Verschlüsselung

Google plant, dass der Chrome-Browser künftig Mixed Content in Webseiten komplett blockiert. Das heißt, HTTP-Subressourcen können dann nicht mehr in HTTPS-Seiten geladen werden.

Mussten sich Nutzer früher Enigmail und GnuPG installieren, soll Thunderbird bald alles, was man zur Verschlüsselung von E-Mails mit PGP braucht, mitbringen. Das bedeutet aber auch das Ende von Enigmail in Thunderbird.

Erstmals haben die USA mit einem anderen Staat den schnellen Austausch von elektronischen Beweismitteln vereinbart. Großbritannien akzeptiert den Zugriff von US-Behörden "ohne rechtliche Hürden".

Facebooks Bemühungen um einen besseren Datenschutz scheinen nicht allen Regierungen zu gefallen. Die USA, Großbritannien und Australien wollen weiterhin Zugriff auf Textnachrichten haben. Das beschütze "unsere Kinder", heißt es in einem Brief an Mark Zuckerberg.

Forscher konnten zeigen, wie sie mit einem Timing-Angriff die privaten Schlüssel von Signaturen mit elliptischen Kurven auslesen konnten. Verwundbar sind Chips, deren Sicherheit eigentlich zertifiziert wurde.

Passwortgeschützte PDF-Dateien bieten wenig Sicherheit. Ein Angreifer, der die Dateien manipulieren kann, kann dafür sorgen, dass deren Inhalt geleakt wird. Abhilfe gibt es nicht, dafür müsste das Dateiformat geändert werden.

Ein Abkommen zwischen den USA und Großbritannien soll der Polizei den einfacheren Zugriff auf die Social-Media-Plattformen ermöglichen. Das Abkommen enthält jedoch mehrere Beschränkungen und soll bereits im Oktober unterzeichnet werden.

Als Reaktion auf die katastrophale Koordination rund um die Sicherheitslücken Meltdown und Spectre hat der Linux-Entwickler Thomas Gleixner Software für eine verschlüsselte Mailingliste erstellt und als Open Source veröffentlicht.

Neben Kryptohandys dürfen Behördenmitarbeiter nun auch auf iPhones Vertrauliches miteinander besprechen - vorausgesetzt, sie verwenden eine App der Telekom.

Die großen Browser-Hersteller wollen im kommenden Frühjahr die alten TLS-Versionen 1.0 und 1.1 komplett deaktivieren. Die Firefox-Entwickler werden das in ihrer Nightly-Version testen.

Um das Internet als Einheit zu erhalten und damit Nutzer weiterhin das notwendige Vertrauen in die Technik haben können, formuliert das Internet Architecture Board nun klare Richtlinien, denen Gesetzgeber folgen sollten.

Mit einem einfachen Trick kann ein Sicherheitsupdate von Logitech umgangen werden. Damit lassen sich weiterhin Eingaben von kabellosen Tastaturen abgreifen - oder Schadcode eintippen. Dabei hatte Logitech nicht einmal alle Sicherheitslücken behoben.

Die Bundesrechtsanwaltskammer erhofft sich vom neuen Betreiber des besonderen elektronischen Anwaltspostfachs einen zuverlässigen und sicheren Weiterbetrieb. Atos ist damit zum Ende des Jahres raus.

Vor etwa einem Jahr hat Tesla neue Schlüsselchips mit einer stärkeren Verschlüsselung herausgebracht, weil das Vorgängermodell gehackt wurde. Nun konnte ein Wissenschaftler auch diese klonen - und damit beliebige Model S öffnen und starten.

Die Verschlüsselung des Bluetooth-Protokolls lässt sich einfach aushebeln, ein Angreifer kann die Schlüssellänge kontrollieren und auf eine triviale Größe reduzieren. Abhilfe ist nicht in Sicht, die Bluetooth-Standardisierungsgruppe will die Schlüssellänge nur minimal erhöhen.

Kasachstan hat Nutzer angewiesen, ein Root-Zertifikat zur Überwachung ihrer verschlüsselten TLS-Verbindungen zu installieren. Jetzt dürfen diese das Zertifikat wieder löschen - zumindest vorläufig.

Wie lange ein kryptografisches Verfahren braucht, kann ungewollt Informationen verraten. Mit einer solchen Schwachstelle konnten Forscher Passwörter bei der WLAN-Verschlüsselung WPA3 knacken.

Mail rechtzeitig verschickt, Frist aber trotzdem versäumt: Das BeA kommt mit Umlauten nicht klar, der Absender einer Nachricht erfährt davon aber nichts.

Mit der Firmware Logitacker und einem USB-Funk-Stick für rund 10 Euro lassen sich kabellose Mäuse und Tastaturen von Logitech leicht hacken. Angreifer können mit der Software Schadcode per Funk eintippen lassen. Logitech wird nur ein Teil der Sicherheitslücken schließen.

Verschlüsselung bedeute eine rechtsfreie Zone, die Kriminelle gerne nutzen, argumentiert der US-Justizminister. Deshalb brauche es dringend Hintertüren für die Strafverfolgungbehörden. Kritiker halten dagegen und warnen vor Missbrauch.

Die Washington Post will Dokumente erhalten haben, die belegen sollen, dass Huawei ein Mobilfunknetz in Nordkorea ausgerüstet habe. Huawei hat dies dementiert.

Nach mehreren Angriffen auf OpenPGP-Schlüssel auf Schlüsselservern zieht GnuPG die Reißleine und akzeptiert keine Signaturen mehr von diesen. Damit dürfte sich auch das Web of Trust erledigt haben.

Zum Erstellen illegaler Kopien von Inhalten der Streaminganbieter Netflix oder Amazon greifen die zuständigen Gruppen offenbar direkt die genutzte Verschlüsselung an. Das geht aus einem Medienbericht hervor, der Insider zitiert.

Gleich mehrere Sicherheitslücken in kabellosen Tastaturen und Mäusen von Logitech ermöglichen nicht nur das Mitlesen der Eingaben, es kann auch Schadcode an den Rechner übermittelt werden. Logitech möchte nicht alle Lücken schließen.

Dass SKS-Keyserver anfällig für Spam-Angriffe sind, ist seit langem bekannt. Nachdem sie angegriffen wurden, raten zwei OpenPGP-Entwickler nun davon ab, das Netzwerk für PGP-Schlüssel weiter zu nutzen. Das kommt überraschend spät.

Qwant Maps steht in einer ersten Betaversion für Nutzer zur Verfügung: Der französische Suchmaschinenbetreiber verwendet Material von Openstreetmap und will auf das Speichern persönlicher Daten und Orte verzichten. Wer dennoch Orte speichern möchte, kann dies verschlüsselt tun.

Quantencomputer könnten in Zukunft die heute verwendete Kryptographie brechen. Google und Cloudflare starten ein Experiment, bei dem unter Realbedingungen mit HTTPS getestet werden soll, wie gut Algorithmen, die vor Quantencomputern Schutz bieten, funktionieren.

Quantenverschlüsselte Kommunikation hat bisher nur über Glasfaser oder aufwendige Bodenstationen mit Satelliten und Flugzeugen funktioniert. Inzwischen reicht aber auch eine Drohne.

Das bisherige Konzept der PGP-Keyserver ist an seine Grenzen gelangt, die bestehenden Keyserver werden immer unzuverlässiger. Nun gibt es einen neuen Keyserver mit einem anderen Konzept. Persönliche Daten werden nur nach einer Prüfung der E-Mail-Adresse verteilt.

Das Innenministerium möchte Messengerdienste zur Herausgabe entschlüsselter Inhalte zwingen - und damit die Ende-zu-Ende-Verschlüsselung untergraben. Über 100 Vereine, Informatiker und Bürgerrechtler argumentieren in einem offenen Brief dagegen.

In vielen Apps steckt fehlerhafte Kryptographie. Auf der Sicherheitskonferenz Ruhrsec wurde eine Lösung vorgestellt: Cognicrypt. Die Open-Source-Software sucht nach Fehlern im Code und generiert sichere Krypto-Funktionen. Neben Java sollen bald auch weitere Programmiersprachen folgen.
Von Moritz Tremmel

Das TCP überträgt Daten bislang unverschlüsselt. Die IETF hat nun zwei RFCs zur TCP-Verschlüsselung veröffentlicht. Diese sind als experimentell gekennzeichnet und dienen zur Dokumentation der Forschung.

Seit den 90ern lassen sich E-Mails mit GPG verschlüsseln, doch nur wenige nutzen das System täglich. Zu kompliziert sagen Kritiker. Pep tritt an, die E-Mail-Verschlüsselung radikal zu vereinfachen - und macht alles noch komplizierter.
Ein Erfahrungsbericht von Moritz Tremmel

Die aktuelle Version 0.8 von ZFS on Linux (ZoL) verschlüsselt das Dateisystem nativ. Auch sind verschlüsselte Backups möglich und für SSD-Nutzer gibt es TRIM-Support.

Die Verschlüsselung von vielen Messengern gilt als unknackbar. Der Spiegel berichtet von Plänen des Innenministers, die Messengerdienste zur Weitergabe entschlüsselter Nachrichten zu zwingen - sonst könnte ihnen in Deutschland die Sperrung drohen.

Der Mathematiker Robert McEliece ist tot. Er entwickelte Fehlerkorrekturverfahren, die auch in der Raumfahrt eingesetzt wurden, und war ein Pionier der Public-Key-Verschlüsselung. Sein bislang kaum genutztes Verschlüsselungsverfahren könnte mit Blick auf Quantencomputer noch eine Zukunft haben.
Von Hanno Böck

Die Entwickler von Wireguard haben eine erste Testversion ihrer VPN-Technik nun auch für Windows veröffentlicht. Noch fehlen zwar viele, vor allem sicherheitsrelevante Funktionen, die Software soll nun aber durch die Experimente der Nutzer verbessert werden.

Die Max-Planck-Gesellschaft will künftig Grundlagenforschung zu Kryptographie und Datenschutz betreiben. Die Gründungsdirektoren des neuen Instituts stehen bereits fest.

Microsoft hat den Code der Windows-eigenen Verschlüsselungsbibliothek Symcrypt unter der MIT-Lizenz veröffentlicht. Allerdings fehlt ein Build-System und externe Beiträge sind nicht gewollt.

Mit einer ganzen Reihe von Tricks lassen sich Mailprogramme dazu bringen, E-Mails scheinbar signiert anzuzeigen. Dabei wird aber nicht die Kryptographie angegriffen, sondern die Interpretation durch den Mailclient.

Ein 1999 von RSA-Miterfinder Ron Rivest erstelltes Kryptopuzzle, bei dem man eine langwierige Berechnung durchführen sollte, ist gelöst - viel früher als erwartet.

Es muss nicht immer Slack sein. Das Startup Parity nutzt seit zwei Jahren den freien, offenen und verschlüsselten Team-Messenger Matrix - und zieht eine positive Bilanz. Auch wenn nicht immer alles rundläuft.
Von Moritz Tremmel

Mit Googles Gmail unterstützt nun auch einer der weltweit größten E-Mail-Provider den Standard MTA-STS und damit die Transportverschlüsselung zwischen Mailservern. Auch andere Provider unterstützen die Technik bereits.

Die Schlüsselserver für PGP sind so ausgelegt, dass sie fast alles ungeprüft akzeptieren. Das führt zu zahlreichen Problemen, zuletzt wurden die Keyserver aufgrund von Angriffen mit vergifteten Schlüsseln immer unzuverlässiger.
Ein Bericht von Hanno Böck

Die Bundesrechtsanwaltskammer sucht einen neuen Betreiber für das von Sicherheitspannen geplagte besondere elektronische Anwaltspostfach. Die Verträge mit dem bisherigen Betreiber Atos laufen 2019 aus.

Die CDN- und Netzwerkspezialisten von Cloudflare haben mit Boring-TUN eine eigene Userspace-Implementierung des Wireguard-VPN in Rust erstellt. Diese soll plattformübergreifend funktionieren und vor allem schnell sein.

Die Verschlüsselung der kabellosen Fujitsu-Tastatur LX901 lässt sich von Angreifern auf gleich zwei Arten umgehen - und für Angriffe aus der Distanz nutzen.

VPN-Anbieter werben aggressiv und preisen ihre Produkte als Allheilmittel in Sachen Sicherheit an. Doch im modernen Internet nützen sie wenig und bringen oft sogar Gefahren mit sich.
Eine Analyse von Hanno Böck

Eine schwere Sicherheitslücke im Code der Schweizer Post für zukünftige Onlinewahlen ermöglicht es dem Betreiber einer Wahl, das Ergebnis zu manipulieren. Die Schweizer Post weiß angeblich schon seit 2017 von dem Problem, der Hersteller hat es jedoch versäumt, den Fehler zu beheben.

Bei der vergangenen Parlamentswahl in Estland haben rund 44 Prozent der Wähler online gewählt. Die Sicherheitslücken der eID-Zertifikate scheinen das Vertrauen der Esten nicht beeinflusst zu haben.