Mindestens ein Router von TP-Link dürfte Angreifer nicht vor große Probleme stellen - wenn die Standardkonfiguration nicht geändert wird. Denn Passwort, Hardwareadresse und die WLAN-SSID sind in großen Teilen identisch.
Lenovos Chef kündigte zwar im Interview vor einigen Wochen an, künftig sichere Software einsetzen zu wollen - im Fall eines Programms zur Dateiübertragung funktioniert das jedoch noch nicht besonders gut.
Die aktuelle Version des Firefox nutzt für Videos nun H.264 oder, sollte dies nicht verfügbar sein, das freie VP9. Die Hinweisseiten für Zertifikatsfehler sind neu gestaltet und der Videochat Firefox Hello verlässt offiziell die Beta-Phase.
Der Spielzeughersteller Vtech wurde Ende vergangenen Jahres wegen großer Sicherheitsmängel kritisiert und nahm daraufhin viele seiner Dienste vom Netz. Jetzt gehen einige Produkte wieder online - bei der Security will das Unternehmen dazugelernt haben.
Die Krypto-Arbeitsgruppe der IETF hat RFC 7748 veröffentlicht. Darin spezifiziert sind die zwei elliptischen Kurven Curve25519 und Curve447. Sie sind das Ergebnis einer langen Diskussion.
Mit der sechsten Generation des Core i (Skylake) und dem Start der entsprechenden Geschäftskundenplattform will Intel nun verstärkt auch Sicherheitslösungen in vPro anbieten. Eine betriebssystemunabhängige Firmware und direktes Ansprechen der Grafikkarte sollen Keylogger chancenlos lassen.
Immer wieder betonen die Macher von Whatsapp, dass ihre App unabhängig von Eigner Facebook bleiben soll. Eine Betaversion für Android weist nun doch auf eine Verknüpfung von Daten hin.
Erst in der vergangenen Woche war bekanntgeworden, dass einige Fortinet-Firewall-Produkte einen Zugang mit Standardpasswörtern ermöglichen. Jetzt hat das Unternehmen seine eigenen Produkte analysiert - und weitere verwundbare Geräte gefunden.
Ein Mitglied der State Assembly in Kalifornien will den Verkauf von verschlüsselungsfähigen Smartphones ohne Hintertür verbieten und hat dafür einen Gesetzesvorschlag erarbeitet. Ihm geht es vor allem darum, Menschenhandel zu verhindern, denn die Beweise finden sich in verschlüsselten Smartphones.
Treiber-Updates sollen einen Rechner sicherer machen, nicht verwundbarer. Im Fall von Intels Treiber-Update-Programm ist das leider misslungen - eine Schwachstelle ermöglicht es Angreifern, bösartigen Code auf dem Rechner der Nutzer auszuführen.
Der NAS-Hersteller Synology bietet in der Betaversion 2 der neuen Firmware 6.0 die Unterstützung für Let's-Encrypt-Zertifikate an. Außerdem können Mac-Nutzer jetzt auch die Spotlight-Suche nutzen.
Update Eine Webapplikation des Zürcher Prime Tower hat massive Sicherheitslücken. Sie gibt detaillierte Auskunft darüber, welche Parkplätze wann wie lange belegt werden. Auch Schranken können aus der Ferne gesteuert werden. Einbrecher dürfen sich eingeladen fühlen.
Erneut gerät eine Firma in den Verdacht, Hintertüren in Produkte eingebaut zu haben. Geräte der Firma AMX, die Technikausstattung für Konferenzräume entwickelt, enthielten versteckte Administratoraccounts mit Namen aus der Comicwelt.
Ein Praktikant hat die Grundlagenarbeit geleistet: Facebook unterstützt mit seiner Android-App nun offiziell den Zugriff über das Anonymisierungsnetzwerk Tor.
Truecrypt ist von seinen anonymen Entwicklern für tot erklärt worden - und seitdem fragen sich insbesondere Windows-Nutzer, welcher Verschlüsselungslösung sie vertrauen können. Wir haben mit dem Entwickler des Truecrypt-Forks Veracrypt über Lizenzen, Geheimdienste und neue Features gesprochen.
Der "Islamische Staat" verteilt angeblich einen selbst entwickelten Krypto-Messenger. Damit könnten die Terroristen staatlich angeordnete Hintertüren vermeiden.
In der Anonymität des Darknets ist eine klassische Rechtsdurchsetzung nicht möglich. Herrscht deswegen totale Anarchie? Nicht ganz. Eine komplexe Selbstregulierung ermöglicht Geschäfte zwischen Unbekannten und versucht, die schlimmsten Auswüchse zu verhindern.
Update Die WLAN-Standardpasswörter einiger von Unitymedia verwendeten Router bieten offenbar keinen guten Schutz vor Angreifern - Kunden sollen diese deswegen ändern. Doch der Aufruf von Unitymedia wirft mehr Fragen auf, als er beantwortet.
Nachdem zunächst nur zahlende Entwickler die erste Beta von iOS 9.3 herunterladen konnten, steht sie nun auch Teilnehmern des kostenlosen Testprogramms zur Verfügung. In iOS 9.3 hat Apple einen Blaulichtfilter und einen Passwortschutz für Notizen eingebaut.
In OpenSSH ist eine Sicherheitslücke gefunden worden, die es einem böswilligen Server ermöglicht, den privaten Schlüssel des Nutzers auszulesen. Der Fehler findet sich in der Roaming-Funktion, die kaum jemand benötigt, die aber standardmäßig aktiv ist.
Ein Google-Sicherheitsforscher hat eine schwere Sicherheitslücke im Passwort-Manager von Trend Micro entdeckt. Über das Internet hätten Angreifer alle Passwörter auslesen können.
Apple hat eine erste Beta von TVOS 9.2 für Apple TV veröffentlicht, die viele optische Änderungen mit sich bringt. Unter anderem können nun Apps in Ordnern übersichtlich gruppiert und Podcasts gehört werden.
Nach wie vor verwenden Juniper-Geräte einen Zufallszahlengenerator, der vermutlich eine Hintertür eingebaut hat. Juniper will diesen zwar entfernen, sieht aber keine akute Gefahr. Dabei gibt es sehr klare Hinweise darauf, dass er böswillig eingebaut wurde.
Bisher gibt es in Deutschland kein nationales Cert, dabei wäre es nicht schwer zu erschaffen. Ein neu geschaffenes Cert müsste jedoch eine klare Distanz zu Regierungsstellen wahren, um ernst genommen zu werden - eine lösbare Aufgabe.
/8Kommentare/Von Isabel Skierka (GPPi) und Mirko Hohmann (GPPi)
Wie kann eine Verschlüsselung gleichzeitig sicher sein und eine Hintertür für Ermittler beinhalten? Die Krypto-Koryphäe David Chaum macht einen gefährlichen Vorschlag.
Das Ende von SHA 1 naht - doch jetzt gibt es einen Rückschritt beim Abschied von dem alten Algorithmus. Weil es in Firmennetzwerken Probleme mit TLS-Man-In-The-Middle-Proxys wie Antivirenscannern und Firewalls gibt, hat Mozilla die Zertifikate wieder aktiviert - vorerst.
Gefälschte Support-Anrufe sind ein großes Ärgernis für viele PC-Nutzer. Jetzt gibt es eine neue Masche, die gezielt Dell-Nutzer anspricht. Möglicherweise hängen die Anrufe mit den von Dell im vergangenen Jahr installierten SSL-Zertifikaten zusammen.
Die automatischen Updates von Drupal können so manipuliert werden, dass recht leicht Malware eingeschleust werden kann. Bekannt ist dies wohl schon seit Jahren, Lösungen dafür werden nun erneut diskutiert.
Das Chat-Protokoll Jabber, offiziell XMPP, könnte endlich eine native Ende-zu-Ende-Verschlüsselung auf Basis von OpenPGP bekommen. Die Entwickler arbeiten bereits an einer Referenzimplementierung.
Die Kopierschutzsysteme für PC-Spiele werden immer besser - das sagen nicht nur deren Hersteller, sondern auch eine berühmt-berüchtige Cracker-Gruppe, die sich offenbar seit mehreren Wochen frustriert mit dem Knacken von Just Cause 3 beschäftigt.
Let's Encrypt erstellt vermeintlich Zertifikate für Domains, über die Malware verteilt wird. Das zumindest behauptet ein Anti-Viren-Hersteller, der gleichzeitig eine konkurrierende Zertifizierungsstelle ist. Das beschriebene Problem scheint jedoch ganz andere Hintergründe zu haben.
Neue Angriffe gegen TLS: Krypto-Forscher präsentieren mit Sloth mehrere Schwächen in TLS-Implementierungen und im Protokoll selbst. Am kritischsten ist ein Angriff auf Client-Authentifizierungen mit RSA und MD5.
Auf den Installationsimages für Server der Firma Hetzner fanden sich für mehrere Monate vorinstallierte SSH-Keys. Die betroffenen Server sind somit für Man-in-the-Middle-Angriffe anfällig.
Nach den schwerwiegenden Problemen von Steam an den Weihnachtstagen äußert sich Valve erstmals ausführlich zu den Hintergründen. Ursache war offenbar ein Caching-Fehler als Folge von DoS-Angriffen.
32C3 Wie verhindert man einen DDoS-Angriff nicht? Dieser Frage ging der Sicherheitsforscher Moshe Ziono in seinem Vortrag auf dem 32C3 nach. Demnach wird das teure Anti-DDoS-Equipment offenbar manchmal selbst zur Falle.
32C3 Der Geheimdienstausschuss des US-Senats plant offenbar eine gesetzliche Pflicht für Hintertüren in Verschlüsselungsprogrammen. Aktivisten sind aber der Ansicht, auch die nächsten Crypto Wars gewinnnen zu können.
Das Hasso-Plattner-Institut hat im Jahr 2015 fast 35 Millionen neu geleakte Identitätsdaten untersucht. Wie die Sicherheitsforscher feststellten, verwenden immer noch sehr viele Nutzer unsichere Passwörter.
32C3 Mit einer Browsererweiterung wollen sich die Entwickler von Checkmyhttps gegen Man-in-the-Middle-Angriffe wehren. Sie gleicht die Fingerabdrücke von Zertifikaten mit anderen Nutzern der Erweiterung ab.
32C3 Talks, die Albträume über mobile Kommunikation auslösen, haben beim CCC Tradition. Dieses Mal haben zwei koreanische Studenten Angriffe auf Voice over LTE vorgeführt. In Deutschland soll das angeblich nicht möglich sein.
32C3 Der Start der neuen Certificate Authority Let's Encrypt hat offenbar recht gut funktioniert. Nach nur rund einem Monat im Betabetrieb ist das Projekt schon die fünftgrößte CA der Welt. Doch es gibt noch einige Aufgaben zu bewältigen.
Update32C3 Die Banken preisen das pushTAN-Verfahren als sicher an. Dabei ist es hochgefährlich, Onlinebanking mit zwei Apps auf demselben Smartphone zu verwenden. Die Sparkasse verteidigt ihr Angebot.
32C3 Chinas Internetzensoren sind offenbar erfindungsreich: Statt stumpf alle verschlüsselten Verbindungen zu blockieren, suchen die Zensoren aktiv nach Tor-Bridges, um diese zu unterbinden. Doch es gibt Möglichkeiten, die Zensur zu trollen.
32C3 Nicht nur die Protokolle zur Abwicklung des EC-Zahlungsverkehrs sind schwach, auch die verwendete Hardware ist offenbar nicht besonders gut gegen Angriffe abgesichert. Auf dem 32C3 stellten Berliner Hacker jetzt vor, wie sich das Hardware-Security-Modul eines EC-Terminals hacken lässt.
Brandneue Spielfilme wie der jüngste Western von Quentin Tarantino sind im Internet aufgetaucht. Eine Reihe weiterer Stars hat ganz andere Probleme: Ein Hacker ist an Sexvideos und persönliche Daten von ihnen gelangt - er wurde allerdings nun verhaftet.
Zu Weihnachten reparieren wir alljährlich die IT der gesamten Familie. Wir fluchen, lästern - und fühlen uns gebraucht. Was für ein Schock, wenn man plötzlich feststellt, dass sich die Angehörigen hinterrücks digitalisiert haben!
Wegen einer anonymen Bombendrohung mussten kürzlich alle Schulen in Los Angeles schließen. Nun haben deutsche Behörden offenbar Amtshilfe bei der Suche nach dem Urheber der Drohmails geleistet.
Eine der in Juniper-Firewalls gefundenen Hintertüren nutzt offenbar einen Zufallszahlengenerator, der mutmaßlich von der NSA kompromittiert ist. Bei der Analyse der Änderungen gibt es Hinweise, dass hier mehrere Akteure am Werk waren - und dass die Hintertür gar nicht wirklich geschlossen worden ist.
Eine MongoDB-Datenbank mit den privaten Informationen zahlreicher Hello-Kitty-Fans wurde veröffentlicht. Vor allem Kinder dürften davon betroffen sein - und sollten ihre Passwörter bei anderen Diensten überprüfen.
