Verschlüsselung

Def Con 23 Sogenannte Brainwallets für Bitcoins, bei denen der Key aus einem Passwort generiert wird, lassen sich leicht angreifen. Offenbar gibt es eine Reihe von Kriminellen, die systematisch nach verwundbaren Brainwallets suchen.

Def Con 23 Kaffeemaschinen, die Kapseln von Drittherstellern ablehnen, und Druckerpatronen, bei denen ein Chip das Nachfüllen verhindert, sind nur zwei Beispiele für Geräte mit Digitalem Rechtemanagement. Science-Fiction-Autor Cory Doctorow warnt auf der Def Con vor den Risiken für die IT-Sicherheit durch DRM.

Black Hat 2015 Auf der Black Hat weisen Sicherheitsforscher auf ein Problem mit TLS-Zertifizierungsstellen hin: Die Prüfung, wem eine Domain gehört, findet über ein ungesichertes Netz statt. Dieser Weg ist angreifbar - beispielsweise mittels des Routingprotokolls BGP.

Black Hat 2015 Bösartige Apps können in Android legitime Zertifikate nutzen, um erhöhte Rechte zu erhalten. Die Entdecker der Schwachstelle haben dieser den Namen Certifi-Gate gegeben. Google bestätigt die Lücke, betont aber, dass Apps im Play Store auf ein solches Missbrauchspotential überprüft würden.

Das US-Handelsministerium hat die Hashfunktion SHA-3 jetzt offiziell als Federal Information Processing Standard (FIPS) 202 anerkannt. Das Nist hatte den Entwurf vor mehr als einem Jahr eingereicht. Grundlegende Änderungen gab es seitdem nicht.

Ein Hacker erbeutete Zugangsdaten beim Anti-Viren-Softwarehersteller Bitdefender und scheiterte mit einem Erpressungsversuch. Die Kundendaten sind jetzt im Netz verfügbar.

Forscher haben eine weitere Möglichkeit entdeckt, Benutzerzugriffe auf Tors Hidden Services zu entlarven. Ihr Angriff benötige aber eine gehörige Portion Glück, schreiben sie. Auch die Tor-Betreiber wiegeln ab.

Seit Jahren ungepatchte Schwachstellen im PHP File Manager gefährden zahlreiche Server, darunter auch von großen Unternehmen. Der Hersteller reagiert nicht auf Anfragen.

Höhere Geschwindigkeit, mehr Anonymität und besser skalierbar: Forscher wollen mit Hornet eine effizientere Alternative zum Protokoll entwickelt haben, das im Tor-Netzwerk verwendet wird. Eine vollständige Anonymität können aber auch sie nicht versprechen.

Die Steam-Konten mehrerer Twitch-Streamer wurden offenbar von Unbekannten übernommen. Sie nutzen einen Fehler in der Anmeldefunktion aus. Valve hat bereits ein Update bereitgestellt.

In einem Wettbewerb ist nach neuen Hashfunktionen gesucht worden, die sich für das Hashen von Passwörtern eignen. Jetzt steht der Gewinner fest: Argon2, entwickelt von einem Team an der Universität Luxemburg.

Eine Abteilung des IT-Sicherheitsunternehmens Trend Micro beobachtet seit Jahren das Deep Web auf der Suche nach bislang unbekannten Bedrohungen für seine Kunden. Eine Studie zeigt teils beunruhigende Trends auf.

Eine Fernbedienung, die ihren Benutzer identifizieren kann, um dessen gewünschte Raumtemperatur oder Lieblingssender im Fernseher einzustellen, hat Apple zum Patent angemeldet. Der Nutzer soll per Fingerabdruck oder per Spracherkennung identifiziert werden.

Gefälschte Blue Screens of Death sollen Windows-Nutzer dazu bringen, bei einem dubiosen technischen Support Hilfe zu holen. Von dort werden ihre Rechner nur noch weiter infiziert.

Die Identität sollte im Internet von der Person nachhaltig getrennt werden: Diesen Appell richtete Edward Snowden an die Teilnehmer des 93. Treffens der Mitglieder der Internet Engineering Task Force und machte dazu auch einige Vorschläge.

Microsoft soll Adallom gekauft haben. Die Firma ist aus Geheimdienstkreisen gegründet worden und erstellt Profile zu Verhaltensmustern von Mitarbeitern.

Zu Proxyham gibt es mittlerweile eine Reihe von Mythen und Verschwörungstheorien. Dabei erfordert das Konzept weder geheime Hardware noch spezielle Software. Einen Nachbau gibt es bereits.

Schon länger in der Beta, jetzt für alle verfügbar: Valve hat seinen Steam Guard Mobile Authenticator für Smartphones mit iOS und Android veröffentlicht. Damit lässt sich die Spielebibliothek besonders sicher vor fremdem Zugriff schützen.

Cisco, F5, Juniper, Fortinet: Ein Sicherheitsforscher hat eine Reihe von TLS-Servern entdeckt, die den sogenannten Message Authentication Code (MAC) von Verbindungen nicht prüfen. Andere Serverimplementierungen prüfen eine Checksumme am Ende des Handshakes nicht.

Im Tor-Netzwerk sind Hunderte gefälschte Webseiten entdeckt worden. Über diese könnten Dritte persönliche Daten abgreifen.

Ein OpenSSL-Update behebt eine kritische Sicherheitslücke. Mittels einiger Tricks kann ein Angreifer damit ein gewöhnliches Zertifikat zu einer Zertifizierungsstelle machen. Betroffen sind vor allem Clients.

Ifa 2015 Einige Funktionen des neuen Betriebssystems werden Windows-10-Nutzer nicht sofort nutzen können, denn dafür wird neue Hardware benötigt. Microsoft will mit seinen Partnern vor allem die Internationale Funkausstellung in Berlin zur Vorstellung nutzen.

In Windows 10 lässt sich das WLAN-Passwort automatisch an Facebook-Freunde oder Skype-Kontakte verteilen. Das erspart das lästige Diktieren von Kennwörtern bei Besuch, bringt aber auch Risiken mit sich.

Ein Akamai-Mitarbeiter beschreibt, wie mit einfachen Rechenaufgaben DDoS-Angriffe durch Clients auf TLS-Verbindungen minimiert werden könnten. Die Idee ist zwar noch ein Entwurf, könnte aber als Erweiterung für TLS 1.3 standardisiert werden.

Der italienische Hersteller von Spionagesoftware Hacking Team ist selbst Opfer eines Einbruchs geworden. Unbekannte haben mehr als 400 Gigabyte Daten gestohlen und im Internet veröffentlicht.

SSLv3 ist aus Firefox 39 endgültig entfernt worden, und RC4 ist nur noch temporär für einige wenige Seiten erlaubt. Das Mozilla-Team erweitert den Schutz des Browsers vor Malware, daneben gibt es noch viele kleinere Neuerungen.

Smartphones von LG sind aufgrund einer schlecht umgesetzten SSL-Verschlüsselung anfällig für Man-in-the-Middle-Attacken. Offenbar weiß der Hersteller schon länger davon, ein Patch soll das Problem beheben - auf manchen Geräten ist dieser aber noch nicht angekommen.

Mastercard experimentiert mit einer besseren Absicherung von Kreditkartenzahlungen und will ab Herbst mittels Smartphone Gesichtsscans durchführen. Das soll Betrügern das Handwerk legen. Die Selfie-Begeisterung soll dabei helfen.

Seit der Poodle-Attacke ist klar, dass das uralte Protokoll SSL 3 nicht mehr sicher ist. Mit RFC 7568 gibt es jetzt ein offizielles Dokument, das den Einsatz des ursprünglich von Netscape entwickelten Verschlüsselungsprotokolls verbietet.

Mangelnde Verschlüsselung und gefälschte Zertifikate können dazu führen, dass Zugangsdaten beim Einloggen von Fremden abgegriffen werden können. Eine App will vor anderen, unzureichend abgesicherten Apps in Googles Play Store warnen - eine Aufgabe, die eigentlich Google übernehmen sollte.

Bei der Installation wird die Benutzerdatenbank in SAPs Hana mit dem stets gleichen Standardschlüssel abgesichert. Weil dieser nur selten geändert wird, könnten sich Unberechtigte leicht Zugriff auf die dort gespeicherten Administratorkonten verschaffen.

Mangelnde Sicherheitsüberprüfungen in Mac OS X und iOS machen es Malware einfach, Passwörter oder andere kritischen Daten auszulesen. IT-Sicherheitsforschern ist es sogar gelungen, Schadsoftware in Apples App Store zu platzieren.

Ab Mitte September sollen alle Nutzer gratis Zertifikate von Let's Encrypt erhalten können. Bereits in einem Monat will das Team Zertifikate für ausgesuchte Webseite verteilen.

Wer die Online-Passwortverwaltung Lastpass verwendet, wird demnächst aufgefordert, sein Masterpasswort zu ändern. Der Grund ist ein Einbruch in die Server des Unternehmens. Die bei Lastpass gespeicherten Kennwortlisten seien nicht betroffen. Es ist nicht der erste Einbruch bei Lastpass.

Um den Zugriff vor Zensur zu schützen und abzusichern, will die Wikimedia künftig alle ihre Webseiten standardmäßig über verschlüsselte Verbindungen anbieten. Die grundlegenden Arbeiten an der HTTPS-Unterstützung sind bereits vor Jahren begonnen worden.