Update Besitzer von TS-251+-NAS-Geräten berichten von merkwürdigen Einträgen in der Hosts-Datei durch Malware, die das Aktualisieren und Installieren von Antivirensoftware verhindern. Erst auf Nachfrage stellt Qnap einen Fix bereit. Nutzer wundern sich über dessen Trägheit in der Sache.
Ein Hersteller von Kühlsystemen, die bei industriellen Kunden wie Supermärkten und Krankenhäusern zum Einsatz kommen, hat diese mit einem Standardpasswort ausgestattet. Sie lassen sich übers Internet steuern und abschalten. Der Hersteller sieht das Problem nicht bei sich.
Nach einem ähnlichen Dienst in Mozillas Firefox will nun auch Google in seinem Chrome-Browser über gehackte Zugangsdaten aus dem Internet informieren. Das Unternehmen will außerdem seinen Login-Dienst besser absichern.
Die Behörden und Ministerien der französischen Regierung beginnen damit, ihre eigene Whatsapp-Alternative auf Basis der freien Chat-Software Matrix auszurollen. Die Entwickler aus Community und Verwaltung mussten dafür viel Arbeit leisten, wie ein Vortrag auf der Fosdem darstellt.
Der Inhaber einer Kryptowährungsbörse ist plötzlich gestorben. Er hinterlässt verschlüsselte Festplatten mit Währung im Wert von 137 Millionen US-Dollar. Allerdings wusste nur er das Passwort.
Die Übertragung von DNS-Informationen über HTTPS sei nicht nur sicherer als Alternativen, sondern vor allem gut für den Endnutzer, sagt Curl-Entwickler Daniel Stenberg. Noch seien aber nicht alle Probleme mit der Technik gelöst.
Die Deutsche Post hält vorerst an ihrem bei Privatpersonen fast erfolglosen Messenger Sims Me fest. Bei den Geschäftskunden gab es kürzlich Neuzugänge.
Nachdem Facebook und Google die Nutzungsrichtlinien von Apple verletzt hatten, mussten beide Unternehmen eine Weile ohne Zertifikat auskommen. Mittlerweile hat sich die Lage wieder beruhigt.
Die angekündigte Verschmelzung von Facebooks eigenen Diensten mit Whatsapp haben für viel Wirbel gesorgt. Doch Mark Zuckerberg scheint es damit nicht sehr eilig zu haben.
Wegen des Missbrauchs eines Enterprise-Zertifikats durch Facebook hat Apple eben jenes kurzerhand zurückgerufen - Berichten zufolge mit erheblichen Auswirkungen auf den internen Betrieb des sozialen Netzwerks.
Eine Spionageabteilung im Auftrag der Vereinigten Arabischen Emirate soll die iPhones von Aktivisten, Diplomaten und ausländischen Regierungschefs gehackt haben. Das Tool sei wie Weihnachten gewesen, sagte eine frühere NSA-Mitarbeiterin und Ex-Kollegin von Edward Snowden.
Die US-Standardisierungsbehörde Nist hat eine Vorauswahl von Algorithmen getroffen, die für zukünftige Standards von quantensicheren Algorithmen in Frage kommen.
Verizon hat 50 Millionen US-Dollar dafür zahlen wollen, um einen Vergleich mit Betroffenen des Yahoo-Datenlecks zu schließen. Der Deal war schon vereinbart, doch die zuständige Richterin lehnte ihn nun ab. Dazu dürfte Yahoos Intransparenz beigetragen haben.
Nach etwas mehr als zwei Jahren Einsatz kehrt Alpine Linux von LibreSSL zurück zu OpenSSL, um die Pflege zu vereinfachen. Hinzu kommen ein neuer Kernel und die Unterstützung für ARMv7.
Mit der aktuellen Version 72 von Chrome beginnt Google den Abschied von TLS 1.0, 1.1 und FTP. HPKP wird komplett entfernt. Die Entwickler haben außerdem die Web-Authentication ausgebaut, WebRTC um eine Screen-Capture-Funktion erweitert und führen ein neues User-Activation-API ein.
In der EU sind seit Inkrafttreten der DSGVO mehr als 40.000 Datenpannen registriert worden, die meisten davon in Deutschland. Was genau hinter den Verletzungen des Datenschutzes steckt, wird jedoch nicht erfasst.
Update Seit Inkrafttreten der EU-Datenschutz-Grundverordnung sind in Europa fast 100.000 Datenschutzbeschwerden von Bürgern eingegangen. In Niedersachsen war dies nur eingeschränkt möglich.
Facebook-Chef Mark Zuckerberg will angeblich die verschiedenen Messengerdienste seines Unternehmens miteinander verknüpfen. Doch wem nützt eine Verschmelzung von Whatsapp mit den anderen Diensten?
Mit Standardpasswörtern und Passwortlisten sollen sich japanische Behördenmitarbeiter Zugang zu IoT-Geräten verschaffen. Anschließend sollen die Besitzer der Geräte einen Hinweis erhalten. Die Maßnahme ist umstritten.
Wo führt das hin, wenn Alltagsgegenstände smart und damit angreifbar werden? Der Sicherheitsforscher Michael Steigerwald zeigt, was mit einem smarten Leuchtmittel alles möglich ist.
Die Initiativen Ostif und Quarkslab haben OpenSSL 1.1.1 einem Audit unterzogen. Den Fokus legten die Sicherheitsforscher auf die neuen TLS-1.3-Funktionen und die Änderungen am Pseudo Random Number Generator (PRNG).
Ein Fehler im Debian-Paketmanager Apt erlaubt es einem Netzwerkangreifer, dem System bösartigen Code unterzuschieben. Debian nutzt für seine Pakete kein HTTPS, was den Bug zumindest schwerer ausnutzbar machen würde.
Warnungen vor dem Wordpress-Plugin WP Multilingual sind am Wochenende auf dessen eigener Webseite zu lesen gewesen. Auch in Rundmails wurden Kunden gewarnt. Laut dem Plugin-Hersteller ist ein ehemaliger Mitarbeiter verantwortlich.
Nicht nur Epic Games verdient prächtig mit Fortnite - sondern auch immer mehr Kriminelle. Laut einem Medienbericht steigt die Anzahl der Angebote, über die gestohlene Kreditkartendaten in Geld umgesetzt werden.
Let's Encrypt wird in Kürze die Domain-Validierungsmethode TLS-SNI-01 aufgrund von Sicherheitsbedenken nicht mehr anbieten. Für Nutzer älterer Versionen der Certbot-Software wird das zum Problem - beispielsweise für Debian-Anwender.
Der Sicherheitsforscher Troy Hunt konnte an eine der größten Sammlungen von Passwörtern und E-Mail-Adressen gelangen. Betroffen sind Millionen Nutzer. Die Sammlung könnte sogar unvollständig sein.
Bei Nokia Deutschland werden 15 Prozent der Arbeitsplätze in allen Bereichen gestrichen. Offenbar laufen die Geschäfte trotz 5G-Einführung nicht zufriedenstellend, weil die USA den Handelskrieg mit China weiter anheizen.
Sicherheitslücken wie Spectre, Rowhammer und Heist lassen sich kaum vollständig beheben, ohne gravierende Performance-Einbußen zu akzeptieren. Daher bleiben sie ungefixt. Trotzdem werden sie bisher kaum ausgenutzt.
Update Weil Politiker die Zwei-Faktor-Authentifizierung ihrer Accounts bislang meiden, prüft Facebook nun eine Pflicht bei den Europawahlen. Die Bundesregierung erwägt inzwischen eine eingeschränkte Meldepflicht für Sicherheitslücken.
Golem-Wochenrückblick Neue Prozessoren, Grafikkarten, Notebooks, TVs und Autos: Das Jahr startet in Las Vegas mit neuer Technik - und in Deutschland mit einem umfassenden Datenleak eines Scriptkiddies auf politischem Feldzug.
Eine täuschend echte Phishing-Seite, die sogar Zwei-Faktor-Authentifizierung umgehen kann: Mit dem Tool Modlishka lassen sich automatisierte Phishing-Kampagnen betreiben - auch von sogenannten Scriptkiddies.
Zusätzlich zur Hardware arbeitet das Purism-Team an eigener Software für das freie Linux-Smartphone Librem 5. Unter anderem funktioniert nun das Telefonieren und die Bibliothek Libhandy macht GTK3-Anwendungen mobilfähig.
Ein polizeibekanntes Skriptkiddie hat offenbar jahrelang unbemerkt Politiker und Prominente ausspähen können und deren Daten veröffentlicht. Welche Konsequenzen sollten für die Sicherheit von Daten aus dem Datenleak gezogen werden?
Nach der Aufklärung des Politiker-Hacks will die Bundesregierung ähnliche Vorfälle künftig besser verhindern. Dazu soll eine bessere Aufklärung der Verbraucher vor den Gefahren im Netz gehören. Und ein "IT-Sicherheitskennzeichen".
Update Im Zusammenhang mit den geleakten Daten von Politikern und Prominenten ist ein Mann aus Mittelhessen festgenommen worden. Der 20-Jährige hat die Taten gestanden. Schon vor zwei Jahren war er der Polizei wegen ähnlicher Vergehen aufgefallen.
Der Youtuber Unge hatte bei seinem Twitter-Account Zwei-Faktor-Authentifizierung aktiviert. Doch sie half ihm nichts, sein Account wurde trotzdem gehackt. Der Twitter-Support schaltete diese einfach auf Anfrage hin ab.
Die Web-Entwicklung mit lokalem HTTPS ist nicht immer einfach und auch nicht ohne weiteres möglich. Um den eigenen Code dennoch leicht lokal mit einer HTTPS-Verbindung zu testen, hat ein Google-Sicherheitsforscher das Werkzeug Mkcert vorgestellt.
Das Datenleck bei zahlreichen Politikern und Prominenten hat die Bundespolitik aufgeschreckt. Innenminister Seehofer verspricht "volle Transparenz". Grünen-Chef Habeck zieht drastische Konsequenzen.
Wer steckt hinter dem Leak persönlicher Daten von Politikern und Promis? Die aufwendige Aufbereitung der Daten lässt eine Nutzung für politische Kampagnen vermuten. Doch ein Youtuber soll dahinter stecken, der lediglich Aufmerksamkeit wollte.
Hamburgs Verfassungsschutzchef Torsten Voß sieht den 5G-Standard als Risiko für die Demokratie: Extremisten und Terroristen könnten die systemimmanente Verschlüsselung ausnutzen, der Staat sollte entsprechend eine Zugriffsmöglichkeit erhalten.
35C3 Anbieter von Krypto-Wallets versprechen, in diesen seien Bitcoins sicher verstaut. Sind sie nicht, zeigten nun Sicherheitsforscher auf dem Kongress des Chaos Computer Clubs.
Die ursprünglich von der NSA entwickelte Chiffre Speck wird im Linux-Kernel nun offiziell durch die Google-Implementierung Adiantum ersetzt. Dem vorausgegangen waren viele Diskussionen, dafür bekommen nun aber auch schwache Android-Geräte eine gute Verschlüsselung.
Die freie VPN-Technik Wireguard entsteht zwar für den Linux-Kernel und soll dort eingepflegt werden. Als Client entsteht unter anderem auch eine iOS-App, die nun offiziell in Apples App Store verfügbar ist. Stabil ist die App wohl aber noch nicht.
35C3
Venenerkennungssysteme gelten als eines der sichersten biometrischen Verfahren und kommen im Hochsicherheitsbereich zum Einsatz. Doch sie können mit einfachen Mitteln umgangen werden.
Hyundai baut in den Stadtgeländewagen Santa Fe ab 2019 einen Fingerabdruckscanner ein, mit dem das Fahrzeug gestartet werden kann. Ein Autoschlüssel oder eine Schlüsselkarte sind überflüssig. Auch die Türen lassen sich per Fingerabdruck öffnen und verriegeln.
