwickler bezeichnen SHA-1 außerdem als veraltet und wollen dies künftig entfernen.

Mit Angriffen wie RAMBleed konnten SSH-Schlüssel aus dem Arbeitsspeicher ausgelesen werden. OpenSSH hat einen Schutz entwickelt.

Mit Angriffen durch RAM-Bitflips lassen sich unberechtigt Speicherinhalte auslesen. Als Demonstration zeigen Forscher, wie sie mit Nutzerrechten einen RSA-Key eines SSH-Daemons auslesen können.

Geht es nach dem Willen von Intels Open-Source-Entwicklern, sollen Cloud-Server künftig eine moderne Firmware statt UEFI verwenden - sowie einen Hypervisor, der in Rust geschrieben wurde.

Mit einem völlig neuen Produkt will Apple vom Digitalpakt Schule und dem Brexit profitieren. Doch die neue Programmierplattform iCodes könnte die Nutzer des Apple Pie in eine zweifelhafte Abhängigkeit von dem US-Konzern bringen.
Von Friedhelm Greis

Ein bösartiger Server kann Dateien austauschen, die mittels SCP über SSH heruntergeladen werden - im schlimmsten Fall Schadcode. Insgesamt fünf Sicherheitslücken klaffen in den aktuellen Versionen von OpenSSH, Putty und WinSCP.

Die aktuelle Ubuntu-Version 18.04 mit Langzeitsupport bekommt demnächst die aktuelle OpenSSL-Version 1.1.1 und damit Langzeitsupport der Hauptentwickler für die wichtige Krypto-Bibliothek. Damit kann auch TLS 1.3 genutzt werden. Pakete wie Apache sollen ebenfalls angepasst werden.

Lange hat es gedauert: Windows Server 2019 wird mit dem beliebten Tool OpenSSH ausgestattet. Die Neuerung kommt etwa ein halbes Jahr nach der Integration in das reguläre Windows 10. Trotzdem ist es ein Vorteil, wenn Admins auf nur eine Software zurückgreifen können - das sieht Microsoft genauso.

Seit nunmehr über 17 Jahren arbeitet ein kleines Entwickler-Team am quelloffenen Betriebssystem Haiku, das vollständig kompatibel sein soll mit dem um die Jahrtausendwende eingestellten BeOS. Seit einigen Wochen liegt endlich eine erste Betaversion vor, die BeOS ein wenig in die Moderne verhilft.
Von Tim Schürmann

Eine sehr schwerwiegende Sicherheitslücke in der Bibliothek LibSSH erlaubt es Angreifern, die Authentifizierung beim Login zu überspringen. Doch die Auswirkungen dürften begrenzt sein: Kaum jemand nutzt LibSSH für Server.

Der japanische Roboter Pepper ist nicht sicher: Er kann aus der Ferne gesteuert werden, weil er keine Authentifzierung von Befehlen vornimmt. Außerdem gibt es stark veraltete Software und weitere Sicherheitsprobleme.

Einer der schwerwiegendsten Fehler in der Geschichte der Kryptographie beschäftigte vor zehn Jahren Nutzer der Debian-Distribution. Wenn man danach sucht, findet man noch heute vereinzelt verwundbare Schlüssel.
Von Hanno Böck

Die neue Version mit Langzeitunterstützung (LTS) von Ubuntu 18.04 alias Bionic Beaver setzt wie erwartet auf Gnome statt auf Unity, verzichtet aber auf Wayland. Das Live-Patching gibt es auch für den Desktop, und der Server bekommt einen neuen Installer.
Von Sebastian Grüner und Kristian Kißling

Die Version 6.3 von OpenBSD unterstützt mehrere ARM-SoC von Allwinner, Rockchip oder auch Broadcom sowie ARM-Neon. Das System schützt seine Nutzer außerdem vor den Meltdown- und Spectre-Angriffen. OpenSSH lässt Schlüssel nach einer Zeit verfallen und LibreSSL unterstützt weitere APIs aus OpenSSL.

Mittels spezieller SSH-URLs kann ein Angreifer Code in den Client-Tools von Quellcode-Verwaltungssystemen ausführen. Der Fehler betrifft praktisch alle verbreiteten Quellcode-Verwaltungssysteme wie Git, Subversion, Mercurial und CVS.

Im aktuellen Insider Build 14971 von Windows 10 wird die Kommandozeile CMD.exe durch die Powershell ersetzt. Die einfache Eingabeaufforderung verschwindet zwar noch nicht ganz, ein zentraler Bestandteil von Windows ist damit künftig aber Open Source.

Microsoft stellte seine Powershell im August 2016 unter eine freie Lizenz und portierte das Werkzeug im Vorübergehen gleich noch auf Linux und Mac OS. Ist das nun nur ein Marketingtrick oder eine echte Hilfe, womöglich sogar eine Konkurrenz zu den Linux-Shells?
Von Martin Loschwitz

Das OpenBSD-Projekt sichert sein Basissystem ab, indem der genutzte Speicher entweder beschreibbar oder ausführbar (W^X) ist. Zudem verzichtet das Team auf VAX- und Linux-Support, hat aber die ARMv7-Unterstützung erweitert.

Ein neuer Angriff auf TLS- und VPN-Verbindungen betrifft alte Verschlüsselungsalgorithmen wie Triple-DES und Blowfish, die Daten in 64-Bit-Blöcken verschlüsseln. Der Angriff erfordert das Belauschen vieler Gigabytes an Daten und dürfte damit nur selten praktikabel sein.

Microsofts Liebe für Linux geht weiter: Das wohl wichtigste Admin-Tool für Windows, die Powershell, läuft auf dem freien Betriebssystem. Die Powershell ist zudem Open Source und nutzt künftig OpenSSH für den Transport.

Im nächsten Linux-Kernel 4.8 können ausgewählte Grafikkarten von AMD übertaktet werden, wenn auch noch nicht so bequem wie unter Windows. Die Testversion Linux 4.8rc1 wurde jetzt freigegeben.

Wenn der Linux-Redakteur über die Windows-Nutzung flucht, ist eigentlich alles wie immer. Doch die Vorschau von Ubuntu auf Windows ist viel mehr als nur ein weiterer Grund zum Aufregen.
Von Sebastian Grüner

Die Krypto-Arbeitsgruppe der IETF hat RFC 7748 veröffentlicht. Darin spezifiziert sind die zwei elliptischen Kurven Curve25519 und Curve447. Sie sind das Ergebnis einer langen Diskussion.

Golem.de-Wochenrückblick Lenovo gibt Microsoft die Schuld daran, dass 2015 so wenige Leute PCs gekauft haben. Private Nachrichten während der Arbeitszeit können zur Kündigung führen. Und Googles autonome Autos brauchen doch noch ihre Fahrer. Sieben Tage und viele Meldungen im Überblick.

In OpenSSH ist eine Sicherheitslücke gefunden worden, die es einem böswilligen Server ermöglicht, den privaten Schlüssel des Nutzers auszulesen. Der Fehler findet sich in der Roaming-Funktion, die kaum jemand benötigt, die aber standardmäßig aktiv ist.

Valve hat die Firmware und ein SDK für den Steam Link quelloffen veröffentlicht. Damit lässt sich das Gerät, das zum Streamen von Spielen gedacht ist, sehr leicht erweitern. Sogar ein Umbau zum Mini-PC ist denkbar.

Auf den Installationsimages für Server der Firma Hetzner fanden sich für mehrere Monate vorinstallierte SSH-Keys. Die betroffenen Server sind somit für Man-in-the-Middle-Angriffe anfällig.

Zum Wohl der Entwickler und der Kunden haben in diesem Jahr ehemalige Open-Source-Gegner wie Microsoft oder Apple stark auf offenen Quellcode gesetzt. Einige der offenen Mobilbetriebssysteme straucheln dagegen und selbst Android-Hersteller beklagen Probleme bei der Entwicklung.
Von Sebastian Grüner

Die portable Version des aktuellen OpenSSH 7.1 stellt Microsoft nun auch für Windows bereit. Interessierte können außerdem künftig zu dem Projekt beitragen. Der produktive Einsatz soll noch in der ersten Jahreshälfte 2016 möglich sein.

Ungewöhnliche Zeiten fordern ungewöhnliche Maßnahmen: Deshalb spendet Microsoft in diesem Jahr mehr an die OpenBSD-Stiftung als Google oder Facebook. Die erstmalige Zahlung ist aber eigennützig und dient auch der Verbesserung von Windows.

Die Linux Foundation unterstützt künftig drei weitere Projekte, die sich um die Sicherheit kritischer Softwareprojekte kümmern - darunter eines des Golem-Autors Hanno Böck.

Golem.de-Wochenrückblick Diese Woche hat uns Nvidias Geforce GTX 980 Ti begeistert. Im Test hat sich gezeigt, dass die Grafikkarte die teure Geforce GTX Titan X nahezu obsolet macht. Außerdem steht der Erscheinungstermin für Windows 10 fest. Sieben Tage und viele Meldungen im Überblick.

Ein Debian-Bug aus dem Jahr 2008 hinterlässt immer noch Spuren. Eine Analyse der öffentlichen SSH-Schlüssel bei Github zeigt: Mittels angreifbarer Schlüssel hätten Angreifer die Repositories von Projekten wie Python und Firmen wie Spotify oder Yandex manipulieren können.

Gemeinsam mit OpenSSH will Microsoft einen nativen SSH-Client für die Powershell sowie einen SSH-Server für Windows erstellen. Das Entwicklerteam habe endlich die nötige Unterstützung dafür in dem Unternehmen.

Verschlüsselte Verbindungen können durch eine Schwäche im TLS-Verfahren in vielen Fällen auf einen unsicheren Diffie-Hellman-Schlüsselaustausch mit 512 Bit reduziert werden. Forscher vermuten, dass eine Variante dieses Angriffs für das NSA-Programm Turmoil verantwortlich sein könnte.

Ein Expertengremium der Internet Research Task Force hat mit Chacha20 eine Stromchiffre als Ersatz für RC4 standardisiert. Genaue Regeln für die Verwendung in TLS stehen aber noch aus.

Debian 8 alias Jessie ist erschienen - mit zahlreichen aktuellen Softwarepaketen. Der Umstieg vom Vorgänger Wheezy dürfte aber vor allem wegen Systemd nicht für alle infrage kommen.
Von Jörg Thoma

Unsichere und veraltete Verschlüsselungen aus einer Linux-Distribution zu entfernen, sei wesentlich schwieriger als gedacht, berichtet ein Intel-Entwickler. Sein Team will die Probleme mit OpenSSL und anderer Software aber beheben.

Bei der nächsten Version von OpenSSH wird es möglich sein, Server-Keys mit einem automatisierten Verfahren zu rotieren. Bislang ließen sich Schlüssel bei SSH nur mit viel manuellem Aufwand austauschen.

31C3 Ein USB-Stick, der als Datentresor dient: Das war die ursprüngliche Idee hinter USB Armory. Daraus entstand ein winziger, sicherer Rechner, auf dem ein VPN-Tunnel oder sogar eine Tor-Brücke eingerichtet werden kann.

Die aktuelle Version 5.6 von OpenBSD enthält erstmals den OpenSSL-Fork LibreSSL und die Entwickler ersetzen den Standard-MTA Sendmail durch die Eigenentwicklung OpenSMTPD. Begleitet wird die Veröffentlichung von Wagners Walkürenritt.

Eine Sicherheitslücke in der Linux-Shell Bash hat gravierende Auswirkungen. In vielen Fällen lässt sich damit von Angreifern Code auf Servern auch aus der Ferne ausführen.

Die Malware Synolocker verschlüsselt sämtliche Dateien auf NAS-Systemen von Synology und verlangt danach Lösegeld. Noch ist das Einfallstor für Malware unbekannt.

Die Linux-Foundation sammelt Geld für Kern-Infrastruktur wie OpenSSL und gibt nun erste Pläne bekannt. Beraten sollen das Projekt Linux-Kernel-Hacker und Bruce Schneier sowie Eben Moglen.

Das Tails-Team hat in Version 1.0 seines Betriebssystems teils kritische Sicherheitslücken behoben, die unter anderem auf den Heartbleed-Bug zurückzuführen sind.

NSA-Whistleblower Edward Snowden hat nach eigenen Angaben das Betriebssystem Tails verwendet, um sich verschlüsselt und anonym im Netz zu bewegen. Wir haben uns die Linux-Distribution angesehen.