RC4
RC4 ist ein 1987 von dem Mathematiker und Kryptologen Ron Rivest entwickelter Verschlüsselungsalgorithmus. RC4 steht wahlweise für Rivest Cipher oder Rons Code, außerdem ist die Bezeichnung Arcfour für eine Open-Source-Variante des Algorithmus gebräuchlich. RC4 gilt mittlerweile als unsicher und wurde von der Internet Engineering Taskforce (IETF) verboten.
-
MacOS Sierra und iOS 10: Apple schmeißt unsichere Krypto raus
In den kommenden Versionen von Apples Betriebssystemen gibt es zahlreiche Veränderungen unter der Oberfläche, mit weitreichenden Konsequenzen für Nutzer und Admins. Die meisten Änderungen betreffen die unterstützten Verschlüsselungsverfahren.
-
Browser-Updates: Chrome ohne Flash, Edge ohne RC4
Einige alte Technologien sollen verschwinden: Google will Flash weitgehend aus Chrome verbannen und Microsoft entfernt die unsichere RC4-Cipher aus Edge und dem Internet Explorer.
-
RFC 7905: ChaCha20-Verschlüsselung für TLS standardisiert
Mit RFC 7905 gibt es nun eine Spezifikation, um den Verschlüsselungsalgorithmus ChaCha20 im Poly1305-Modus in TLS zu nutzen. Der von Dan Bernstein entwickelte Algorithmus ist insbesondere auf Geräten ohne Hardware-AES-Unterstützung schneller als mögliche Alternativen.
-
Mozilla: Firefox 44 macht Fehler schöner und Videotechnik besser
Die aktuelle Version des Firefox nutzt für Videos nun H.264 oder, sollte dies nicht verfügbar sein, das freie VP9. Die Hinweisseiten für Zertifikatsfehler sind neu gestaltet und der Videochat Firefox Hello verlässt offiziell die Beta-Phase.
-
Linux-Distribution: Fedora 23 testet gebündelte Desktop-Apps
Ähnlich wie Server-Apps in Containern sollen künftig auch Desktop-Anwendungen unter Linux gebündelt werden können. Das nun veröffentlichte Fedora 23 testet diese Funktion, zudem bietet die Distribution einfache Firmware-Updates und verbessert die Sicherheit des Systems deutlich.
-
Verschlüsselung: Microsoft, Google und Mozilla schalten RC4 2016 ab
Es ist ein überfälliger Schritt: Microsoft, Google und Mozilla haben angekündigt, den unsicheren Verschlüsselungsalgorithmus RC4 ab 2016 in ihren Produkten endgültig nicht mehr zu verwenden. Ein konkretes Datum nennt bislang jedoch nur Mozilla.
-
Verschlüsselung: Der lange Abschied von RC4
Er ist angreifbar - und die NSA liest angeblich mit: Die Internet Engineering Taskforce hat den Einsatz des einst beliebtesten Verschlüsselungsalgorithmus RC4 untersagt. Doch Sicherheit lässt sich nicht einfach verordnen.
Von Hauke Gierow -
Mozilla: Firefox 39 schmeißt alte Krypto raus
SSLv3 ist aus Firefox 39 endgültig entfernt worden, und RC4 ist nur noch temporär für einige wenige Seiten erlaubt. Das Mozilla-Team erweitert den Schutz des Browsers vor Malware, daneben gibt es noch viele kleinere Neuerungen.
-
Ersatz für RC4: Expertengremium standardisiert Chacha20
Ein Expertengremium der Internet Research Task Force hat mit Chacha20 eine Stromchiffre als Ersatz für RC4 standardisiert. Genaue Regeln für die Verwendung in TLS stehen aber noch aus.
-
Verschlüsselung: Kryptographen zeigen neue Angriffe gegen RC4
Eine bislang wenig beachtete Schwäche von RC4 nutzt der Kryptograph Itsik Mantin für seine neue Angriffsmethode. Ein weiterer kürzlich vorgestellter Angriff betrifft IMAP-Verbindungen.
-
Mozilla: Firefox 36 kann HTTP/2
In der aktuellen Firefox-Version ist HTTP/2 vollständig implementiert. Das Team hat auch die Sicherheit von TLS-Verbindungen erhöht, HTTP/2 aktiviert und eine neue Tablet-Oberfläche erstellt.
-
IETF: RC4 in TLS offiziell nicht mehr erlaubt
Die RC4-Verschlüsselung darf laut dem neuen RFC 7465 nicht mehr für TLS-Verbindungen genutzt werden. Der Algorithmus gilt schon lange als problematisch, Details über neue Angriffe sollen in Kürze veröffentlicht werden.
-
Verschlüsselung: Neue Angriffe auf RC4
Zwei Forscherteams kündigen unabhängig voneinander an, bald neue Angriffe gegen den RC4-Verschlüsselungsalgorithmus vorzustellen. Knapp ein Prozent der Webserver setzt immer noch ausschließlich auf RC4.
-
Dircrypt: Ransomware liefert Schlüssel mit
Eine Analyse der Ransomware Dircrypt hat ergeben, dass die verschlüsselten Dateien des Erpressungstrojaners offenbar den Schlüssel mitliefern. Allerdings nur für einen Teil der Daten.
-
Kryptographie: OpenSSH rüstet auf
Die kommende Version 6.5 von OpenSSH wird zahlreiche verbesserte Verschlüsselungsverfahren enthalten, darunter die elliptische Kurve Curve25519 und die Stromverschlüsselung Chacha20. Die bisher verwendeten elliptischen Kurven stammten von der NSA.
-
Instant-Messaging: Whatsapp hat 400 Millionen Nutzer
Der Instant-Messenger Whatsapp zählt 400 Millionen Nutzer. Laut einem Blogeintrag der Entwickler sind allein in den letzten vier Monaten 100 Millionen Nutzer neu hinzugekommen.
-
Mindeststandards: BSI hält sich nicht an eigene Empfehlung
Das BSI hat Mindeststandards für sichere SSL-/TLS-Verbindungen herausgegeben. Bislang hält sich keine einzige Behörde daran - nicht einmal das BSI selbst. Die Empfehlungen enthalten außerdem sachlich falsche Informationen.
-
TLS-Protokoll: BSI legt Mindeststandard für Verschlüsselung fest
Das BSI fordert, in den Regierungsstellen TLS 1.2 mit Perfect Forward Secrecy einzusetzen. Bis alles umgestellt ist, ginge auch noch übergangsweise TLS 1.0, wenn Maßnahmen gegen bekannte Angriffe ergriffen würden.
-
Instant Messaging: Verschlüsselung von Whatsapp ist unsicher
Die Entwickler des Messaging-Systems Whatsapp haben schwerwiegende Fehler bei der Implementierung des Verschlüsselungssystems gemacht. Möglicherweise lassen sich dadurch Nachrichten durch Angreifer entschlüsseln.
-
Verschlüsselung: Was noch sicher ist
Die NSA soll auch in der Lage sein, verschlüsselte Verbindungen zu knacken. Ein Überblick über kryptographische Algorithmen und deren mögliche Probleme.
-
Browser: Downgrade-Angriffe auf TLS
Neuere Versionen des TLS-Standards verbessern die Verschlüsselung und verhindern bestimmte Angriffe. Das nützt aber praktisch nichts, denn ein aktiver Angreifer kann die Nutzung eines älteren TLS-Standards erzwingen.
-
TLS 1.2: Bald bessere Verschlüsselung für Firefox und Chrome
Die von Mozilla entwickelte Verschlüsselungsbibliothek NSS unterstützt in der aktuellen Version den aktuellen TLS-Standard 1.2. Das könnte die in Firefox und Chrome verwendete SSL-Verschlüsselung verbessern. Die Unterstützung für AES im authentifizierten Modus GCM fehlt allerdings noch.
-
Verschlüsselung in Word und Excel unzureichend
Die Dokumentenverschlüsselung in Word und Excel lässt sich leicht umgehen, weil Microsoft bei der Implementierung der entsprechenden Verschlüsselungstechnik geschlampt hat. Entgegen den üblichen Gepflogenheiten verwendet Microsoft bei der Dokumentenverschlüsselung den gleichen Initialisierungsvektor für zwei unterschiedliche Dokumente. Pikanterweise wurde der gleiche Fehler auch schon vor rund fünf Jahren bei der Verschlüsselung in Windows NT 4.0 gemacht.
-
WLAN - Sicherheitslücke in WEP-Verschlüsselung geschlossen
RSA Security und Hifn haben sich der als unsicher geltenden WEP-(Wired-Equivalent-Privacy-)Verschlüsselung der immer mehr Verbreitung findenden Datenfunk-Hardware nach IEEE-802.11b-Standard (WLAN, WiFi) angenommen und gravierende Sicherheitslücken geschlossen. WEP hat bei den einzelnen Paketen - vereinfacht gesagt - zu ähnliche Schlüssel, was lauschenden Hackern die Möglichkeit gibt, den Shared Key zu ermitteln und die Pakete zu entschlüsseln.
-
Test Star Wars CommanderDie dunkle Seite der Monetarisierung
Es gibt ein neues Strategie- und Aufbauspiel im Szenario von Star Wars: In Commander kämpfen Sternenkrieger auf Seiten der Allianz oder der Rebellen mit Berühmtheiten wie Han Solo und Prinzessin Leia. Das Bezahlsystem dürfte aber auch den Zorn sonst in sich ruhender Jedi-Ritter wecken.
(Star Wars Commander) -
ArduinoMit der Kraft der zwei Herzen
Die Arduino-Modelle Uno und Mega haben neben dem großen Mikrocontroller auch einen kleineren auf dem Board, der allerdings meist brach liegt. Mit wenigen Schritten lässt er sich nutzen.
(Arduino) -
Samsung Galaxy A7Dünnes Alu-Smartphone kommt Ende März für 500 Euro
Samsung selbst schweigt noch dazu, aber mehrere Onlinehändler listen das Galaxy A7 bereits mit Preis. Demnach wird das dünne Alu-Smartphone für 500 Euro auf den Markt kommen - aber wohl erst Ende März.
(Samsung Galaxy A7) -
Deep-Web-StudieWo sich die Cyberkriminellen tummeln
Eine Abteilung des IT-Sicherheitsunternehmens Trend Micro beobachtet seit Jahren das Deep Web auf der Suche nach bislang unbekannten Bedrohungen für seine Kunden. Eine Studie zeigt teils beunruhigende Trends auf.
(Deep Web) -
VW-AbgasskandalDas kollektive Versagen der Entwickler
Der Skandal um die manipulierten Abgaswerte bei VW beschädigt das Vertrauen in die Digitalisierung der Autos. Das kann auch schwerwiegende Folgen für das vernetzte und automatisierte Fahren haben.
(Vw News) -
Xbox ScorpioSchneller als Playstation Neo und mit Rift-Unterstützung
Microsoft soll an einer neuen Xbox mit dem Codenamen Scorpio arbeiten. Die Leistung der Spielekonsole übersteige die der Playstation Neo deutlich, was 4K und Virtual Reality mit dem Oculus Rift möglich mache. Zudem gibt es erste Details zur Xbox One Slim.
(Xbox Scorpio)
RC4E-Mail an news@golem.de