Security

Sicherheitslecks gestatten Angreifern unerlaubte Ausführung von Programmcode. Mit einem Schlag informiert Microsoft über mehrere Sicherheitslecks, welche in verschiedenen Produkten aus Redmond stecken. So sind neben Windows 2000, XP auch Word, Excel sowie die FrontPage Server Extensions betroffen. Ohne eingespielte Patches können Angreifer Programmcode auf einem fremden System ausführen. Alle Sicherheitslecks werden von Microsoft als kritisch eingestuft.

Angreifer können Programmcode ausführen und Dateien einsehen. Für den Internet Explorer 5.01, 5.5 und 6.0 bietet Microsoft einen Sammel-Patch an, der alle bislang veröffentlichten Sicherheits-Patches umfassen sowie fünf neue Lecks beheben soll. Ohne eingespielte Patches können Angreifer Dateien ausspionieren oder Programmcode auf einem fremden System ausführen. Alle Sicherheitslecks werden von Microsoft für mehrere Versionen des Internet Explorer als kritisch eingestuft.

Update soll die Zuverlässigkeit einiger Komponenten verbessern. Nach zwei bekannt gewordenen Sicherheitslücken in MacOS X 10.3 schiebt Apple nun ein erstes Update-Paket für das Betriebssystem nach, welches einerseits die beiden Sicherheits-Patches sowie einige andere Fehlerbereinigungen enthalten soll. Das Update auf MacOS X 10.3.1 wird sowohl für die Client-Versionen als auch für die Server-Ausführung angeboten.

Nichtigkeitsklage gegen Patent eingereicht. Die Hamburger Kanzlei Kai Kähler geht jetzt im Auftrag mehrerer Abmahnopfer gegen Trivialpatent vor, das als Grundlage der bundesweit versandten Abmahnungen des Biberacher Michael Hermann diente.

Acht Festnahmen wegen Betruges mit Computersoftware. Das BKA hat heute rund 30 Objekte wegen Verdachts auf gewerbsmäßige Raubkopien durchsucht. Zudem wurden insgesamt fünf Haftbefehle vollstreckt und drei weitere Personen vorläufig festgenommen. Dabei konzentrierte man sich vor allem auf Nordrhein-Westfalen, aber auch in Rheinland-Pfalz, Niedersachsen und Hamburg wurden Durchsuchungen vorgenommen.

Geringe Systemleistung nach Aus- und Einschalten behebt der Patch gleichfalls. Palm bietet ab sofort einen Patch für den Tungsten T3 an, welcher Probleme bei der Benutzung von SD-Cards etwa einen Monat nach Entdeckung des Fehlers beheben soll. Außerdem will Palm mit dem Patch eine Abhilfe gegen die geringe Systemleistung nach dem Aus- und Einschalten des Tungsten T3 liefern. Einen Grund für die Probleme mit SD-Cards nannte Palm nicht, rät aber, den aktuellen Patch zu installieren.

Navajo Security Gateway und Navajo DataMinder vorgestellt. Das US-Unternehmen MagiQ Technologies kündigte jetzt an, die weltweit erste kommerziell verfügbare Quanten-Kryptographie-Lösung auf den Markt zu bringen. Mit dem Navajo Security Gateway verspricht MagiQ eine auch in Zukunft absolut sichere Verschlüsselung.

Kurze "menschliche" Passwörter können per Wörterbuch-Attacke ausspionert werden. Nachdem die WEP-Verschlüsselung schon seit letztem Jahr als nicht mehr wirklich sicher gilt und beim Unternehmenseinsatz deshalb zusätzliche Verschlüsselungsmaßnahmen getroffen werden sollten, soll auch der WEP-Nachfolger "Wi-Fi Protected Access" (WPA) eine gravierende Schwäche haben: Werden nur kurze Passwörter auf Basis normaler Wörter eingesetzt, so reicht - auf Grund einer Schwäche in der Passwort-Eingabe von WPA-fähigen Access-Points und WLAN-Adapter - eine Wörterbuch-Attacke, um das Netz anzugreifen, ohne dass dazu ein direkter Zugriff auf WLAN notwendig ist, so Robert Moskowitz von TruSecure.

Neue Firmware verhindert Datenverlust bei Nutzung der Laufwerke mit MacOS X 10.3. Nachdem Apple Ende Oktober 2003 darüber informierte, dass es bei Nutzung von MacOS X 10.3 mit verschiedenen externen FireWire-Festplatten zu Datenverlust kommen kann, gibt es nun Abhilfe. Die Probleme mit den FireWire-Laufwerken mit Oxford-Chipsatz 922 behebt eine aktualisierte Firmware, welche die Versionsnummer 1.05 trägt.

Microsoft stellt Patch für Office 2003 zur Behebung des Fehlers bereit. Für das frisch auf dem Markt befindliche Office-Paket Office 2003 muss Microsoft bereits einen ersten Patch anbieten, der einen möglichen Datenverlust beim Umgang mit Dokumenten aus Office 2000 beseitigen soll.

Weiterer Patch stopft Sicherheitsleck in MacOS X 10.3. Mit einem aktuellen Security Update behebt Apple ein weiteres Sicherheitsleck in dem jüngst erschienenen MacOS X 10.3 alias Panther. Demnach weist die Terminal-Applikation im Betriebssystem ein Sicherheitsleck auf, worüber ein Angreifer ohne Berechtigung auf das System zugreifen kann.

Auch die dritte Runde geht an den Anonymisierungsdienst. Das Landgericht Frankfurt (Az.: 5/8 Qs 26/03) hat nun auch in der dritten gerichtlichen Auseinandersetzung zwischen dem Bundeskriminalamt (BKA) und den Betreibern des Anonymisierungsdienstes AN.ON zu Gunsten von AN.ON entschieden, teilte der umstrittene Anonymisierdienst mit. Ebenso wie bei den beiden vorangegangenen Entscheidungen einer anderen Kammer des LG Frankfurt (Az.: 5/6 Qs 47/03) wurde die Rechtsauffassung von AN.ON bestätigt.

Schwedischer Provider verstärkt Maßnahmen gegen Spam, Viren und Würmer. Telia, einer der größten ISPs in Schweden, blockiert seit gestern den Internetverkehr von und zu Computern, die Spam versenden. Telia will so einen Beitrag leisten, um das wachsende Volumen von Spam-E-Mails einzudämmen. Dabei geht es Telia vor allem um diejenigen, die gar nicht wissen, dass ihre Computer zum Versand von Massen-E-Mails missbraucht werden.

Mimail-Wurm fälscht E-Mail-Adresse und führt Denial-of-Service-Attacken aus. Wie Hersteller von Antiviren-Software übereinstimmend berichten, verbreiten sich drei Varianten des Mimail-Wurms stark im Internet. Im Unterschied zum Original-Wurm verbreitet sich der Wurm, ohne dass eine Sicherheitslücke in Outlook Express ausgenutzt wird. Der Wurm führt eine Denial-of-Service-Attacke aus, während Mimail.C sensitive Informationen des infizierten Systems stiehlt.

Australische Polizei ermittelt gegen international aktive Betrüger. Ein 39-jähiger Mann aus Sydney wurde von der australischen Polizei im Rahmen von seit vier Monaten andauernden Ermittlungen gegen Multi-Millionen-Dollar schwere Betrugsfälle festgenommen. Die australische Polizei macht ein australisches Verbrechersyndikat dafür verantwortlich, rund um die Welt arglose Menschen mit überzogenen Lotteriegewinn- und Geschäftsmöglichkeitsversprechen um ihr Geld erleichtert zu haben - darunter auch durch die allseits bekannten "Nigeria-Scam"-Mail-Fluten.

Käufer von Symantec-Produkten können Software nicht verwenden. Nach einem Bericht des US-Computer-Magazins CNet.com macht die Zwangsaktivierung einiger Symantec-Produkte Probleme, so dass entsprechende Software bei jedem Rechner-Neustart eine Aktivierung verlangt. Derzeit sind davon nur Kunden in den USA und Großbritannien betroffen, da Symantec in anderen Regionen bislang keine Zwangsaktivierung in ihre Produkte integriert hat.

Täter lassen sich Kopie des Kfz-Briefes per E-Mail zusenden. In Niedersachsen sind in den letzten Wochen vermehrt Betrugsstraftaten registriert worden, die im Zusammenhang mit dem Autokauf und dem Anbieten per Internet stehen, teilte das LKA Niedersachsen mit.

Bislang keine Patches für frühere Versionen von MacOS X im Angebot. Nach Apple-Informationen behebt das kürzlich erschienene MacOS X 10.3 gleich 14 Sicherheitslecks in früheren Versionen von MacOS X, für welche bislang keine separaten Patches angeboten werden. Wer also derzeit ein älteres System vor Angriffen bewahren möchte, muss das kostenpflichtige Update auf MacOS X 10.3 kaufen. Als Weiteres wurde bereits ein Patch für MacOS X 10.3 veröffentlicht, welcher ein Sicherheitsleck in QuickTime Java bereinigen soll.

Innenministerium Nordrhein-Westfalen mit Spezialistenteam. Die Polizei in Nordrhein-Westfalen setzt konzentriert Spezialisten ein, um die Internet-Täter und andere Delikte im Bereich Computerkriminalität aufzuspüren. Das Innenministerium will den technischen und kriminalistischen Sachverstand in jeder Polizeibehörde bündeln. Zudem werden zur Bekämpfung der PC-Kriminalität in großen Polizeibehörden spezielle Kommissariate gebildet. Sechs dezentrale polizeiliche Informations- und Servicecenter und eine zentrale Stelle beim Landeskriminalamt werden neu eingerichtet.

Anbieter darf keine Gebühren für die genutzten Rufnummern in Rechnung stellen. Die Regulierungsbehörde für Telekommunikation und Post (Reg TP) hat auf Grundlage des neuen Mehrwertdienstemissbrauchsgesetzes unter Auswertung von Verbraucherhinweisen und eigenen Recherchen die Registrierung aller Dialer eines großen deutschen Dialer-Anbieters mit Wirkung ab dem 15. September 2003 (Tag der Registrierung) zurückgenommen. Dies hat zur Folge, dass die Dialer zu keinem Zeitpunkt als registriert galten. Diese Maßnahme betrifft insgesamt 398.791 Dialer des Anbieters.

Sober-Wurm fälscht häufig Absenderadresse und verschleiert so die Herkunft. Im Internet kursiert derzeit ein E-Mail-Wurm namens Sober, der sich als Besonderheit mit deutschem Nachrichtentext samt deutschsprachiger Betreffzeile versendet und zudem häufig eine gefälschte Absenderadresse verwendet. Bislang registrierten die Hersteller von Antiviren-Software keine starke Verbreitung, jedoch deutet sich eine starke Ausweitung im deutschen Sprachraum an: Der seit Freitagabend aktive Wurm erreichte die Redaktion von Golem.de bereits unzählige Male, was auf eine recht hohe Verbreitung hindeutet.

Sicherheitsleck erlaubt die Umgehung der Restriktionen der Java-Sandbox. Sun bietet ab sofort einen Patch für die Java Virtual Machine an, um ein Sicherheitsloch zu stopfen, worüber Angreifer die Sandbox-Restriktionen umgehen und so auf prinzipiell alle Bereiche des Rechners zugreifen können. Entdeckt wurde das Sicherheitsloch von Last Stage of Delirium (LSD) bereits Anfang Juni 2003, allerdings hat man mit einer Veröffentlichung der betreffenden Informationen gewartet, bis nun entsprechende Patches zum Download bereitstehen.

Virenscanner mit integriertem Patch-Management für andere Software. Panda aktualisiert die Antivirus-Software Titanium Antivirus und hievt die Versionsnummer auf die Jahreszahl 2004. Die neue Version soll sich vor allem besser gegen Schädlinge wehren können, welche laufende Antivirenprogramme aus dem Speicher fegen, um so installierte Virenscanner unschädlich zu machen.

Kampf gegen Versender unerwünschter und betrügerischer Werbemails. Der von den US-Senatoren Ron Wyden und Conrad Burns entworfene Gesetzentwurf gegen unerwünschte und betrügerische E-Mail-Werbung, der so genannte "CAN-SPAM Act of 2003 S. 877", wurde am gestrigen 22. Oktober 2003 vom US-Kongress akzeptiert und kann - sofern er die letzten Hürden nimmt - evtl. ab 2004 in Kraft treten. Der Gesetzentwurf legt harte zivil- und strafrechtliche Folgen gegen Versender von unrechtmäßig zugestellten E-Mails fest und sieht "No-Spam"-E-Mail-Listen ("Opt-Out"-Listen) sowie die Kennzeichnung von E-Mails mit pornografischem Inhalt vor.

SafeWeb bietet SSL-basierten VPN-Zugriff zur Fernwartung. Symantec hat das kalifornische Unternehmen SafeWeb, einen Anbieter von SSL- basierten VPN-Appliances, für 26 Millionen US-Dollar erworben. Durch die Akquisition will Symantec in Zukunft die SafeWeb-Technologie Secure Extranet Appliance (SEA) im eigenen Produktportfolio anbieten.

Sonderheft der Stiftung Warentest mit BSI-CD. Am 22. Oktober 2003 ist das Heft test SPEZIAL "Internet" der Stiftung Warentest erschienen. Den 94.000 Heften liegt erstmals auch eine CD bei, auf der Inhalte der Internetseite www.bsi-fuer-buerger.de gespeichert sind. Herausgeber dieser Seiten ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Dabei dreht sich alles um den Schutz des eigenen PCs vor möglichen Gefahren aus dem Internet.

Abmahnungen zu Internetadressen mit den Endungen -ka.de und -bad.de. Viel Aufregung gibt es derzeit über einen potenziellen Betrugsfall: Viele Betreiber von .de-Domains, in denen die Kürzel von Kfz-Kennzeichen auftauchten, erhielten am 17. Oktober 2003 Abmahnungen mit der Aufforderung, bis zum 20. Oktober eine Unterlassungserklärung abzugeben und 1.114,50 Euro an einen Nürnberger Anwalt zu überweisen. Sowohl die IHK Karlsruhe als auch die Polizeidirektion Braunschweig warnten Betroffene davor, die Unterlassungserklärungen zu unterzeichnen.

Transcend setzt auf NAND-Flash-Chips für "große" USB-Speicherstecker. Transcends USB-2.0-Speicherstecker Jetflash gibt es ab November auch in einer Kapazität von 4 GByte. Damit erreichen die kompakten, nur an die USB-Schnittstelle zu steckenden Flash-Speicher mittlerweile fast Kapazitäten von Single-Layer-DVDs (4,7 GByte).

Kunden und Partner sollen ihre Mail-Server bei AT&T anmelden. Das US-Telekommunikationsunternehmen AT&T hat Partner und Kunden in einer E-Mail aufgefordert, die IP-Adressen der von ihnen verwendeten Mail-Server zu übermitteln. AT&T will sich so mit Hilfe einer "Positivliste" abschotten und gegen Spam zu Wehr setzen.

Ab 1. Januar 2004 Zahlungsterminals NRW-weit im Einsatz. Moderne Bezahlmethoden und Computertechnik ziehen auch bei der Polizei im Streifendienst langsam in den Alltag ein. Ab 1. Januar 2004 nimmt die nordrhein-westfälische Polizei kein Bargeld mehr von Verkehrssündern an. Diese werden dann von den Polizisten landesweit nur noch mit rund 3.400 mobilen elektronischen Zahlungsterminals zur Kasse gebeten. Ähnliche Verfahren gibt es auch im europäischen Ausland teilweise seit Jahren.

Aktuelle Opera-Version beseitigt Sicherheitsleck; Opera mit "Type Ahead Find". Nachdem bereits mit dem Erscheinen der englischsprachigen Version von Opera 7.21 für Windows, Linux und FreeBSD alternative deutsche Sprachdateien erhältlich waren, bietet Opera nun selbst deutsche Sprachdateien für diese Plattformen und zumindest für Windows eine deutschsprachige Komplettinstallation an. Seit Opera 7.20 beherrscht der Browser die "Type Ahead Find"-Funktion von Mozilla. Mit der aktuellen Opera-Version wird ein Sicherheitsleck in Opera 7 beseitigt, so dass Nutzer einer älteren Fassung auf Opera 7.21 aufsteigen sollten.

128 MByte mit dem Finger sichern. Der Magic Finger Drive, ein 128-MByte-USB-Flashspeicher von ARP Datacon, kann seine Daten mit einem auf dem Gerät angebrachten Fingerabdruck-Sensor vor unbefugten Zugriffen schützen. Selbst ein nachgemachter Silikonfinger soll den Fingerabdrucksensor nicht täuschen können. Die Berechtigungsprüfung für den Speicherzugriff dauert nach Herstellerangaben knapp eine Sekunde.

LCOS 3.20 mit neuen Funktionen und höherem Datendurchsatz. Die Lancom Systems GmbH bietet für ihre VPN-Router ein Firmware-Update auf die neue Version 3.20 des Router-Betriebssystems LCOS (Lancom Operating System) an. Neben verschiedenen Detailverbesserungen sollen Anwendern von Lancoms VPN-Routern kostenlos neue Funktionen geboten werden.

Für Hacker-Abwehr klare Rahmenbedingungen gefordert. Bundesinnenminister Otto Schily (SPD) hat Bundesländer und Konzerne aufgefordert, die Sicherheit ihrer Rechner und Netzwerke zu verbessern. "Viele Unternehmen investieren zu wenig in die IT-Sicherheit, angefangen vom Personal bis zu Hard- und Software", sagte Schily im Interview mit dem Nachrichtenmagazin Focus.

Neue Anti-Dialer-Gesetzgebung schreckt nicht ab. Viele Anbieter von Einwahlprogrammen ("Dialer") lassen sich vom neuen Anti-Dialer-Gesetz in Deutschland nicht von ihrem Tun abschrecken. Das Mitte August in Kraft getretene "Gesetz zur Bekämpfung des Missbrauchs von 0190er-/0900er-Mehrwertdiensterufnummern" definiert feste Kriterien für Dialer, an die sich die Anbieter eigentlich halten müssten.

Steuerung von PCs, Servern und USVs via IP, USB und seriell. Lindy hat ein Gerät vorgestellt, mit dem man per Internet auf die Stromversorgung von Rechnern, USVs, Routern oder anderen Geräten zugreifen kann. Damit lassen sich sämtliche Geräte, die ans Stromnetz angeschlossen sind, ein- oder ausschalten. Bis zu acht Geräte sind an einem Switch anschließbar. Der Lindy IPower Switch 1500 ist kaskadierbar und bietet so die Möglichkeit, bis zu 128 Geräte über eine IP-Verbindung zu managen.

Patch umgeht die Einzel-Installation von 22 verschiedenen kritischen Updates. Gerade für diejenigen, die ihr Windows-XP-System noch nicht mit allen kritischen Sicherheits-Updates versehen haben, bietet Microsoft nun das "Update Rollup 1 for Microsoft Windows XP" an. Dieser Sammel-Patch beinhaltet alle seit dem Service Pack 1 erschienenen kritischen Sicherheits-Updates.

Microsoft macht monatlichen Patch-Rhythmus wahr. Microsoft setzt die angekündigte neue Sicherheitsstrategie mit insgesamt sieben neuen Security Bulletins in die Tat um. Alle Security Bulletins werden von Microsoft in einem so genannten Security Bulletin Summary für den Monat Oktober 2003 zusammengefasst. Steve Ballmer kündigte an, Sicherheits-Patches monatlich anbieten zu wollen, was nun Realität wurde. Fraglich bleibt, ob Microsoft eine erhöhte Sicherheitsaufmerksamkeit erreicht, indem die Anwender mit Patches derart "beworfen" werden.

Wired: Sicherheitslücken erlauben Spammern unentdecktes Web-Hosting. Wired berichtet über einen polnischen Anbieter, der derzeit im Forum für einen neuen Dienst wirbt, der Spammern einen sicheren Hosting-Dienst für ihre Websites verspricht. Für 1.500 US-Dollar im Monat verspricht man Sicherheit vor Rückverfolgung durch entsprechende Netzwerk-Werkzeuge.

Weiteres Sicherheitsleck umgeht die bereits angebotenen Windows-Patches. Nachdem Microsofts bereits zwei Patches zur Schließung von Sicherheitslücken im RPC-Protokoll verschiedener Windows-Versionen veröffentlicht hat, berichten Sicherheitsexperten auf den Mailinglisten Bugtraq und Full Disclosure, dass weitere Lecks im RPC-Protokoll ausgenutzt werden können. So könne auf Systemen mit eingespieltem Patch eine Denial-of-Service-Attacke ausgeführt werden, was vermutlich das betreffende System zum Absturz bringt.

Regulierungsbehörde prüft rechtliche Maßnahmen gegen Dialer-Betreiber. Offenbar wurden bei der Regulierungsbehörde für Telekommunikation und Post (Reg TP) tausende Dialer registriert, die den gesetzlichen Mindestanforderungen nicht entsprechen, das berichtet die Website Dialerschutz.de in Zusammenarbeit mit Computerbetrug.de.

Strato Backup Control macht Bearbeitungsfehler rückgängig. Der Webhoster Strato hat ein Web-Wiederherstellungs-Werkzeug ("Backup Control") vorgestellt, mit dem die eigenen Webseiten per FTP in den vorherigen Bearbeitungszustand zurückgesetzt werden können. Strato erstellt hierfür automatisch Backups, die die "Premium"-Kunden abrufen können.

"Princeton-Doktorand hat das fundamentale Ziel von MediaMax übersehen". Nachdem der Princeton-Doktorand John A. Halderman wie berichtet nachgewiesen hatte, dass sich der neue und von Bertelsmann in den USA bereits eingesetzte Audio-CD-Kopierschutz MediaMax CD3 einfach durch das Drücken der Shift-Taste und das damit verbundene Ausschalten des CD-Autostarts deaktivieren lässt, wollte SunnComm als Hersteller des Kopierschutzes Halderman auf eine Summe von 10 Millionen US-Dollar verklagen. Nun hat es sich SunnComm allerdings doch anders überlegt, da man mit der Klage den Schaden nicht wieder gutmachen könne und zudem die wissenschaftliche Forschung von Kopierschutztechniken nicht behindern wolle.