Security

Nach NetID baut nun auch Verimi seine Präsenz auf Webseiten aus. Die Sicherheitsanforderungen sind bei der Single-Sign-on-Lösung jedoch meist höher als bei der Konkurrenz.

Alexander U. hat das Forum betrieben, über das die Waffe für den Amoklauf in München verkauft wurde. BKA-Ermittler schildern vor Gericht, wie sie ihm auf die Schliche kamen.
Von Hakan Tanriverdi

Die europäische Standardisierungsorganisation ETSI hat eine Variante von TLS spezifiziert, die eine Überwachungsschnittstelle und schwächere Sicherheitseigenschaften hat. Bei der IETF war man zuvor mit ähnlichen Vorstößen erfolglos.

Im Verschlüsselungsmodus OCB2 wurden in kurzer Abfolge zahlreiche Sicherheitsprobleme gefunden. Breite Verwendung findet dieser Modus nicht, obwohl er Teil eines ISO-Standards ist.

Vor zwei Jahren hatte es Trickbot nur auf Bankdaten abgesehen. Nun ist eine neue Variante des Trojaners im Umlauf, die auch Passwörter aus anderen Anwendungen abgreifen kann.

In einem Mordprozess weigert sich Amazon, Alexa-Sprachaufzeichnungen preiszugeben. Ein Gericht will mit den Aufnahmen einen Doppelmord aufklären.

Die US Cyber National Mission Force hat begonnen, gefundene Schadsoftware auf Virustotal bereitzustellen. Das erste hochgeladene Sample soll von der mutmaßlich russischen Hackergruppe APT28 stammen.

Eine Sicherheitslücke betrifft die beliebten Virtualisierungsprogramme VMware Player und Workstation. Angreifer können darüber Code auf dem Hostsystem ausführen, was sie recht kritisch macht. Das von VMware verteilte Update sollte schnell installiert werden.

Der Entwickler des beliebten OpenPGP-Addons für Thunderbird, Patrick Brunschwig, hätte nichts gegen Unterstützung durch bezahlte Vollzeitentwickler. So könnte Enigmail vielleicht endlich fester Bestandteil von Thunderbird werden.
Ein Interview von Jan Weisensee

Durch eine fehlende Identitätsabfrage in einem DSGVO-Plugin für Wordpress können sich Angreifer Administratorkonten für Webseiten anlegen und dann beliebige Schadsoftware verteilen. Die Lücke wird bereits ausgenutzt.

Eine Software für Headsets des Herstellers Sennheiser installiert ein Root-Zertifikat und sorgt damit dafür, dass HTTPS-Verbindungen nicht mehr sicher sind. In neueren Versionen ist die Lücke etwas weniger schlimm, einen Fix gibt es bisher nicht.

Die Single-Sign-on-Lösung NetID ist auf einigen Dutzend Internetseiten nun verfügbar. Der Datenaustausch zwischen den einzelnen Diensten ist transparent. Hat allerdings für Nutzer einen Nachteil.

Der Webseiten-Statistikanbieter Statcounter wurde gehackt. Dabei fügten die Angreifer Javascript-Code ein, der auf Kunden der Bitcoin-Plattform Gate.io abzielte.

Ein Sicherheitsforscher hat eine Zero-Day-Lücke für Virtualbox veröffentlicht, die einen Ausbruch aus dem Gastsystem auf das Host-System ermöglicht. Der Forscher sei frustriert darüber, wie der Hersteller mit Bug Bountys und Security-Forschung umgehe, heißt es als Begründung.

Ein gespaltener US-Kongress könnte dazu führen, dass Gesetze zur Kontrolle von Google oder Facebook in den USA keine Mehrheit finden. Doch das könnte für die IT-Konzerne sogar zum Nachteil werden.

Die vergleichsweise neue VPN-Technik Wireguard entsteht unter anderem für den Linux-Kernel und soll dort endlich eingepflegt werden. Das zuständige Team hat darüber hinaus nun eine erste experimentelle Version einer Wireguard-App für iOS vorgestellt.

Bei manchen SSDs mit Hardwareverschlüsselung konnten Forscher die Firmware so manipulieren, dass sie beliebige Passwörter akzeptierte. Das war nicht das einzige Problem, das sie fanden.

Wahlen gelten in den USA seit 2017 als "kritische Infrastruktur". Dafür zu sorgen, dass sie vor Hackerangriffen geschützt werden, hat also höchste Priorität. Doch nach wie vor sind Wahlcomputer schlecht geschützt.
Von Hakan Tanriverdi

Eigentlich sollte die NSA-Chiffre Speck im Linux-Kernel landen. Doch Google hat seine Unterstützung dafür zurückgezogen und selbstständig einen Ersatz erstellt. Den zugrundeliegenden Modus hat Google nun abermals angepasst und damit massiv beschleunigt.

Der TÜV Süd vergibt Siegel für sichere Webseiten - und tut sich gleichzeitig enorm schwer damit, seine eigene Webseite abzusichern. Jetzt fand sich dort sogar eine Remote-Code-Execution-Lücke, die der TÜV erst im zweiten Anlauf behoben hat.
Ein Bericht von Hanno Böck

Um Nutzer vor eventuellen Angriffen zu schützen, führt Google einen Prüfalgorithmus ein, der vor der Anmeldung mit dem Konto ausgeführt wird. Das erfordert jedoch, dass Kunden dazu Javascript einschalten.

Eine Sicherheitslücke ermöglicht Angreifern das Ausführen von Schadcode auf iOS-Geräten der Opfer per Facetime-Anruf. Apple hat die Lücke geschlossen, ebenso wie verschiedene Kernel-Bugs, einen Fehler in einem wichtigen Primzahlentest in MacOS und iOS und eine Spectre-Variante behoben.

Microsoft bewirbt seine Antivirensoftware Windows Defender als erste kostenlose Software mit Sandbox. Dadurch ist sie vom Betriebssystem abgeschottet, was eine Ausnutzung von erhöhten Rechten erschwert, die ein solches Programm benötigt. Momentan befindet sich die Funktion noch in einer Testphase.

16 zivilgesellschaftliche Organisationen und Verbände haben Wirtschaftsminister Peter Altmaier und mehrere seiner Kollegen aufgefordert, in Brüssel die geplante E-Privacy-Verordnung voranzutreiben und so gegen "aufdringliche und missbräuchliche Praktiken auf dem digitalen Markt vorzugehen".

Nach Beschwerden über eine Sicherheitslücke in der Berliner Polizeidatenbank Poliks hat die Berliner Datenschutzbeauftragte Maja Smoltczyk das System überprüft und die interne Passwortrichtlinie beanstandet.

Der verschlüsselte Messenger Signal unterstützt in der Betaversion ein Feature, bei dem Nachrichten so verschickt werden, dass der Server nicht weiß, von wem die Nachricht stammt. Wer der Absender ist, sieht nur der Empfänger.

Sicherheitsforscher haben einige gravierende Lücken in der Krankenkassen-App Vivy gefunden. Unter anderem konnte auf Dokumente, die man mit dem Arzt teilte, unberechtigt zugegriffen werden.

Mit präparierten Paketen kann im DHCPv6-Client von Systemd ein Pufferüberlauf erzeugt werden. Ubuntu ist in der Standardinstallation betroffen. Ein Update steht zur Verfügung.

Eine Sicherheitslücke in der kabellosen Kransteuerung Telecrane F25 ermöglicht es, Signale mitzuschneiden und mit diesen anschließend den Kran fernzusteuern. Ein Sicherheitsupdate steht bereit.

Eine Sicherheitslücke im Displayserver X.org erlaubt unter bestimmten Umständen das Überschreiben von Dateien und das Ausweiten der Benutzerrechte. Der passende Exploit passt in einen Tweet.

Von dem Datenleck im Buchungssystem von British Airways waren deutlich mehr Kunden betroffen als bisher bekannt. Die Fluggesellschaft rät betroffenen Kunden, ihre Bank zu kontaktieren. Kreditkarten werden in diesem Fall häufig komplett ausgetauscht.

Die US-Hightech-Branche verdingt sich zunehmend als technischer Dienstleister für staatliche Big-Brother-Projekte wie die Überwachung und Abschiebung von Immigranten, heißt es in einem Bericht von Bürgerrechtlern. Amazon und Palantir verdienten damit am meisten.
Von Stefan Krempl

Im Skandal um Cambridge Analytica hat die britische Datenschutzbehörde die Höchststrafe von 500.000 Pfund verhängt. Facebook habe einen schweren Verstoß gegen geltendes Recht zugelassen.

Die EU-Abgeordneten haben als Reaktion auf die Datenschutzverstöße von Facebook und Cambridge Analytica Behörden angehalten, ihre Aktivitäten auf dem Netzwerk zu überdenken. Profiling zu politischen Zwecken wollen sie verbieten.
Von Stefan Krempl

Wolf Intelligence verkauft Schadsoftware an Staaten. Eine Sicherheitsfirma hat sensible Daten des Unternehmens öffentlich zugänglich im Internet gefunden. In einer Präsentation wurden die Funde gezeigt.

Wichtige Patches, die in stabilen Kernel-Versionen landen sollten, werden von der Linux-Community oft vergessen oder übersehen. Abhilfe schaffen soll offenbar Machine Learning, wie die Entwickler Sasha Levin und Julia Lawall erklären.

Um zu erreichen, dass Hersteller von Android-Smartphones Googles monatliche Sicherheitsupdates auch auf ihre Geräte bringen, soll Google eine neue Vorgabe machen: Die Updates müssen zwei Jahre lang regelmäßig verteilt werden, sonst droht Google mit Problemen bei der Veröffentlichung künftiger Geräte.

Ein Siegel des TÜV Süd soll sichere Shopping-Webseiten garantieren. Ein falsches Versprechen: Wir fanden mit geringem Aufwand auf mehreren Seiten mit Safer-Shopping-Siegel - und auf der TÜV-Webseite selbst - sehr banale Sicherheitslücken.
Von Hanno Böck

Der Security-Entwickler Alexander Popov berichtet auf dem Open Source Summit von seiner Zusammenarbeit mit der Linux-Kernel-Community. Er fühle sich dabei wie zwischen Mühlsteinen zermalmt. Das liege wohl auch daran, dass die Community zwischen normalen Menschen und Security-Leuten trenne.

Ein jQuery-Plugin erlaubt es, unter bestimmten Bedingungen PHP-Dateien auf den Server zu laden und auszuführen. Das Problem sitzt jedoch tiefer: Viele Webapplikationen bauen auf den Schutz von Apaches .htaccess-Dateien. Der ist jedoch häufig wirkungslos.

In der Python-Paketverwaltung PyPi wurde eine Software gefunden, die versucht, Bitcoin-Adressen in der Windows-Zwischenablage zu manipulieren. Dabei versuchten die Autoren des Pakets colourama, Verwechslungen von US-englischer und britischer Schreibweise auszunutzen.

Facebook reagiert auf die jüngsten Datenskandale mit der Kaufabsicht einer großen Sicherheitsfirma. Der ehemalige britische Vize-Premierminister wird außerdem Facebooks neuer PR-Chef. Das soziale Netzwerk versucht Vertrauen zurückzugewinnen.

Informationsfreiheitsbeauftragte von Bund und Ländern drängen auf eine stärkere Kontrolle von Algorithmen und künstlicher Intelligenz (KI) in der Verwaltung. An die Auswahl und die Entwicklung solcher Verfahren müssten hohe Anforderungen gestellt werden.
Von Stefan Krempl

Laser könnten Daten von Satelliten viel besser übertragen als Radiowellen. Aber was tun bei schlechtem Wetter? Forscher aus der Schweiz haben einen Weg gefunden und machen sich dabei jahrzehntealte Forschung zunutze.

In Eigenregie entwickelte ein Berliner Polizist eine Software, die seit 15 Jahren im Land Berlin eingesetzt wird. Das Problem: Das Programm stürzt häufig ab, und da der Beamte mittlerweile in Pension ist, sind Updates schwierig umsetzbar.

Die aktuelle Version 6.4 des Betriebssystems OpenBSD deaktiviert automatisch Hyperthreading auf Intel-Chips. Ein neuer Systemaufruf verschleiert Dateisystemzugriffe, was direkt für den eigenen Hypervisor genutzt wird. Das Team hat außerdem viel Hardware-Unterstützung hinzugefügt.

Update: Dieser Artikel beruhte auf einem Irrtum, wir haben ihn entfernt.

Dürfen Vermieter noch die Namen ihrer Mieter auf die Klingel schreiben? In der Debatte um die Auswirkungen der Datenschutzgrundverordnung gibt es nun eine Klarstellung.

Mit einfachsten Mitteln können aus Routern von D-Link Zugangsdaten ausgelesen oder Code ausgeführt werden. Die Sicherheitslücken wurden veröffentlicht, Patches jedoch nicht.

Durch ein Update können Epson-Drucker nur noch mit originalen Tintenpatronen drucken. Die EFF wendet sich an die texanische Staatsanwaltschaft. Der Vorwurf: Verbrauchertäuschung und Sicherheitsbedenken.