Sicherheitslücke

Krack muss man im Hinterkopf haben. (Bild: Martin Wolf/Golem.de (Montage)) (Martin Wolf/Golem.de (Montage))

Krack-Angriff: Kein Grund zur Panik

Der Krack-Angriff auf die WLAN-Verschlüsselung WPA2 erfährt derzeit ein Medienecho wie kaum eine Sicherheitslücke. Anlass zur Panik besteht dabei für Privatanwender nicht und auch die wenigsten Unternehmen sind gefährdet. Administratoren sollten die Lage trotzdem im Blick behalten.

/ 61 Kommentare / Eine Analyse von Hauke Gierow und Andreas Sebayang

Microsofts privater Bugtracker war im Jahr 2013 kompromittiert. (Bild: The Conmunity - Pop Culture Geek) (The Conmunity - Pop Culture Geek)

Datenbank: Microsofts privater Bugtracker ist 2013 gehackt worden

Es ist erst der zweite bekannte Angriff dieser Art: Microsofts interner Bugtracker ist im Jahr 2013 gehackt worden. Unklar ist, ob und welche Informationen über Sicherheitslücken die Angreifer dabei erbeuten konnten.

/ 3 Kommentare

Workshops und Weiterbildungen: Effiziente Containerverwaltung mit Kubernetes

zum Artikel

Karriere Ratgeber: TechRiders Summit – Europas Plattform für digitale Souveränität, IT Strategy & Execution

zum Ratgeber

Seminar: IT-Sicherheit für Webentwickler: virtueller Zwei-Tage-Workshop

zum Kurs

E-Learning: IT Sicherheitstests und Ethical Hacking mit Kali Linux (E-Learning)

zum Kurs

Data Quality and BI Governance Manager (w/m/d) Deutsche Glasfaser Unternehmensgruppe, Düsseldorf (öffnet im neuen Fenster)

IT Infrastruktur Spezialist (m/w/d) mit Projektverantwortung GHM Gesellschaft für Handwerksmessen mbH, München,Homeoffice (öffnet im neuen Fenster)

Systemarchitekt*in OT - Smart Metering, IoT & Messstellentechnologie (m/w/d) Stadtwerke München GmbH, München (öffnet im neuen Fenster)

Traineeprogramm (m/w/d) kaufmännische Nachwuchsführungskräfte Franz Mensch GmbH, Buchloe (öffnet im neuen Fenster)

Anwendungsbetreuer IT - Schwerpunkt Gesundheit / Pflege (m/w/d) BAHN-BKK, Berlin (öffnet im neuen Fenster)

Fachliche Teamleitung * / Technical Lead * - Server & Applikationen Pfennigparade SIGMETA GmbH, München (öffnet im neuen Fenster)

Projektmanager (m/w/d) Solarenergie-Systeme VDE Verband der Elektrotechnik Elektronik Informationstechnik e.V., Offenbach am Main (öffnet im neuen Fenster)

Senior Netzwerk- und Infrastrukturadministrator (m/w/d) Stadtwerke Dachau, Dachau (öffnet im neuen Fenster)

Mini-Rechner und Notebooks brauchen neue Treiber für ihre Intel-WLAN-Kärtchen. (Bild: Marc Sauter/Golem.de) (Marc Sauter/Golem.de)

Neue WLAN-Treiber: Intel muss WLAN und AMT-Management gegen Krack patchen

Auch Intel hat Patches für seine Hardware veröffentlicht, um über neue Treiber Krack-Angriffe auf das WLAN zu verhindern. Betroffen sind zahlreiche WLAN-Karten von Notebooks, Intels AMT, aber auch ein Atom müssen gepatcht werden. Bei AMT dauert es aber noch ein paar Wochen.

/ 4 Kommentare

Schon abgesichert: Ubiquitis Amplifi. (Bild: Martin Wolf/Golem.de) (Martin Wolf/Golem.de)

Ubiquiti Amplifi und Unifi: Erster Consumer-WLAN-Router wird gegen Krack gepatcht

Ubiquiti hat binnen eines Tages seinen WLAN-Router Amplifi gepatcht. Die neue Firmware soll verschiedene Schwächen bei der Verwendung von WLAN-Schlüsseln beheben und dürfte damit der erste Patch gegen Krack für ein Endkunden-Gerät sein. Die Profi-Geräte wurden ebenfalls mit einer neuen Firmware ausgestattet.

/ 30 Kommentare

Ein Sicherheitsforscher hat Angriffe auf WPA 2 demonstriert. (Bild: Montage Golem.de) (Montage Golem.de)

Krack: WPA2 ist kaputt, aber nicht gebrochen

Update Schwachstellen in der Implementierung von WPA2 ermöglichen das Mitlesen verschlüsselter Kommunikation per WLAN - ohne Zugriff auf das Passwort. Linux- und Windows-Nutzer können patchen, Android-User müssen hoffen.

/ 179 Kommentare / Von Hauke Gierow und Sebastian Grüner

Der Subaru Forester wie er von 2008 bis 2010 gebaut wurde. (Bild: Gemeinfrei) (Gemeinfrei)

Auto: Subaru-Funkschlüssel lässt sich einfach klonen

Autoschlüssel mit Funkverbindung sind ein beliebtes Ziel für Sicherheitsforscher - und oft eher Opfer als Gegner. Aktuell ist Subaru betroffen, zahlreiche Fahrzeuge des Herstellers sind für einen Angriff verwundbar. Das Unternehmen hat bislang nicht reagiert.

/ 18 Kommentare

Microsoft hat eine Sicherheitslücke in Outlook geschlossen. (Bild: Martin Wolf/Golem.de) (Martin Wolf/Golem.de)

Verschlüsselung: Outlook versendet S/MIME-Mails auch unverschlüsselt

Eine Sicherheitslücke in Outlook hat zur Folge, dass per S/MIME verschlüsselte Mails auch im Klartext mitgesendet werden. Microsoft hat den Fehler am Patchday behoben.

/ 14 Kommentare

Der Passworthinweis von MacOS High Sierra ist etwas zu offensichtlich. (Bild: Leon Neal/Getty Images) (Leon Neal/Getty Images)

MacOS High Sierra: Apple verrät Passwort für Dateisystemverschlüsselung

Wenn der Passworthinweis das Kennwort im Klartext liefert, läuft etwas falsch. Das hat auch Apple gemerkt und liefert ein Update für High Sierra, das auch weitere Probleme beheben soll.

/ 52 Kommentare

Seminar: Intensivseminar KI-Management

zum Kurs

Seminar: Microsoft 365 Security: virtueller Drei-Tage-Workshop

zum Kurs

Seminar: Microsoft Power Automate: Flows erstellen & Prozesse automatisieren – virtueller Zwei-Tage-Workshop

zum Kurs

Seminar: Weiterbildung: Datenanalyse, Visualisierung und Data Science

zum Kurs

NSA-Mitarbeiter packen vorsichtig ein Cisco-Gerät aus. (Bild: Glenn Greenwald/No place to hide) (Glenn Greenwald/No place to hide)

Cisco und Lancom: Wenn Spionagepanik auf Industriepolitik trifft

Weil das Deutsche Zentrum für Luft- und Raumfahrt Angst vor Spionage hat, wirft es alle Cisco-Router raus. Doch wer IT-Produkte nur nach ihrem Herkunftsland bewertet, macht es sich zu leicht.

/ 80 Kommentare / Ein IMHO von Hauke Gierow

IP-Überwachungskameras sind häufig schlecht abgesichert. (Bild: Technaxx) (Technaxx)

Stiftung Warentest: Die meisten Überwachungskameras haben Sicherheitsmängel

Ungeschützte IoT-Kameras gehören zu den großen Problemen bei der IT-Sicherheit. Aus den Vorfällen der vergangenen Monate scheinen einige Hersteller jedoch nicht viel gelernt zu haben.

/ 27 Kommentare

Deloitte muss seine eigenen Systeme wohl erneut prüfen. (Bild: Daniel Leal-Olivas/Getty Images) (Daniel Leal-Olivas/Getty Images)

Nach Hack: Viele Deloitte-Systeme im Internet auffindbar

Angebliche Zugangsdaten für Deloitte-Systeme sind aufgetaucht, wo sie nicht sein sollten: bei Github und auf Google Plus. Außerdem haben Sicherheitsforscher zahlreiche Systeme des Unternehmens im Netz gefunden - mit offenen Ports für SMB und RDP.

/ 8 Kommentare

Google hat einen Exploit für das iPhone 7 veröffentlicht. (Bild: Apple/Screenshot: Golem.de) (Apple/Screenshot: Golem.de)

Broadcom Wireless: Google veröffentlicht Exploit für iPhone 7

Googles Project Zero hat wieder gravierende Probleme in der Firmware von WLAN-Chips gefunden - und demonstriert das mit einem funktionierenden Exploit für das iPhone 7. Für Apple ist das aber eine gute Nachricht. Android ist von dem Problem ebenfalls betroffen.

/ 20 Kommentare

Ein Sicherheitsforscher hat ein Problem in MacOS identifiziert. (Bild: Giuseppe Cacace/Getty Images) (Giuseppe Cacace/Getty Images)

MacOS High Sierra: MacOS-Keychain kann per App ausgelesen werden

Der Sicherheitsforscher Patrick Wardle hat demonstriert, dass Apples Keychain unter MacOS mit einer App komplett ausgelesen werden kann. Diese muss aber zunächst an Apples Gatekeeper vorbei.

/ 3 Kommentare

Adobe hat seine privaten PGP-Schlüssel veröffentlicht. (Bild: Screenshot Golem.de) (Screenshot Golem.de)

E-Mail: Adobe veröffentlicht versehentlich privaten PGP-Key im Blog

PGP gilt nicht als übertrieben benutzerfreundlich. Warum, musste jetzt auch Adobe feststellen, als ein Mitarbeiter im Sicherheitsblog des Unternehmens den privaten PGP-Schlüssel des Teams veröffentlichte.

/ 24 Kommentare

Der Whirlwind wurde am MIT entwickelt. (Bild: Montage: Golem.de) (Montage: Golem.de)

Podcast Besser Wissen: Der digitale Wirbelwind

Der Elektor Junior Computer war in Europa sehr erfolgreich. (Bild: Wolfgang Robel / Montage: Golem) (Wolfgang Robel / Montage: Golem)

Podcast Besser Wissen: Eine Platine, viel Potenzial

Lara Croft, wie sie auf dem Cover des ersten Tomb Raider aussah. (Bild: Eidos / Montage: Golem) (Eidos / Montage: Golem)

Podcast Besser Wissen: Happy Birthday, Lara!

Der MUPID war viel mehr als ein BTX-Terminal. (Bild: Montage: Golem.de) (Montage: Golem.de)

Podcast Besser Wissen: Apps und Mail per BTX

Die Chipsätze von 3Dfx waren in den 1990er sehr beliebt - und erleben eine Renaissance. (Bild: Public Domain/Montage: Golem.de) (Public Domain/Montage: Golem.de)

Podcast Besser Wissen: Als Grafikkarten Voodoo waren

Enderal ist eine eigene Welt, die mit der Skyrim-Engine umgesetzt wurde. (Bild: SureAI / Montage: Golem) (SureAI / Montage: Golem)

Podcast Besser Wissen: Die andere Seite von Skyrim

Erneut gibt es eine Sicherheitslücke in Intels AMT. (Bild: Martin Wolf/Golem.de) (Martin Wolf/Golem.de)

Minix: Fehler in Intel ME ermöglicht Codeausführung

Erneut soll es eine Sicherheitslücke in Intels Management Engine (ME) geben. Experten ist es nach eigenen Angaben gelungen, unsignierten Code auszuführen und Sicherheitsmechanismen zu umgehen.

/ 19 Kommentare

TNT hat durch NotPetya viel Geld verloren. (Bild: Brian) (Brian)

FedEX: TNT verliert durch NotPetya 300 Millionen US-Dollar

Angriffe auf die IT-Infrastruktur sind teuer: Nach Maersk hat auch das Logistikunternehmen TNT einen erheblichen Verlust durch NotPetya bekannt gegeben. Die Reparatur aller Systeme soll bis Ende September abgeschlossen werden.

/ 5 Kommentare

Freiwillig will wohl keine Partei mit Werbung für Viagra und Cialis in Verbindung gebracht werden - wir fanden Spuren eines Hackerangriffs auf FDP- und SPD-Ortsverbände. (Bild: ADwarf/Wikimedia Commons) (ADwarf/Wikimedia Commons)

Bundestagswahl 2017: Viagra, Datenbankpasswörter und uralte Sicherheitslücken

Update Die CDU nutzt ein uraltes Content-Management-System für eine simple Weiterleitung, die SPD gibt Datenbankpasswörter preis, im Grünen CMS ist eine Apache-Status-Webseite offen einsehbar, Ortsvereine von SPD und FDP werben für Viagra. Um die Sicherheit der Parteien-Webseiten steht es schlecht.

/ 45 Kommentare / Eine Exklusivmeldung von Hanno Böck

Trotz der großen Aufregung um Heartbleed wurde Optionsbleed 2014 übersehen. (Bild: EFF) (EFF)

Apache-Sicherheitslücke: Optionsbleed bereits 2014 entdeckt und übersehen

Der Optionsbleed-Bug im Apache-Webserver wurde 2014 bereits in einem wissenschaftlichen Paper beschrieben. Allerdings hatte offenbar niemand bemerkt, dass es sich um eine kritische Sicherheitslücke handelt, obwohl kurz zuvor der ähnliche Heartbleed-Bug entdeckt worden war.

/ 11 Kommentare

Zufällige Speicherfragmente finden sich in der Ausgabe einer HTTP-OPTIONS-Anfrage an einen verwundbaren Apache-Server. (Bild: Screenshot Hanno Böck) (Screenshot Hanno Böck)

Optionsbleed: Apache-Webserver blutet

Beim Apache-Webserver lassen sich in bestimmten Konfigurationen Speicherfragmente durch einen Angreifer auslesen. Besonders kritisch ist diese Lücke in Shared-Hosting-Umgebungen.

/ 25 Kommentare / Von Hanno Böck

Piraten jagen jetzt nach Monero. (Bild: thepiratebay.se/Screenshot: Golem.de) (thepiratebay.se/Screenshot: Golem.de)

Kryptowährungen: The Pirate Bay experimentiert heimlich mit Monero Mining

Heimliches Monero Mining per Javascript: Die Macher der Torrent-Seite The Pirate Bay wollten offenbar feststellen, ob sie damit nennenswert Geld verdienen können. Viele Nutzer zeigten sich allerdings verärgert, weil keine Zustimmung eingeholt wurde.

/ 45 Kommentare

Richard F. Smith, Chairman und CEO von Equifax (Bild: Equifax) (Equifax)

Apache Struts: Monate alte Sicherheitslücke führte zu Equifax-Hack

Die Kundendaten von Equifax haben durch eine mehrere Monate ungepatchte Sicherheitslücke gehackt werden können. Auch sonst macht das Unternehmen beim Thema Sicherheit wenig richtig - wie die Zugangskombination "admin/admin" auf einer Mitarbeiterseite zeigt.

/ 13 Kommentare

Eine Schwachstelle wird genutzt, um Finfisher-Software aufzuspielen. (Bild: Andreas Donath) (Andreas Donath)

Finspy: Neuer Staatstrojaner-Exploit in RTF-Dokument gefunden

Ein verseuchtes Word-Dokument oder eine Spam-E-Mail zu öffnen reicht, um einen aktuellen Exploit in .Net zu triggern. Die Sicherheitslücke soll bereits genutzt worden sein, um Finfisher-Staatstrojaner zu verteilen.

/ Kommentare

Blueborne betrifft rund fünf Milliarden Geräte. (Bild: Armis) (Armis)

Blueborne: Sicherheitslücken gefährden fünf Milliarden Bluetooth-Geräte

Etwa fünf Milliarden Geräte weltweit sollen von kritischen Bluetooth-Sicherheitslücken betroffen sein. Die Fehler liegen jedoch nicht im Protokoll, sondern in den entsprechenden Stacks von Windows, Linux und Android. Bei Apple sind nur ältere Geräte von Blueborne betroffen.

/ 38 Kommentare

BSI-Chef Arne Schönbohm. (Bild: BSI) (BSI)

Arne Schönbohm: BSI-Chef will digitalisierte Wahlen

Ausgerechnet der Chef des Bundesamtes für Sicherheit in der Informationstechnik möchte in der kommenden Legislaturperiode eine digitale Stimmabgabe bei Wahlen - weil er die "Digitalisierung ernst nehmen" will. Das Bundesverfassungsgericht und Angela Merkel sind anderer Meinung.

/ 80 Kommentare

Zuletzt fiel vor allem Symantec durch Schlampereien bei der Zertifikatsausstellung auf - doch jetzt hat es mal wieder Comodo erwischt. (Bild: Comodo) (Comodo)

TLS-Zertifikate: Zertifizierungsstellen müssen CAA-Records prüfen

Mittels eines Standards namens Certificate Authority Authorization können Domaininhaber via DNS definieren, wer für sie TLS-Zertifikate ausstellen darf. Ab sofort müssen diese Records geprüft werden. Bei einem Test schlampte Comodo und stellte fälschlicherweise ein Zertifikat aus.

/ 22 Kommentare / Von Hanno Böck

Viele Windräder könnten ein IT-Security-Update vertragen. (Bild: Guillauma Souvant/Getty Images) (Guillauma Souvant/Getty Images)

Energieversorgung: Windparks sind schlechter gesichert als E-Mail-Konten

Windparks machen einen professionellen Eindruck, doch bei der IT-Sicherheit hapert es leider. Recherchen von Internetwache.org und Golem.de zeigen eine Menge Schwachstellen und ein Chaos bei der Zuständigkeit.

/ 58 Kommentare / Von Sebastian Neef und Tim Philipp Schäfers

Ein Dumpster Fire (Bild: Pascal Lachenaud/Getty Images) (Pascal Lachenaud/Getty Images)

Kreditrating: Equifax' Krisenreaktion ist ein Desaster

Auch nach der Bekanntgabe des Hacks läuft es nicht gut für den Finanzdienstleister Equifax: Ein Formular zur Prüfung gibt zufällige Ergebnisse aus, außerdem sorgen AGB-Klauseln für Aufregung. Mehrere Experten qualifizierten die Krisenreaktion daher als "nutzlos" und als "Dumpster Fire".

/ 7 Kommentare

Die Daten von rund 143 Millionen Equifax-Kunden wurden gehackt. (Bild: Dado Ruvic) (Dado Ruvic)

Finanzdienstleister: Equifax gibt Hack von 143 Millionen Kundendaten bekannt

Beim US-Finanz- und Bonitätsdiensleister Equifax konnten Kriminelle offenbar rund 143 Millionen Kundendaten kopieren - über eine Sicherheitslücke in einer Webapplikation. Einige Manager verkauften kurz nach dem Hack Teile ihrer Aktienpakete.

/ 4 Kommentare

Ein "freundliches Defacement", um auf ein Sicherheitsproblem aufmerksam zu machen (Bild: Screenshot) (Screenshot)

Websicherheit: Verwaiste Domains als Sicherheitsrisiko

Domains von Webservices, die aufgegeben wurden, können ein Sicherheitsrisiko für Webseiten darstellen. Mittels einer nicht mehr genutzten Azure-Subdomain hätte der Autor des Artikels die Kontrolle über zahlreiche Webseiten erlangen können.

/ 22 Kommentare / Von Hanno Böck

Lenovo sieht die Beschwerden über Superfish immer noch nicht vollständig ein. (Bild: Elma/Wikimedia Commons) (Elma/Wikimedia Commons)

Adware: Lenovo zahlt Millionenstrafe wegen Superfish

Weil das Unternehmen Adware auf den Rechnern der Nutzer installiert hat, muss Lenovo eine Strafe zahlen und 20 Jahre lang ein umfangreiches Sicherheitsprogramm für vorinstallierte Software nachweisen.

/ 29 Kommentare

Die eID-Karte von Estland hat offenbar eine Sicherheitslücke. (Bild: Wikimedia Commons) (Wikimedia Commons)

E-Government: Sicherheitslücke in estnischer eID-Karte gefunden

Forscher warnen vor einer Sicherheitslücke in der estnischen eID-Karte. Es sei möglich, die Karte ohne PIN einzusetzen. Details sollen im Herbst veröffentlicht werden, die Regierung sieht derzeit noch keinen Grund für einen Rückruf.

/ 16 Kommentare

Ein Bug in Asterik kann zum Belauschen genutzt werden. (Bild: rtpbleed.com) (rtpbleed.com)

RTP Bleed: Mit Asterisk-Bug Telefonate belauschen

Ein Bug in der IP-Telefonielösung Asterisk ermöglicht Angreifern, Telefonate mitzuhören. Das Problem liegt in der zugrundeliegenden RTP-Implementierung. Ein erster Patch ist da, aber noch fehlerhaft.

/ 4 Kommentare

Bei der FCC konnten Nutzer beliebige Dateien hochladen. (Bild: Gemeinfrei) (Gemeinfrei)

Sicherheitslücke bei FCC: Die FCC akzeptiert Malware-Uploads

Bei der US-Kommunikationsbehörde FCC können Nutzer über eine API Stellungnahmen hochladen. Das Problem: Mit dem richtigen API-Schlüssel konnten dort beliebige Dokumente hochgeladen werden, so dass Angreifer den Regierungsserver für Malware- und Phishing-Kampagnen nutzen können.

/ Kommentare

Instagram (Symbolbild) (Bild: Jessica Zollman) (Jessica Zollman)

E-Mail-Adresse: Instagram bestätigt Sicherheitslücke in API

Instagram hat eine Sicherheitslücke in der eigenen API bestätigt, mit der private Daten wie E-Mail-Adresse und Telefonnummer von Accounts ausgelesen wurden. Betroffen sind die Accounts mehrerer prominenter Personen.

/ Kommentare

Standardschloss von Onity (Bild: Cody Brocious) (Cody Brocious)

Arduino: Krimineller hackte Hunderte Hoteltüren

Eine Einbruchsserie in Hotels in den USA im Jahr 2012 war offenbar umfangreicher als bislang angenommen. Der inzwischen in Haft sitzende Mann hat offenbar Zimmer in über 100 Hotels mit einem selbst gebauten Gerät auf Arduino-Basis geöffnet.

/ 15 Kommentare

Bundesinnenminister Thomas de Maizière (CDU) will die Smartphone-Kommunikation knacken können. (Bild: Adam Berry/Getty Images) (Adam Berry/Getty Images)

Zitis: Bundeshacker im Verzug

Die staatliche Forschungsstelle für Überwachungstechnik, Zitis, wird nicht wie geplant jetzt eröffnet. Für die IT-Sicherheit ist jede Verzögerung eine gute Nachricht.

/ 13 Kommentare / Ein IMHO von

Der Wunsch nach Quellen-TKÜ treibt die Preise hoch. (Bild: Martin aka Maha) (Martin aka Maha)

Whatsapp und Signal: Zerodium bietet 500.000 US-Dollar für Messenger-Exploits

Die staatliche Nachfrage nach Sicherheitslücken für die Quellen-TKÜ zeigt offenbar Wirkung. Schwachstellen in Whatsapp, Signal und anderen Messengern werden besser honoriert als Codeausführung in Windows.

/ 11 Kommentare

Ein Tool soll beim Entsperren von iPhones helfen. (Bild: Apple) (Apple)

Apple: Aufregung um iPhone-Passcode-Entsperrbox

Mit Hilfe eines Geräts soll es möglich sein, aktuelle iPhones ohne Wissen der Nutzer zu entsperren. Dazu wird eine Sicherheitslücke ausgenutzt, die nur wenige Nutzer betrifft. Apple will den Bug in iOS 11 schließen.

/ 12 Kommentare

Zwei Sicherheitslücken erlauben die Ausführung von Schadcode außerhalb des Safe Reading Mode. (Bild: Foxit Software) (Foxit Software)

Alternativer PDF-Reader: ZDI nötigt Foxit zum Patchen von Sicherheitslücken

Ursprünglich wollte Foxit Software zwei von der Zero Day Initiative entdeckte Sicherheitslücken in seiner PDF-Software nicht schließen, schließlich hat die Software einen Safe Mode, der das Ausführen von Javascript unterbindet. Nach einem Blogeintrag der Initiative hat es sich Foxit anders überlegt.

/ 7 Kommentare

Screeenshot www.raspberrypi.org (Bild: Raspberry Pi Foundation) (Raspberry Pi Foundation)

Raspberry Pi: Raspbian auf Stretch upgedatet

Raspbian basiert nun mehr auf der aktuellen Debian-Version 9. Das Betriebssystem-Update für den Raspberry Pi schließt eine Sicherheitslücke des Funkchips. Ansonsten ändert sich für den Nutzer wenig.

/ 55 Kommentare

Die Firmware der Secure Enclave des iPhone 5s kann jetzt untersucht werden. (Bild: Lam Yik Fei/Getty Images) (Lam Yik Fei/Getty Images)

Apple iPhone 5s: Hacker veröffentlicht Secure-Enclave-Key für alte iPhones

Einem Hacker ist es offenbar gelungen, den Key für die Verschlüsselung der Firmware von Apples Secure-Enclave-Prozessor zu extrahieren - bei einem iPhone 5s. Damit können detaillierte Untersuchungen der Firmware vorgenommen werden, konkrete Angriffsszenarien gibt es bislang nicht.

/ 19 Kommentare

Maersk rechnet mit 200-300 Millionen US-Dollar Verlust durch Not Petya. (Bild: AFP/Getty Images) (AFP/Getty Images)

Ransomware: Not-Petya-Angriff kostet Maersk 200 Millionen US-Dollar

Die dänische Reederei rechnet mit Kosten und Umsatzeinbußen von 200 bis 300 Millionen US-Dollar durch den Not-Petya-Angriff. Die Verluste sollen vor allem in der Bilanz des dritten Quartals anfallen.

/ 17 Kommentare

Git und Co: Bösartige Code-Repositories können Client angreifen

Mittels spezieller SSH-URLs kann ein Angreifer Code in den Client-Tools von Quellcode-Verwaltungssystemen ausführen. Der Fehler betrifft praktisch alle verbreiteten Quellcode-Verwaltungssysteme wie Git, Subversion, Mercurial und CVS.

/ 2 Kommentare

Tor-Gründer Roger Dingledine sagt: "Das Dark Web gibt es nicht." (Bild: Tobias Klenze) (Tobias Klenze)

Tor-Gründer Dingledine: "Es gibt kein Dark Web"

Wie viel Prozent des Tor-Traffics sind illegal? Nur sehr wenig, sagt das Tor-Projekt auf der Def Con. Der Anteil der Hidden Services sei verschwindend gering. Tor-Nutzer mit Linux sollten ihr Browser-Bundle auf den aktuellen Stand bringen.

/ 17 Kommentare

Hardware, Software, Firmware - alle Technik, die dieses System betreibt, steht unter einer freien Lizenz. (Bild: Hanno Böck) (Hanno Böck)

Open Hardware: Selbstbaurechner kommt ohne Firmware-Blobs aus

Ein Hacker mit dem Pseudonym 0ctane hat auf der Konferenz Def Con einen Computer präsentiert, der vollständig ohne proprietäre Firmware auskommt. Er warnt vor Backdoors, die sich in der Hard- und Firmware befinden können.

/ 25 Kommentare

Mittels HTTP-Headern lassen sich oft Loadbalancer und Webserver austricksen. (Bild: Rock1997, Wikimedia Commons) (Rock1997, Wikimedia Commons)

Websicherheit: Server mit HTTP-Headern verwirren

Black Hat 2017 Durch geschickt gewählte HTTP-Header ist es Sicherheitsforschern gelungen, zahlreiche Lücken bei Yahoo, beim Department of Defense und bei der British Telecom zu identifizieren.

/ Kommentare

Ein geradezu lehrbuchhafter Buffer Overflow ist der Grund für die Broadpwn-Sicherheitslücke. (Bild: Coolcaesar, Wikimedia Commons) (Coolcaesar, Wikimedia Commons)

Smartphones: Broadpwn-Lücke könnte drahtlosen Wurm ermöglichen

Black Hat 2017 Erneut findet sich eine schwerwiegende Sicherheitslücke in der Broadcom-WLAN-Firmware. Der Entdecker der Lücke präsentierte auf der Black Hat ein besonders problematisches Szenario: Eine solche Lücke könnte für einen WLAN-Wurm, der sich selbst verbreitet, genutzt werden.

/ 17 Kommentare

Die Paypal-Webseite gab Daten auch preis, wenn man einen unsinnigen Dateinamen mit CSS-Endung anfügte. (Bild: Omer Gil) (Omer Gil)

Sicherheitslücke: Caches von CDN-Netzwerken führen zu Datenleck

Black Hat 2017 Mittels Caches von Content-Delivery-Netzwerken und Loadbalancern lassen sich geheime Daten aus Webservices extrahieren. Dafür müssen jedoch zwei Fehler zusammenkommen. Unter anderem Paypal war davon betroffen.

/ 15 Kommentare

Eine Unicredit-Filiale. (Bild: Filipo Monteforte/Getty Images) (Filipo Monteforte/Getty Images)

IT-Dienstleister: Daten von 400.000 Unicredit-Kunden kompromittiert

Erneut hat eine Bank Probleme mit Ihrer IT: Informationen über 400.000 Unicredit-Kunden aus Italien wurden kopiert. Die Bank will die Probleme behoben haben und investiert in die Datensicherheit.

/ 2 Kommentare

Kurse

Podcast Besser Wissen