Softwareentwicklung

Im Verschlüsselungsmodus OCB2 wurden in kurzer Abfolge zahlreiche Sicherheitsprobleme gefunden. Breite Verwendung findet dieser Modus nicht, obwohl er Teil eines ISO-Standards ist.

Für einen Zeitraum von etwa einer halben Stunde wurden Verbindungen zu zahlreichen Google-IP-Adressen falsch geroutet. Grund dafür waren fehlerhafte BGP-Routinginformationen. Doch dass es sich um einen gezielten Angriff handelt, ist unwahrscheinlich.

Bixby soll es bald auf Deutsch geben. Außerdem öffnet Samsung die Bixby-Plattform für Entwickler, die Apps dafür schreiben dürfen. Damit will Samsung Amazon und Google nacheifern, die derzeit bei digitalen Assistenten führend sind.

Die von Facebook initiierte Abfragesprache GraphQL soll künftig von einem Kollaborationsprojekt unter dem Dach der Linux Foundation verwaltet werden, wie etwa auch Node.js. Unterstützt wird das Projekt unter anderem von Airbnb, Github oder Twitter.

Für einen möglichst breiten Einsatz der Programmiersprache Rust muss diese auch auf vielen CPU-Architekturen laufen. Die Debian-Betreuer melden nun 14 unterstützte Architekturen. Mit dem neuen RISC-V und dem sehr alten M68K sollen weitere folgen.

Ein Forscherteam zeigt, wie es mittels Seitenkanal-Angriffen private Schlüssel von OpenSSL stehlen kann. Der dahinter liegende Bug ist aber nicht neu und das Problem liegt auch im OpenSSL-Code.

"Alexa, spiele Thunderstruck von AC/DC": Die Music Skill API ermöglicht Entwicklern das Erstellen von sprachgesteuerten Musikstreamingprogrammen. Die Grundlage dafür stellen AWS Lambda und die Spracherkennung von Amazons Alexa.

Bei einer Routinewartung in einem der Rechenzentren von Github ist kurzzeitig die Netzwerkverbindung weggebrochen, was zu einem Ausfall und schlechter Verfügbarkeit einiger Github-Dienste über 24 Stunden sorgte. Das Team konnte zwischendrin deshalb nicht mal seine Nutzer informieren.

Die Entwickler der Programmiersprache Rust haben die aktuelle Version 1.30.0 angekündigt. Diese ergänzt neue Arten prozeduraler Makros, legt deren Gültigkeit mit use fest und verbessert das Modulsystem.

Der Security-Entwickler Alexander Popov berichtet auf dem Open Source Summit von seiner Zusammenarbeit mit der Linux-Kernel-Community. Er fühle sich dabei wie zwischen Mühlsteinen zermalmt. Das liege wohl auch daran, dass die Community zwischen normalen Menschen und Security-Leuten trenne.

Ein jQuery-Plugin erlaubt es, unter bestimmten Bedingungen PHP-Dateien auf den Server zu laden und auszuführen. Das Problem sitzt jedoch tiefer: Viele Webapplikationen bauen auf den Schutz von Apaches .htaccess-Dateien. Der ist jedoch häufig wirkungslos.

In der Python-Paketverwaltung PyPi wurde eine Software gefunden, die versucht, Bitcoin-Adressen in der Windows-Zwischenablage zu manipulieren. Dabei versuchten die Autoren des Pakets colourama, Verwechslungen von US-englischer und britischer Schreibweise auszunutzen.

Auf seiner Entwicklerkonferenz Universe hat Github eine Funktion zur Automatisierung von Entwicklungs-Workflows, basierend auf Docker-Containern, vorgestellt. Die Funktionalität erinnert an Git Hooks, hat allerdings einen deutlich größeren Funktionsumfang.

Eine sehr schwerwiegende Sicherheitslücke in der Bibliothek LibSSH erlaubt es Angreifern, die Authentifizierung beim Login zu überspringen. Doch die Auswirkungen dürften begrenzt sein: Kaum jemand nutzt LibSSH für Server.

In einer gemeinsamen Aktion kündigen die vier großen Browserhersteller an, dass sie die TLS-Versionen 1.0 und 1.1 im Jahr 2020 nicht mehr unterstützen wollen.

Obwohl bei der Entwicklung von TLS 1.3 versucht wurde, Probleme mit bestehenden fehlerhaften Geräten zu vermeiden, gibt es beim Start erneut Schwierigkeiten. Verantwortlich dafür: Vorab-Versionen von OpenSSL und Geräte von Cisco und Palo Alto Networks.

Das Ende von Symantec als Zertifizierungsstelle ist schon lange besiegelt, aber noch immer verwenden viele Webseiten die Zertifikate. Mozilla sieht sich daher gezwungen, das Ende noch etwas hinauszuzögern.

Eine bekannte Methode für Angriffe ist die Manipulation des Ablaufes eines Programms mit Hilfe eines Bugs, um anderen Code auszuführen. Aktuelle Android-Kernel und vor allem der des Pixel 3 sollen dies aber dank Control-Flow-Integrity (CFI) verhindern.

Beim Pilotprojekt zur Gesichtserkennung am Berliner Bahnhof Südkreuz hat kein System wirklich überzeugt. Eine Kombination zweier Systeme könnte nach Ansicht der Polizei aber brauchbare Ergebnisse liefern.

Googles Mutterkonzern Alphabet zieht nach einem Datenleck bei seinem sozialen Netzwerk Google+ den Stecker. App-Entwickler konnten zeitweise auf persönliche Daten von Nutzern zugreifen. Google hatte den Fehler zwar behoben - aber verschwiegen.

Das Entwicklerteam des zu Microsoft gehörenden Studios Mojang hat Teile des Codes von Minecraft als Open Source veröffentlicht. Weitere Teile sollen folgen, darunter auch die neue 3D-Rendering-Engine.

Der Code-Hosting Dienst Github baut eine neue Integration für das Projektmanagement-Werkzeug Jira. Die beiden Dienste sollen damit näher zusammenrücken. Die Verknüpfung soll deutlich besser laufen als bisher, was Nutzern helfen soll.

Bisher repräsentieren sowohl die Node.js-Foundation wie auch die JS-Foundation jeweils einen eigenen Teil der Javascript-Community und ihrer Projekte. Die Organisationen planen jedoch, die Community künftig zusammenzuführen.

Ein Bug in der Pretty-Easy-Privacy-Funktion des Enigmail-Plugins für Thunderbird sorgt dafür, dass manchmal Mails, die eigentlich verschlüsselt sein sollten, unverschlüsselt verschickt werden. Der Bug betrifft nur die Windows-Version von Enigmail.

Steve Wozniak will mit den Fernkursen seiner Woz U zahlenden Studenten das Programmieren beibringen - sein Bekanntheitsgrad dürfte ihm bei der Kundengewinnung helfen. Die Kurse sollen aber fehlerhaft sein, wie eine CBS-Recherche zeigt.

Ein neuer Standard soll endlich dafür sorgen, dass die Transportverschlüsselung zwischen Mailservern vernünftig abgesichert wird. Dafür wird über HTTPS eine Policy veröffentlicht.

Die von Apple initiierte Programmiersprache Swift wird längst nicht mehr nur für iOS-Apps genutzt, sondern auch für Serveranwendungen. Damit Updates und Weiterentwicklung künftig einfacher werden, soll die Sprache eine langfristig stabile ABI erhalten.

Die aktuelle Version 11 der Java-Plattform erhält Langzeitunterstützung, jedoch anders als bisher, da Oracle sein Supportmodell ändert. Zu den Neuerungen gehören bessere Kryptofunktionen, eine neue HTTP-Client-API sowie experimentelle Garbage Collector. Alte Java-Bestandteile fliegen außerdem raus.

Die Entwicklungsumgebung Android Studio 3.2 von Google ist verfügbar. Unterstützt wird damit Android 9 alias Pie sowie die neuen App Bundles, die Anwendungen kleiner machen sollen. Hilfreich ist auch der Energy Profiler, um den Einfluss von Apps auf den Energiehaushalt des Gerätes zu analysieren.

Die Codehosting- und DevOps-Plattform Gitlab bekommt weitere 100 Millionen US-Dollar Risikokapital. Das Geld stammt unter anderem von Alphabet - dessen Tochter Google zuvor die Plattform Github kaufen wollte, jedoch an Microsoft scheiterte. Gitlab will mittelfristig offenbar an die Börse.

Otto Kekäläinen ist seit Anfang 2015 Chef der MariaDB-Foundation und hat nun seinen Rücktritt angekündigt. Es brauche eine andere Führung für die Community. Einen Nachfolger hat das Konsortium noch nicht gefunden.

Der Gründer und Leiter des Linux-Projekts, Linus Torvalds, nimmt sich eine Auszeit. Er möchte diese nutzen, um sein Verhalten zu ändern und entschuldigt sich für sein unprofessionelles Benehmen. Zudem hat die Kernel-Community nun einen neuen Code of Conduct.

Ab Anfang 2019 gibt es keinen PHP-Support mehr für die virtuelle Maschine HHVM. Stattdessen wollen die Entwickler verstärkt auf die Scriptsprache Hack setzen. Nutzer der Software stehen jetzt vor der Wahl: Entweder Hack oder PHP 7 ohne HHVM.

"Master" und "Slave": Diese Begriffe sind für einige Entwickler unangebracht, da sie mit Sklaverei verbunden sind. Auf Github diskutiert die Python-Community deshalb Alternativen. Andere Nutzer finden den Aufwand einfach zu groß.

Ebay hat eine Library vorgestellt, mit deren Hilfe motorisch eingeschränkte Nutzer Apps nur mit Kopfbewegungen bedienen können. Headgaze verwendet Apples ARKit und die Gesichtserkennung des iPhone X, der Quellcode steht offen bei Github zur Verfügung.

Azure Devops teilt den Dienst VSTS in fünf Unterpunkte auf. Das soll laut Microsoft die Softwareentwicklung im Team übersichtlicher und schneller machen. Nutzer des alten Visual Studio Team Services werden automatisch auf den neuen Dienst umgestellt.

Update Das Datenleck beim Chatanbieter Knuddels ruft nun auch die Aufsichtsbehörden auf den Plan. Nach der Datenschutz-Grundverordnung sind hohe Bußgelder möglich.