Bis zum Chaos sei es nur eine Frage der Zeit, schreiben die ME-Hacker. Intel versucht, das zu verschweigen, und kann das Security-Theater eigentlich auch gleich sein lassen.
Eigentlich wollte Let's Encrypt letzte Nacht drei Millionen Zertifikate zurückziehen. Viele sind aber nach wie vor gültig. Let's Encrypt hat sich offenbar entschieden, noch in Benutzung befindliche Zertifikate vorerst auszunehmen.
Das Jailbreak-Werkzeug Checkra1n ist in einer neuen Version erschienen. Damit kann ein iPhone-Jailbreak mit einem Android-Smartphone durchgeführt werden. Dabei müssen allerdings bestimmte Bedingungen erfüllt werden und es gibt eine Einschränkung.
Heute kein neuer Pass und kein Elterngeld: Die Schadsoftware Emotet hat in den vergangenen Monaten etliche Behörden in Deutschland lahmgelegt. Doch woher kommt dieser Fokus auf die Behörden, ist die Sicherheit so desaströs?
Seit fast einem Jahr lassen sich auf vielen Android-Smartphones mit Mediatek-Chip leicht Root-Rechte erlangen. Schad-Apps nutzen diese bereits aus, dennoch gibt es kaum Hersteller, die einen Patch ausliefern. Nun will Google ihn selbst verteilen.
Ein Fehler bei Let's Encrypt hat dazu geführt, dass der Check von CAA-DNS-Records nicht korrekt durchgeführt wurde. Die Zertifizierungsstelle zieht jetzt kurzfristig betroffene Zertifikate zurück, was für einige Probleme sorgen dürfte.
Troy Hunt wollte seinen Passwort-Leak-Checker Have I been Pwned? verkaufen. Doch nach einem für Hunt frustrierenden Prozess entschied er sich letztendlich, das Projekt nun doch unabhängig selbst weiterzubetreiben.
Mehr als 2.000 Kunden in 27 Ländern haben sich für die App von Clearview AI entschieden. Diese ist erst kürzlich durch ein Datenleck aufgefallen. Neben Sicherheitsbehörden setzen auch Supermarktketten auf die umstrittene Gesichtserkennungssoftware.
Die 2-GB-Variante des Raspberry Pi kostet mit einem Preis von 35 US-Dollar dauerhaft 10 US-Dollar weniger. Die Preise der 1-GB- und 4-GB-Varianten bleiben zwar gleich, doch es gibt noch weitere gute Nachrichten für die Raspberry-Pi-Community.
Was haben ein iPhone, ein Raspberry Pi 3 und ein Amazon Echo gemeinsam? Alle drei haben einen WLAN-Chip von Broadcom, mit dem sich Teile des WLAN-Traffics mitlesen lassen.
Das US-Unternehmen Clearview ist durch seine enorme Datenbank für Gesichtserkennung bekanntgeworden. Nach einem Datenleck könnte die Öffentlichkeit erfahren, wer wie häufig dessen Dienste nutzt.
Geheimnisverrat, Leben in der Isolation, Anklage in den USA, Foltervorwürfe: Die Auslieferungsanhörung von Wikileaks-Gründer Julian Assange beginnt. Im Artikel beantworten wir die wichtigsten Fragen.
Die Entwickler von Netflix haben ihr Framework Dispatch als Open Source veröffentlicht. Damit will das Team besser auf kritische Situationen vorbereiten, auf die schnell reagiert werden muss.
Mit der Sicherheit von Ladekarten für Elektroautos ist es nicht weit her. Nun hat das deutsche Eichrecht bei vielen Säulen die einzige Hürde beseitigt, die dem Klonen beliebiger Karten im Wege stand.
Update Eine Sicherheitsfirma hat im Februar 2019 ein Sicherheitsproblem im Zusammenspiel von Google Pay und Paypal gefunden und an Paypal gemeldet. Jetzt wird das Problem offenbar von Kriminellen ausgenutzt.
Ein Sicherheitsforscher konnte in den vergangenen Jahren Hunderte Microsoft-Subdomains kapern, doch trotz Meldung kümmerte sich Microsoft nur um wenige. Doch nicht nur der Sicherheitsforscher, auch eine Glücksspielseite übernahm offizielle Microsoft.com-Subdomains.
Nach einem Datenleck bei der Hotel- und Casinokette MGM sind die persönlichen Daten von Millionen Hotelgästen an die Öffentlichkeit gelangt. Unter den Betroffenen sind auch bekannte Persönlichkeiten wie Justin Bieber und Jack Dorsey.
Sechs Monate hatten Angreifer Zugriff auf das interne Netz Citrix und konnten dabei umfangreich Daten kopieren. Mitbekommen hatte der Netzwerkdienstleister den Angriff erst nach einem Hinweis des FBI. Rund ein Jahr später informiert Citrix nun die Betroffenen - zumindest in den USA.
Update Ein Wordpress-Plugin hat eine Funktion, mit der man die komplette Datenbank neu aufsetzen kann. Das Problem dabei: Diese Funktion lässt sich auch ohne Authentifizierung erreichen - und ermöglicht in manchen Fällen ein Übernehmen des Wordpress-Systems.
Das französische Unternehmen Nextmotion hat wichtige Daten seiner Kunden in einer komplett offenen Datenbank abgelegt. Angreifer konnten darauf per IP-Adresse zugreifen. Dazu gehörten Hunderttausende Bilder von Gesichtern und Körperregionen von Patienten, die sich einer Schönheitsoperation unterzogen hatten.
Mit eigenen Änderungen der Android-Gerätehersteller am Kernel und an Sicherheitsfunktionen schleichen sich auch vermeidbare Fehler ein, schreibt ein Google-Entwickler. Grund sei die fehlenden Zusammenarbeit mit der Linux-Kernel-Community.
Im mittlerweile dritten Anlauf warnt Microsoft vor einer kritischen Sicherheitslücke im Internet Explorer, die aktiv ausgenutzt wird. Eine weitere kritische Lücke in Edge ermöglicht ebenfalls das Ausführen von Code. Das Unternehmen hat zudem eine Vielzahl anderer Lücken geschlossen.
Hinter dem Hack des US-Scoring-Dienstes Equifax stehen nach Ansicht von US-Ermittlern chinesische Militär-Hacker. Mehrere Monate lang sollen sie eine Sicherheitslücke in Apache Struts ausgenutzt haben.
Mehrere Sicherheitslücken in Cisco-Geräten ermöglichen es Angreifern, im Netzwerk Schadcode auszuführen. Die Lücke betrifft wohl Millionen von Geräten und könnte in Verbindung mit weiteren Lücken gravierende Folgen haben.
Mit den Februar-Updates für Android schließt Google eine Sicherheitslücke im Bluetooth-Stack, die das Ausführen von Code durch Angreifer ermöglicht. Dazu müssen diese nur in der Nähe der Geräte sein. Weitere Fehler in Android ermöglichen die Rechteausweitung.
Über präparierte Whatsapp-Nachrichten konnte ein Sicherheitsforscher auf lokale Dateien unter Windows und MacOS zugreifen. Der Angriff funktionierte, da Whatsapp Desktop auf einer völlig veralteten Version von Chrome basiert hat - mit weiteren Sicherheitslücken.
Für einen kurzen Zeitraum im November hat ein Bug bei Google Fotos dafür gesorgt, dass beim Export der persönlichen Daten Videos vertauscht wurden. Einige Nutzer erhielten Zugriff auf die Privatvideos von anderen.
Bisher hatte es die Hackergruppe Winnti auf Unternehmen wie Bayer oder Siemens abgesehen, nun haben sich die Ziele verändert. Statt Wirtschaftsspionage geht die APT gegen protestierende Studenten in Hong Kong vor.
Update Mittels eines Browserplugins überwacht die Anti-Viren-Software Avast die Internetnutzung seiner Anwender bis hin zu Suchen auf Pornowebseiten. Die detaillierten Informationen werden anschließend an Firmen wie Microsoft und Google verkauft.
Standard-Passwörter, fehlende Sicherheitsupdates - IoT-Geräte haben immer wieder mit Sicherheitsproblemen zu kämpfen. Großbritannien stellt in einem Gesetzesentwurf Sicherheitsanforderungen. Erfüllen Geräte die Vorgaben nicht, dürfen sie laut den Plänen nicht mehr verkauft werden.
Passwörter, private Schlüssel, Daten von AWS-Kunden und eine Führerscheinkopie: Ein AWS-Mitarbeiter hat umfangreiche Daten auf Github veröffentlicht. Zwar war das Datenleck nur fünf Stunden öffentlich einsehbar - eine missbräuchliche Nutzung kann jedoch nicht ausgeschlossen werden.
Nach einem Online-Angriff hat die Stadt Potsdam ihre Systeme vom Netz genommen. Derzeit sei ein Kontakt nur telefonisch möglich, erklärte die Stadt. Angreifer sollen versucht haben, auf die Daten der Stadt zuzugreifen oder Schadsoftware zu installieren.
Schweres Datenleck bei der Autovermietung Buchbinder: Persönliche Daten von drei Millionen Kunden waren im Netz zugänglich. Auch ein bekannter Politiker ist betroffen.
Seit Mai 2018 wurden nicht nur sehr viel DSGVO-Verstöße gemeldet, es hagelte auch saftige Strafen. Eine Rechtsanwaltskanzlei zieht Bilanz und listet die Länder nach den höchsten Bußgeldern und meisten Verfahren auf.
Sicherheitsforscher haben private Schlüssel für TLS-Zertifikate veröffentlicht, die Netgear mit seiner Router-Firmware verteilt. Der Hersteller hatte nur wenige Tage Reaktionszeit. Die Forscher lehnen die Praktiken von Netgear prinzipiell ab, was zur Veröffentlichung geführt hat.
Die Diskussion um Huawei und China greift laut dem Kryptographen Bruce Schneier zu kurz. Vielmehr habe 5G zentrale Sicherheitsprobleme, die nicht mehr gelöst werden könnten.
Der Betreiber eines DDoS-Dienstes hat eine lange Liste mit Zugangsdaten und IP-Adressen von Servern, Routern und IoT-Geräten veröffentlicht. Die Daten könnten zum Aufbau eines Botnetzwerkes missbraucht werden - oder um die Geräte zu zerstören.
Eigentlich sollte die Parkhaussteuerung nicht aus dem Internet erreichbar sein. Doch auf die Parkhäuser am Microsoft-Hauptsitz in Redmond konnten wir problemlos zugreifen. Nicht das einzige Sicherheitsproblem auf dem Parkhaus-Server.
Eine Pornofirma hat die Vertragsdaten mit ihren Darstellern ungeschützt im Netz gelassen. Rund 4.000 Darsteller sind von dem umfangreichen Datenleck betroffen. Das Missbrauchspotenzial sei hoch, schreiben die Entdecker.
Eine Lücke in der Zertifikatsvalidierung von Windows ermöglicht es, die Codesignaturprüfung auszutricksen und TLS-Verbindungen anzugreifen. Zudem gibt es eine Sicherheitslücke im Remote Desktop Gateway.
Eine Sicherheitslücke in Geräten der Firma Citrix zeigt in erschreckender Weise, wie schlecht es um die IT-Sicherheit in Behörden steht. Es fehlt an den absoluten Grundlagen.
Windows 7 erreicht sein Lebensende (End of Life) und wird von Microsoft künftig nicht mehr mit Updates versorgt. Lohnt sich ein Umstieg auf Linux statt auf Windows 10? Wir finden: in den meisten Fällen schon.
Viele Kabelrouter und -modems mit Broadcom-Chip lassen sich mit der Sicherheitslücke Cable Haunt übernehmen. Die Entdecker schätzen, dass allein in Europa 200 Millionen Geräte betroffen sind.
Geräte aus der Netscaler-Serie der Firma Citrix sind für eine Remote-Code-Execution-Lücke anfällig, die sich sehr leicht ausnutzen lässt. Ein Update gibt es bislang nicht, Nutzer müssen die Konfiguration selbst anpassen, um Angriffe zu filtern.
Firefox hat mit Version 72.0.1 ein wichtiges Sicherheitsupdate herausgegeben. Geschlossen wird eine Sicherheitslücke, die bereits aktiv ausgenutzt wird. Gemeldet wurde sie von einer chinesischen Sicherheitsfirma.
Im laufenden Jahr wollen Googles Security-Bug-Forscher des Project Zero die Disclosure-Richtlinien ändern. Das soll betroffenen Unternehmen nicht nur Updates erleichtern, sondern vor allem die Qualität der Patches verbessern.
Ein Hashwert soll eindeutig sein, doch für SHA-1 gilt das nicht mehr. Forscher zeigten, dass sie verschiedene Dateien auffüllen können, um den gleichen SHA-1-Hash zu erzeugen und illustrierten dies anhand von GnuPG-Signaturen.
