Security

Apple, Dell, IBM, Intel und Microsoft gegen verschärften Kopierschutz. Unter dem Dach der Alliance for Digital Progress (ADP) hat sich jetzt eine Gruppe von Verbraucherorganisationen, Think Tanks, Steuerzahlerorganisationen und Unternehmen zusammengefunden, die sich in den USA gegen die Einführung einer gesetzlichen Pflicht für technische Kopierschutzmechanismen aussprechen. Insbesondere stellt man sich dabei gegen die Versuche Hollywoods, die Regierung davon zu überzeugen, dass alle digitalen Endgeräte in Zukunft mit einem Kopierschutzsystem ausgestattet sein müssen.

Sicherheitslücke steckt im Locator Service der Windows-Systeme. Microsoft gesteht eine Sicherheitslücke in Windows NT 4.0, 2000 und XP ein, die jedoch nur die meist standardmäßig deaktivierte Komponente "Locator Service" betrifft. Der Dienst überträgt die Namen von an einem Netzwerk angemeldeten Rechnern in Netzadressen und kann durch das Leck zur unberechtigten Programmausführung verwendet werden. Microsoft bietet Patches für alle drei Betriebssysteme an.

Lösung für kleine und mittlere Unternehmen. Das deutsche Unternehmen Astaro hat eine hybrid einsetzbare Netzwerksoftware angekündigt, die als Firewall/VPN/Anti-Virus und Anti-Spam-Lösung eingesetzt werden kann. Astaro Security Linux V4 soll in kleinen und mittelständischen Unternehmen als Universallösung für die genannten Anwendungs- und Problemfälle eingesetzt werden können.

John Perry Barlow im Gespräch mit Golem.de. Im Bundestag wird derzeit eine Gesetzesnovelle verhandelt, mit der das Urheberrecht an die digitale Informationsgesellschaft angepasst und somit nach Vorbild des amerikanischen Digital Millennium Copyright Act (DMCA) das Umgehen von Kopierschutzmaßnahmen unter Strafe gestellt werden soll. Damit würde allerdings auch das Recht auf die Privatkopie faktisch abgeschafft werden. Im Interview mit Golem.de warnt John Perry Barlow, Frontmann der Band Grateful Dead und Mitbegründer der Electronic Frontier Foundation (EFF), vor den Folgen einer derartigen Gesetzesänderung.

Open-Source-End-to-End-Lösung mit Helix-DNA-Server komplett. RealNetworks hat mit dem Helix-DNA-Server jetzt die letzten Schlüsselkomponenten seines Open-Source-Media-Delivery-Systems veröffentlicht. Damit bietet Real Networks jetzt eine Open-Source-End-to-End-Lösung an, einschließlich Producer, Server und Client. Der jetzt veröffentlichte Quelltext des Helix-DNA-Servers ist Kern von RealNetworks Helix Universal Server.

Macau als Vorreiter bei E-Government. Die von Siemens Business Services und Giesecke & Devrient gelieferten multifunktionalen Chipkartenausweise werden jetzt an die Bürger des Sonderverwaltungsgebiets Macau (Special Administrative Region) ausgegeben. Die Verteilung der Karten an die 460.000 Einwohner beginnt elf Monate, nachdem Siemens Business Services den Auftrag erhalten hat. Sie soll in vier Jahren abgeschlossen sein. Das Projekt hat einen Wert von mehr als 100 Millionen Hong-Kong-Dollar (rund 16 Millionen Euro).

Angreifer können unter Umständen Root-Rechte erlangen. Eine kritische Sicherheitslücke im Concurrent Versions System (CVS) hat Stefan Esser von der Firma e-matters entdeckt. CVS wird in der Softwareentwicklung zur Verwaltung von Quelltexten eingesetzt und ist insbesondere im Open-Source-Umfeld das dominierende System. CVS bis zur Version 1.11.4 erlaubt es Angreifern unter Umständen eigenen Code auf einem entsprechenden Server auszuführen.

Service Pack bündelt Bugfixes und bringt einige Neuerungen. Microsoft stellt ab sofort das dritte Service Pack (SP) für den SQL-Server 2000 zum Download bereit, das die Bugfixes und Patches der vergangenen 14 Monate bündelt, aber auch einige Neuerungen bringt.

Unter anderem SuSE, Red Hat und Debian betroffen. Bei einer Code-Prüfung hat das Internet Software Consortium einige Sicherheitslücken in seinem DHCP-Daemon entdeckt, der von diversen Linux-Distributionen genutzt wird. Dadurch könnte es entfernten Angreifern möglich sein, willkürlichen Code mit der Benutzerkennung auszuführen, unter der der dhcpd läuft - normalerweise "root".

StorCard mit Verschlüsselungs-SmartCard und Mikro-Festplatte. Das 2001 gegründete US-Unternehmen StorCard arbeitet nach eigenen Angaben derzeit an einer Festplatte im Format einer Kreditkarte, die bis zu 5 GByte Daten aufnehmen soll. Als Weiteres umfasst das gleichfalls StorCard getaufte Gerät Verschlüsselungsverfahren auf einer SmartCard.

UDP-Protokoll macht es den Angreifern leicht. Vom Sicherheitsunternehmen PivX stammt die Warnung, dass sich die für Battlefield 1942, Quake 3 Arena und Counter-Strike eingesetzten Gameserver für eine besondere Form von Denial-of-Service-Attacken einsetzen lassen könnten.

Outlook 2000 kennt sonst nur die Feiertage bis 2002. Microsoft bietet ab sofort ein Update für Outlook 2000 an, das die gesetzlichen Feiertage für die Jahre 2003 bis 2007 nachreicht. Ohne das Update kennt Outlook 2000 nur die Feiertage bis zum vergangenen Jahr.

Version mit 64 und 128 MByte angekündigt. Iomega bietet USB-Flash-Speicher-Laufwerke nun auch in Europa an. Das Mini-USB-Laufwerk ist - wie die Konkurrenz - nicht größer als ein Autoschlüssel, wiegt 20 Gramm und kann damit problemlos transportiert werden.

Vorschriften zum Schutz des Persönlichkeitsrechts würden ins Gegenteil verkehrt. Nachdem das Regierungspräsidium Darmstadt laut verschiedenen Presseberichten dem Internet-Provider T-Online entgegen verschiedener Beschwerden von Kunden zugestanden hat zu archivieren, welchen Kunden in einem bestimmten Zeitraum welche IP-Nummer zugewiesen wurde, kommentierte nun das Unabhängige Landeszentrum für Datenschutz (ULD) Schleswig-Holstein diese Entscheidung. Die Aufsichtsbehörde Darmstadt hätte auf den Einzelfallcharakter ihrer Entscheidung hingewiesen, auch dass die Rechtsauslegung der Aufsichtsbehörden anderer Bundesländer unberührt bliebe.

Einloggen durch Klicken geheimer Bildpunkte. Von der deutschen Firma Sfr stammt die PalmOS-Software Visual Key, mit der man mit wenigen Klicks auf ein Bild seiner Wahl ein Passwort definieren kann, was als Ersatz für Text-Kennwörter dient. Die Software merkt sich auf beliebigen Bildern bestimmte vom Anwender zu definierende Stellen sowie deren Anklickreihenfolge und gibt erst bei erfolgreicher Eingabe den Zugriff auf den mobilen Begleiter frei.

Kabelfreie Krankenhäuser durch WLANs. Erhebliche Umsatzsteigerungen prognostiziert eine neue Analyse von Frost und Sullivan dem Europamarkt für WLANs (Wireless Local Area Network) in Krankenhäusern. So sollen die Erlöse mit WLAN-Infrastruktur-Technologien für Kliniken von 12,29 Millionen US-Dollar in 2001 auf 92,27 Millionen US-Dollar im Jahr 2007 anwachsen. Als Hauptwachstumsmotor gilt das Potenzial von WLANs zur Produktivitäts- und Mobilitätssteigerung.

"FVL328 Breitband DSL/Kabel VPN Firewall-Router" bindet viele Außendienstler an. Netgear hat mit dem "FVL328 Breitband DSL/Kabel VPN Firewall-Router" das neueste Mitglied seiner ProSafe-Produktfamilie angekündigt. Der neue DSL-Router mit Firewall-Funktionen soll bis zu 100 verschlüsselte VPN-Tunnel gleichzeitig verwalten können. Der FVL328 ist speziell für Unternehmen konzipiert, bei denen viele Mitarbeiter von außerhalb auf die Unternehmensdaten zugreifen müssen und die ihr Netzwerk ohne großen Budget-Aufwand mit einer Firewall schützen wollen.

RIAA tritt Forderungen der MPAA nach besserem Kopierschutz entgegen. Repräsentanten der US-Phono- und -Technik-Industrie haben sich auf neue Grundregeln im Hinblick auf ihr Vorgehen in Bezug auf die Verbreitung digitaler Inhalte geeinigt. Mit ihrem Papier wollen die Business Software Alliance (BSA), das Computer Systems Policy Project (CSPP) und die Recording Industry Association of America (RIAA) eine neue Grundlage für die Industrie legen, die sich mit Problemen der "Piraterie" auseinander setzen müsse, aber zugleich die Digitalisierung im Sinne der Kunden vorantreiben wolle. Dabei tritt die RIAA den Forderungen der Motion Picture Association of America (MPAA) nach einer gesetzlich verankerten Verstärkung von technischen Kopierschutzsystemen entgegen.

Infogrames bringt Fortsetzung des Strategiespiel-Klassikers. Mit Master Of Orion III veröffentlicht Infogrames am 25. Februar 2003 den neuen Teil der populären Strategiespiel-Reihe. Der Titel erscheint exklusiv für PC und lässt den Spieler im Weltraum gegen 16 intergalaktische Rassen antreten.

... allerdings erst mit einem noch nicht veröffentlichten Neo-Client. Auf TheNeoProject.com ist zu lesen, dass sich die privaten Betreiber nun doch wieder entschieden haben, mit der Xbox Publix Key Challenge fortzufahren, um mit geballter Rechenkraft der Teilnehmer den Xbox-Kopierschutz auszuhebeln. Damit wolle man insbesondere das Xbox-Linux-Projekt unterstützen.

Norwegisches Gericht sieht nichts Unrechtmäßiges in DeCSS-Entwicklung. Ein norwegisches Strafgericht hat den norwegischen Teenager Jon Johansen freigesprochen, der das DVD-Entschlüsselungsprogramm DeCSS mitentwickelt hatte, um DVD-Spielfilme auch auf seinem Linux-Rechner abspielen zu können. "Das norwegische Gericht hat erkannt, dass Jon das Recht dazu hat, die nötigen Schritte auszuführen, um seine eigenen DVDs auf seinem eigenen Rechner anzusehen", erklärte die Rechtsexpertin Cindy Cohn von der US-Bürgerrechtsorganisation Electronic Frontier Foundation (EFF), die Johansen in dem international für Aufsehen sorgenden Rechtsstreit zur Seite stand.

Wurm verbreitet sich über E-Mail, ICQ, IRC und KaZaA. Ein neuer Mail-Wurm namens Lirva.A treibt im Internet sein Unwesen, der sich über E-Mail, ICQ, IRC, KaZaA sowie offene Netzwerk-Verbindungen verbreitet und bei Aktivierung Virenscanner und Software-Firewalls deaktiviert. Der Wurm macht sich eine alte Sicherheitslücke im Internet Explorer zu Nutze, um sich automatisch verbreiten zu können. Zahlreiche Anbieter warnen vor dem neuen Wurm und bieten bereits aktualisierte Virensignaturen an.

The Neo Project nennt rechtliche Probleme als Grund. Das private Distributed-Computing-Projekt "The Neo Project" hat die Suche nach dem Xbox Public Key "aus rechtlichen Gründen" wieder aufgegeben. Erst Anfang Januar hatte man mit dem Projekt begonnen, mit dem man nach eigenen Aussagen insbesondere dem Xbox-Linux-Projekt helfen wollte, um Installations-Medien erstellen zu können, die auch ohne Ausschalten des Xbox-Kopierschutzes mittels Modchip bzw. Austausch-BIOS akzeptiert werden.

Nächste Exchange-Generation kommt Mitte 2003. Microsoft hat jetzt eine zweite Beta-Version von "Titanium", der nächsten Generation des Microsoft Exchange Servers, veröffentlicht. Zugleich hat man den Namen der neuen Software offiziell bekannt gegeben: Exchange Server 2003.

Spam-Filter soll in McAfee-Security-Anti-Virus-Produkte integriert werden. Network Associates hat das amerikanische Unternehmen Deersoft (SpamAssassin Pro) übernommen und sich so die Rechte an einer Anti-Spam-Lösung gesichert, die man künftig in die McAfee-Security-Anti-Virus-Produkte integrieren will.

Neo Project will mit verteiltem Rechnen den Xbox Public Key entschlüsseln. Distributed-Computing-Projekte, bei denen viele Internet-Nutzer einen Teil ihrer Rechenkapazität zum Knacken von Verschlüsselungs-Algorithmen, der Suche nach Medikamenten, Außerirdischen oder der Vorhersage von Aktienkursen zur Verfügung stellen, gibt es bereits seit längerem. Das private Neo Project hat sich nun dem Knacken des Xbox Public Key angenommen, um etwa die Xbox-Linux-Distribution ohne installierten Modchip auf Microsofts Spielekonsole Xbox zum Laufen bringen zu können.

Keine sicheren E-Books mehr. Nach einem Bericht des Onlinemagazins PocketPCAddict.com ist es Dan Jackson gelungen, die Verschlüsselungsmechanismen in dem von Microsoft entwickelten E-Book-Format zu umgehen.

Bericht über das Hacker-Treffen in Berlin. Wie üblich zwischen Weihnachten und Neujahr fand auch 2002 wieder das größte Hacker-Treffen der Bundesrepublik statt: im Berliner Stadtteil Mitte, ausgerichtet vom renommierten Chaos Computer Club (CCC). 2.500 Besucher wurden erwartet - und die interessierten sich in diesem Jahr nicht nur für Technologie und Sicherheit, sondern zunehmend auch für Politik, denn der Druck auf das Netz wächst.

Erweitertes Sicherheits-Release des KDE-Desktops erschienen. Das KDE-Team hat mit KDE 3.0.5a ein erweitertes Sicherheits-Release von KDE 3 veröffentlicht. KDE 3.0.5a enthält einige wichtige Sicherheitserweiterungen, aber auch einige Verbesserungen in Sachen Stabilität.

Präparierte MP3-Dateien bzw. ID3v2-Tags können Buffer-Overflow auslösen. Am 18. Dezember vermeldete Foundstone Research Labs eine Sicherheitslücke in Nullsofts MP3-Wiedergabesoftware Winamp, bei der mittels präparierter MP3-Dateien fremder Code ausgeführt werden kann. Nullsoft hat bereits die betroffenen Winamp-Versionen 2.81 und 3.0 überarbeitet.

Zeitlich unbegrenzt, aber nur für einen Linux-Server nutzbar. Die Arkeia Corporation bietet mit Arkeia Light jetzt eine kostenlose, aber voll funktionsfähige Version der Backup-Software Arkeia 5 an, die für Open-Source-Umgebungen ausgelegt ist. Diese zeitlich unbegrenzte Vollversion der Profi-Version von Arkeia ist für einen Linux-Server ausgelegt, der mit einem einfachen SCSI-Bandlaufwerk und zwei Clients vom Typ Linux, FreeBSD, BSD/OS, OpenBSD, NetBSD und/oder einem Desktop-Computer mit MS Windows verbunden ist. Ab Anfang 2003 soll auch MacOS X unterstützt werden.

Angreifer können mit .MP3- oder .WMA-Dateien fremden Code ausführen. Microsoft hat über eine neue kritische Sicherheitslücke in Windows informiert. Sie erlaubt es Angreifern, mit Hilfe modifizierter .MP3- oder .WMA-Dateien beliebigen Code auf einem anfälligen Rechner auszuführen. Schuld ist ein möglicher Buffer-Overflow der Windows-Shell.

Personalisierte Verschlüsselung mit Smartcards. Mit dem Fun Cryptographic Service Provider sollen beliebige X.509-Zertifikate auf eine Smartcard geschrieben werden können, die dann beispielsweise in Outlook Express zur Verschlüsselung und Signierung zum Einsatz kommen sollen. Weitere mögliche Verwendungszwecke soll die Webserver-Client-Authentifizierung oder die Anmeldung unter Win2000/XP sein, so der Hersteller. Der Fun CSP unterstützt viele Smartcards und Kartenleser mit Standardtreibern, auch mehrere gleichzeitig.

Neue Basisstation mit erweiterten Sicherheitsfunktionen. Die Lancom Systems GmbH hat mit der Auslieferung ihres bereits im Oktober 2002 angekündigten 11-Mbps-WLAN-Access-Points "Lancom 3050 Wireless" begonnen. Das für den professionellen Einsatz gedachte Gerät lässt sich mittels PC-Card-Steckplatz auch auf 54-Mbps-WLAN (802.11a/802.11g) aufrüsten bzw. um eine zweite, unabhängige Funkzelle erweitern. Integriert ist zudem ein DSL-Router mit zwei 10/100-Mbps-Ports (switched) und integrierter Stateful-Inspection Firewall sowie optionalem VPN-Gateway.

Bis zu fünf Knoppix-CDs für 1,53 Euro Porto. Das Bundesamt für Sicherheit in der Informationstechnik verschickt CDs mit der komplett von CD lauffähigen Linux-Distribution Knoppix kostenlos an alle Interessierten. Lediglich ein mit 1,53 Euro frankierter Umschlag muss dazu an das BSI geschickt werden, das dann bis zu fünf CDs zuschickt.

Russischer Programmierer in allen Punkten für unschuldig befunden. Laut US-Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) ist am 17. Dezember 2002 der russische Elcomsoft-Programmierer Dmitry Sklyarov freigesprochen worden. Skylarov wird von Adobe und Staatsanwalt John Ashcroft vorgeworfen, mit dem von ihm mitentwickelten "Advanced eBook Processor" (AEBPR) eine Software zum Aushebeln von Adobes E-Book-Kopierschutzsystem für den Acrobat Reader geschaffen und damit das umstrittene US-Urheberrechtsgesetz "Digital Millennium Copyright Act" (DMCA) verletzt zu haben.

Verschlüsselte Verbindungen zum Unternehmensnetz. Nokia und IBM wollen künftig gemeinsam Geschäftsanwendungen als Gesamtlösungen für Mobilfunkgeräte anbieten. IBM Global Services soll dabei als Systemintegrator die Nokia-Mobile-VPN-Lösung für Symbian-basierte Mobilfunkgeräte weltweit anbieten.

Kein Support für GPL-Version der Multi Network Firewall. MandrakeSoft geht mit seiner neuen "Multi Network Firewall" (MNF) einen Schritt weg von der Open-Source-Philosophie. Nur wer das Produkt mit einer kommerziellen Lizenz erwirbt, erhält bei Mandrake auch Support für die Multi-VPN- und Multi-DMZ-Firewall-Lösung.

PGP-Erfinder Philip R. Zimmermann im Interview. Das legendäre Verschlüsselungsprogramm Pretty Good Privacy, kurz PGP, im Dezember in Version 8.0 erschienen, hat eine wechselvolle Geschichte hinter sich. Philip R. Zimmermann, Erfinder und langjähriger Kopf hinter der Software, äußert sich im Gespräch mit Golem.de über die Sicherheit von PGP, die Zukunftspläne der neuen PGP Corporation und warum er auch nach den Anschlägen des 11. September keinen Sinn darin sieht, starke Kryptographie zu verbieten.

Fehler behoben und Wünsche der Spieler implementiert. Massive, der Entwickler des Action-Spiels AquaNox Revelation, hat jetzt die Beta-Version des Patches 2.13 online gestellt. Der Patch behebt eine Reihe von Fehlern, implementiert aber auch einige von Spielern gewünschte Neuerungen.

Sicherheitsloch erlaubt die Ausführung von Programmen mit höheren Rechten. Für eine von Microsoft als kritisch betrachtete Sicherheitslücke in Windows NT 4.0, 2000 und XP stellt Redmond einen passenden Patch zum Download bereit. Über diese Sicherheitslücke erhält ein Angreifer die volle Kontrolle über ein System, muss dazu aber die Möglichkeit haben, sich an dem betreffenden System anzumelden.

Einspielung des aktuellen Patches dringend empfohlen. Gleich sieben Sicherheitslücken behebt Microsoft in der Java Virtual Machine aus Redmond mit einem passenden Patch. Einige der Lecks geben einem Angreifer sogar die komplette Kontrolle über ein anderes System. Die Virtual Machine (VM) liefert Microsoft in zahlreichen Windows-Versionen und auch mit dem Internet Explorer aus. Der aktuelle Patch behebt auch gleich frühere Sicherheitslücken, weswegen Microsoft die Installation dringend empfiehlt.

Nach erfolgreichem Knacken eines 64-Bit-Schlüssels im Sommer beginnt neue Runde. Seit 3. Dezember 2002 widmet sich das Projekt Distributed.net dem Knacken eines RC5-72-Schlüssels. Im Juli schaffte man es mit der geballten, verteilten Rechenleistung aller beteiligten Internet-Nutzer bereits, einen 64 Bit langen RC5-Schlüssel (RC5-64) zu knacken, auch wenn es 1.757 Tage gedauert hat.