Security

Wenige technische Highlights zu Beginn. Seit dem 2. Dezember 2005 steht die Xbox 360 nun auch offiziell in deutschen Geschäften, und mit ihr wartet bereits ein LineUp von etwa 15 Spielen auf den Käufer. Darunter finden sich bereits eine Hand voll wirklicher Highlights - längst nicht jedes der Programme lässt den Kunden allerdings auch wirklich spüren, dass er es hier mit Titeln für eine neue Konsole zu tun hat; vor allem, wer kein HDTV-Gerät besitzt, muss bei vielen Portierungen die Unterschiede zur alten Xbox oft mit der Lupe suchen, und neue und innovative Spielideen finden sich leider ebenfalls kaum.

Antivirus-Funktion verhindert Verbreitung von Schädlingen per Gmail. Google hat dem E-Mail-Dienst Gmail alias Google Mail eine Antiviren-Funktion spendiert, mit der sich ein- und ausgehende Nachrichten auf Infektionen überprüfen lassen. Damit wird sowohl der Empfang als auch der Versand von Schädlingen verhindert, verspricht Google. Außerdem lassen sich Spam-Nachrichten sowie Phishing-Angriffe leichter melden.

Microsoft startet Beta-Test von Windows OneCare Live. In einem offenen Beta-Test erprobt Microsoft den bereits angekündigten Dienst Windows OneCare Live. Über den als Abo realisierten Dienst stellt Microsoft neben einem Virenscanner und einer Personal Firewall auch Backup-Funktionen für Windows bereit, um das Betriebssystem bequem pflegen zu können.

Präparierter Login-Name kann Root-Rechte gewähren. Dyad Security warnt vor einer kritischen Sicherheitslücke in Webmin und Usermin, mit der Angreifer Root-Rechte auf Server erlangen können, die mit der Server-Administrationssoftware ausgestattet sind.

Sony BMG wurde bereits Anfang Oktober 2005 über XCP-Problem informiert. Wie erst jetzt bekannt wurde, hat der finnische Anbieter von Antiviren-Lösungen F-Secure bereits Anfang Oktober 2005 eine Warnung an Sony BMG gerichtet, um auf das Problem des umstrittenen DRM-Systems XCP hinzuweisen. Allerdings wollte Sony BMG das Problem offenbar aussitzen und reagierte erst, als der öffentliche Druck immer stärker wurde.

13 Sicherheitslücken in MacOS X - Apple stellt Patch bereit. Mit einem Sicherheits-Patch für MacOS X 10.3.9 sowie 10.4.3 behebt Apple gleich 13 Sicherheitslöcher im Betriebssystem. Darunter befinden sich auch vier Sicherheitslücken im Webbrowser Safari, worüber Angreifer unter anderem beliebigen Programmcode ausführen und sich so eine umfassende Kontrolle über ein fremdes System verschaffen könnten.

Digitalfernsehen.de: Smartcard schon im Umlauf. Vor rund zwei Jahren hatte der Pay-TV-Anbieter Premiere sein Verschlüsselungssystem umgestellt, um Schwarzseher auszuschließen. Das neue System, entwickelt vom Schweizer Softwarehaus Kudelski, ist nun aber angeblich wieder geknackt worden, entsprechende Hard- und Software sei bereits im Umlauf.

Keine Aufweichung des Datenschutzes bei der Lkw-Maut. Nach einem Bericht der Bild-Zeitung erwägt Bundesinnenminister Wolfgang Schäuble, über das Mautsystem Toll-Collect gewonnene Daten der Lkw-Fahrer im Wege einer Gesetzesänderung auch für Zwecke der inneren Sicherheit zu öffnen. Dagegen laufen die Datenschützer Sturm.

Firewall-Produkt wird nicht mehr angeboten. Symantec hat die Produktlinie, die man sich durch die Übernahme des Firewall-Spezialisten Sygate einverleibt hat, überraschend eingestellt. Zum 30. November 2005 wird außerdem der Support über das Forum eingestellt, heißt es auf einer Webseite von Symantec.

HBCI-Standard bei der Postbank weiterhin ohne iTan-Unterstützung. Schon einmal ist eine Lücke im neuen iTan-Verfahren der Postbank entdeckt worden, doch Mitarbeiter der c't haben nun noch eine weitere Methode gefunden, das Sicherheitsverfahren zu umgehen: Beim eigentlich sicheren HBCI-Überweisungsverfahren wird nämlich iTan bis dato gar nicht genutzt.

Deutsche Onliner beim Online-Einkauf Spitze, aber recht unbesorgt. Nach einer Untersuchung des Marktforschungsinstituts Forrester sind im internationalen Vergleich die deutschen Internetanwender in puncto Einsatz von Sicherheitssoftware nicht besonders gut weggekommen: Nur 6 Prozent setzten fünf verschiedene Arten von Sicherheitsprodukten ein, während dies 19 Prozent der Online-Nutzer im Durchschnitt der untersuchten Länder tun.

22C3 findet vom 27. bis 30. Dezember 2005 in Berlin statt. Vom 27. bis 30. Dezember 2005 findet der 22. Chaos Communication Congress des Chaos Computer Clubs (CCC) im Berliner Congress Centrum statt. Nun steht auch das Programm des jährlich stattfindenden Hacker-Kongresses zum Großteil, wobei dieses Jahr neben deutschen Vorträgen auch immer mehr in englischer Sprache stattfinden.

Microsoft, Mozilla, Opera und KDE an einem Tisch. KDE-Entwickler George Staikos hat in einem Treffen mit Browser-Entwicklern von Microsoft, Mozilla und Opera Methoden erörtert, um die Sicherheit von Webbrowsern zu steigern. Konqueror wird in KDE 4 beispielsweise kein SSL Version 2 mehr unterstützen und die Adressleiste wird farbig anzeigen, ob man eine sichere oder unsichere Seite besucht, kündigte Staikos an.

Neue Opera-Version behebt Sicherheitsleck unter Linux, FreeBSD und Solaris. Mit Opera 8.51 ist nun ein Sicherheits-Update für den norwegischen Browser erschienen, um etwa das kürzlich bereinigte Flash-Sicherheits-Update in die Windows-Version des Browsers zu integrieren. Außerdem wird ein nun bekannt gewordenes Sicherheitsleck in Opera beseitigt, das auf den Plattformen Linux, FreeBSD und Solaris auftritt.

Wurm gibt sich als E-Mail vom Bundeskriminalamt aus. Im Internet treibt ein neuer Sober-Wurm sein Unwesen, der per E-Mail-Text und Absender vorgibt, eine Nachricht vom Bundeskriminalamt (BKA) zu sein. Darin werden die Empfänger informiert, sie würden vom BKA verdächtigt, Raubkopien einzusetzen. Seit den Morgenstunden des 22. November 2005 verbreitet sich der neue Wurm und will Opfer auf Grund der BKA-Herkunft zum Öffnen des verseuchten Anhangs bewegen.

Angreifer nutzen Sicherheitsloch vom Mai 2005. Für Microsofts Webbrowser ist Programmcode aufgetaucht, der ein altes, aber bislang nicht geschlossenes Sicherheitsleck im Internet Explorer ausnutzt. Angreifer können über eine präparierte Webseite beliebigen Programmcode auf fremde Rechner schleusen und sich so eine umfassende Kontrolle darüber verschaffen. Ein Patch zur Beseitigung des Sicherheitslochs ist nicht verfügbar.

Versteckte Technik macht PCs anfällig für Viren. Der texanische General-Staatsanwalt Greg Abbott hat wegen des umstrittenen Kopierschutzes XCP Anklage gegen Sony BMG wegen illegaler "Spyware" erhoben. Laut Abbott ist dies die erste Klage auf Basis eines neuen Gesetzes gegen Spyware, das in diesem Jahr in Kraft getreten ist.

Fix-It Utilities und System Suite nun mit Virenscanner und Spyware-Killer. VCom, ein Anbieter von Windows-Werkzeugen, hat die Werkzeugsammlungen Fix-It Utilities sowie die System Suite neu aufgelegt und bietet beide als Pro-Ausführung in der Version 6 in deutscher Version über Avanquest an. Zu beiden Programmpaketen gehört nun ein Virenscanner sowie Werkzeuge zur Erkennung und Beseitigung von Spyware.

Ergänzend bietet Sony BMG MP3-Dateien der CDs gratis zum Download. Sony BMG macht die Ankündigung wahr und hat nun das Austauschprogramm für Musik-CDs gestartet, die mit dem umstrittenen DRM-System XCP bestückt sind. US-Kunden erhalten kostenlos eine Ersatz-CD und können alternativ MP3-Dateien der CD laden. Außerdem steht nun fest: In Europa wird es keine XCP-Musik-CDs von Sony BMG geben.

Dr. Barbara van Schewick sieht Netzwerkbetreiber als Innovationsbremse. Barbara van Schewick, Wissenschaftlerin im Fachgebiet Telekommunikatiosnetze an der Technischen Universität Berlin, sieht das Internet am Scheideweg. Die Offenheit der Netze sei bisher der Garant des Fortschritts, durch den das Internet zum Tummelplatz für Innovationen wurde, aber diese Offenheit sei bedroht.

Hinweise auf Code unterschiedlicher GPL- und LGPL-Software entdeckt. Hinweise, dass Sony BMGs Rootkit Code der LGPL-Software Lame enthält, gibt es schon seit einigen Tagen. Doch zusätzlich scheint das auf Musik-CDs eingesetzte DRM-System XCP auch noch Code aus GPL-lizenzierter Software zu enthalten, wie einige Entwickler festgestellt haben wollen.

"Für wen arbeiten die Sicherheitsunternehmen eigentlich wirklich?". Sicherheitsexperte Bruce Schneier geht mit Herstellern von Sicherheitssoftware in Bezug auf den von Sony BMG eingesetzten XCP-Kopierschutz hart ins Gericht. Mit geschätzten 500.000 infizierten Systemen handle es sich um eine der schlimmsten Epidemien, doch die Hersteller von Anti-Viren-Software bemerkten davon offenbar nichts.

Windows-Updates über Firefox möglich. Einige Updates aus dem "Microsoft Download Center" lassen sich nur herunterladen, nachdem über ein ActiveX-Control die Echtheit des verwendeten Windows-CD-Keys überprüft wurde. Wer diese Prüfung nicht zulässt, darf nur als sicherheitskritisch eingestufte Updates herunterladen. Durch die Verwendung eines ActiveX-Controls war man aber bisher auf den Internet Explorer angewiesen, doch jetzt bietet Microsoft auch ein entsprechendes Plug-in für Firefox an.

Aktuelle Datenbank von Phishing-Webseiten in die MSN-Search-Toolbar integriert. Microsoft will seine Kunden besser vor Phishing schützen und will dazu auf aktuelle Daten über Phishing-Webseiten zurückgreifen. Über ein Add-in für die MSN-Search-Toolbar soll das Angebot den Nutzern ab sofort zur Verfügung stehen.

Sicherheitslücke ermöglicht Denial-of-Service-Attacken. Ein Sicherheitsproblem im Windows-RPC-Dienst (Remote Procedure Call) ermöglicht Angreifern unter Umständen einen Denial-of-Service-Angriff. Microsoft zufolge sind Windows XP bis Service Pack 1 sowie Windows 2000 bis Service Pack 4 betroffen. Updates für diese Versionen bietet der Softwarehersteller allerdings noch nicht an.

Serial-ATA-Unterstützung aus Kernel 2.6 integriert. Marcelo Tosatti, der Betreuer des Kernels 2.4, hat den Kernel 2.4.32 freigegeben. In dieser Version wurden hauptsächlich Fehler korrigiert, große Änderungen fließen in den 2.4er-Zweig ohnehin nicht mehr ein. Allerdings wurde die Serial-ATA-Unterstützung auf den Stand von Kernel 2.6 gebracht.

Lösungen sollen Sicherheit von Webanwendungen verbessern. Citrix Systems hat das US-Unternehmen Teros übernommen, das Sicherheitslösungen für Webanwendungen entwickelt. Citrix will damit seine Netscaler-Produkte mit neuen Sicherheitsfunktionen ausstatten. Die Übernahme von Netscaler hatte Citrix im August 2005 abgeschlossen.

Version 3.8.1 schließt Sicherheitslücken. Mit der Version 3.8.1 ihres Content-Management-Systems schließen die Entwickler von Typo3 einige Sicherheitslücken und führen zugleich Vorkehrungen gegen das Umgehen von bestehenden Sicherheitsmechanismen ein. Zudem wurde die grafische Darstellung optimiert.

Ad- und Spyware soll ihre Ziele im Vorfeld benennen. Ein Firmenzusammenschluss arbeitet an einer Initiative namens "Trusted Download Program", das Anbieter von Ad- und Spyware dazu verpflichten soll, entsprechende Programme klar zu kennzeichnen. Außerdem sollen solche Applikationen vorher die betreffenden Anwender um Erlaubnis fragen, ob etwa Daten ausspioniert werden dürfen.

Hersteller von Windows-PCs in PDA-Größe erhält 20 Millionen US-Dollar. OQO, Hersteller von PDA-großen Windows-PCs, erhält eine Finanzspritze von 20 Millionen US-Dollar. Neben Finanzinvestoren beteiligt sich auch Motorola Ventures, der Risikokapital-Arm von Motorola, als strategischer Investor an OQO.

Red Hat bietet schon Patches. Drei Sicherheitslücken im Grafik-Toolkit GTK+ können zu einem Pufferüberlauf führen. Dazu genügt es, den Anwender zum Öffnen eines manipulierten XPM-Bildes in einem Programm, das GTK+ benutzt, zu bringen. Auch fremder Programmcode lässt sich so ausführen.

Patrick Stach setzte Methoden von Xiaoyun Wang um. Im August 2004 veröffentlichten chinesische Forscher um Xiaoyun Wang Methoden, die Kollisionen in den Hash-Algorithmen MD4, MD5, HAVAL-128 und RIPEMD aufzeigten. Nun legte Patrick Stach einen MD5-Collision-Generator vor, der auf Basis dieser Methoden arbeitet.

Sicherheitskonferenz künftig unter dem Dach von CMP Media. CMP Media übernimmt den auf Sicherheitskonferenzen und Training spezialisierten Anbieter Black Hat, der auch hinter der gleichnamigen Konferenz steht.

Verschlüsselung im DES- oder Triple-DES-Modus. LaCie hat eine Serie von externen Festplatten vorgestellt, die auf zwei verschiedene Arten vor unberechtigten Zugriffen geschützt sind. Zum einen verfügen die Geräte über eine biometrische Zugriffskontrolle in Form eines Fingerabdruck-Sensors und zum anderen werden die Daten auf der Festplatte hardwareverschlüsselt.

Visortech Fingerprint Reader USB für Windows-Anmeldung und Passwort-Verwaltung. Einen USB-Fingerabdruck-Sensor als Ersatz für die Passworteingabe hat der Versender Pearl nun mit dem "Visortech Fingerprint Reader USB" im Programm. Mit dem Identifizierungssystem soll man sich unter anderem bei Windows anmelden können und Passwörter für andere Anwendungen wie für geschützte Websites verwalten können.

Cisco und Juniper Networks sollen Problem bereits behoben haben. Ein finnisches Forscherteam der Universität Oulu veröffentlichte jetzt eine Schwachstelle beim Schlüsselaustausch (Internet Key Exchange) von IPSec. Betroffen sein sollen verschiedene VPN- und Firewall-Produkte, unter anderem von Cisco und Juniper Networks.

Weiterer Ärger: XCP-Deinstaller macht Rechner unsicher. Kaum schien der Ärger rund um das von Sony BMG auf Musik-CDs eingesetzte DRM-System XCP etwas abgeebbt, sorgt ein weiteres Sicherheitsrisiko für eine Welle der Entrüstung. Der XCP-Deinstaller agiert per ActiveX-Control und öffnet damit den Rechner für Angreifer, die so Programmcode einschleusen können. Zu allem Überfluss scheint XCP widerrechtlich Lame-Code zu verwenden. Sony BMG beginnt derweil damit, Audio-CDs mit der XCP-Software aus dem Handel zu nehmen.

Abermals starke Verbreitung von Sober-Würmern mit deutschen Nachrichtentexten. Unter anderem im deutschsprachigen Bereich des Internets machen seit den frühen Morgenstunden des 15. November 2005 gleich drei neuer Sober-Ableger die Runde, die allesamt über Spam-Listen versendet wurden. Die Würmer verschicken sich mit deutschsprachigem Nachrichtentext, in dem die Empfänger durch Tricks zum Öffnen des verseuchten Anhangs gebracht werden sollen. Im Vorfeld hatte das LKA Bayern bereits davor gewarnt, dass am heutigen 15. November 2005 eine neue Sober-Welle zu erwarten sei.

Update-Pack-CD mit Patch-Paketen für Windows 98, Me, 2000 und XP. Die bereits in der vergangenen Woche aktualisierten Update-Pakete für die Windows-Plattform gibt es nun auch gesammelt als CD-Image von der Webseite Winboard.org. Die Update-Pack-CD hilft etwa Support-Mitarbeitern bei der Pflege von Rechnersystemen.

Microsoft-Werkzeuge werden aktualisiert. Nachdem Microsoft seit ein paar Tagen darüber grübelt, ob der Software-Gigant das von Sony BMG verwendete DRM-System XCP als Schadsoftware einstuft, steht die Entscheidung nun fest: Die von Microsoft kostenlos angebotenen Windows-Werkzeuge zur Erkennung und Eliminierung von Schadsoftware werden demnächst das DRM-System als Schädling einstufen. Sony BMG hat auf Grund des öffentlichen Drucks die Produktion von mit XCP versehenen Musik-CDs vorerst gestoppt.

... wenn auch nur zeitweilig. Sony BMG hat sich auf Grund einer auf Audio-CDs zum Einsatz kommenden, von Antiviren-Software-Entwicklern auf Grund ihrer fragwürdigen Funktionsweise als Schadsoftware klassifizierten DRM-Software XCP mittlerweile sogar eine Warnung vom Chef des US-Department of Homeland Security eingefangen. Der ganze Trubel hat das Musiklabel nun mittlerweile dazu veranlasst, die Produktion von mit XCP versehenen Musik-CDs zu stoppen.

RUB-Arbeitsgruppe demonstriert Schwachstelle des iTAN-Verfahrens. Um die eigenen Kunden vor "Phishing" zu schützen, setzt unter anderem die Postbank mittlerweile auf das iTAN-Verfahren, bei dem vom Nutzer eine ganz bestimmte TAN abgefragt wird. Wissenschaftler der Ruhr-Universität Bochum zeigten jetzt, dass sich auch dieser Ansatz leicht überlisten lässt.

Angreifer können beliebigen Programmcode ausführen. In etlichen Versionen des RealPlayers stecken gefährliche Sicherheitslücken, die das Ausführen beliebigen Programmcodes auf einem fremden System ermöglichen. Dazu genügt es, Anwender zum Öffnen einer manipulierten Skin- oder RealMedia-Datei zu bewegen. RealNetworks hat bereits Updates zur Behebung der Probleme veröffentlicht.