Verschlüsselung

Weil er nicht mehr für die Sicherheit seiner Nutzer garantieren kann, schließt der illegale Onlinemarktplatz Agora nach eigenen Angaben vorübergehend. Grund soll ein neuer Angriff auf die Hidden-Services im Tor-Netzwerk sein.

Update Offenbar haben sich Unbekannte, die für die jüngste Spamwelle verantwortlich sind, auch Zugangsdaten zu E-Mail-Konten bei der Telekom verschafft. Mit gekaperten E-Mail-Adressen der T-Online-Konten werden Spammails mit Links zu verseuchten Webseiten versendet.

Mehrere Millionen Kundendaten des Seitensprungportals Ashley Madison sollen im Internet veröffentlicht worden sein. Unklar ist, ob die Datensätze echt sind. Die Täter wollten zuvor die Abschaltung des Portals erzwingen.

Mit Hintergrundgeräuschen wollen Forscher aus der Schweiz ein sicheres Authentifizierungssystem entwickeln, das den klassischen Login mit Username und Passwort ablösen soll, ohne dass der Nutzer SMS von seinem Smartphone eintippen muss. Das neue Verfahren nennt sich Sound-Proof.

Encryptor RaaS nennt sich ein neuer digitaler Erpressungsdienst, der im Tor-Netzwerk aufgetaucht ist. Sein Erschaffer hat offenbar bei Reddit dafür geworben. Angeblich soll es bereits erste Kunden geben.

Nutzer des Cloud-Speichers Dropbox können eine neue Möglichkeit der Zwei-Faktor-Authentifizierung nutzen: Neben dem Passwort sorgt jetzt ein USB-Stick mit U2F-Standard für zusätzliche Sicherheit beim Einloggen.

Ein komplexer Angriff nutzt eine trickreiche Kombination aus Clientzertifikaten und einem statischen Diffie-Hellman-Schlüsselaustausch. Der Angriff ist nur in sehr speziellen Situationen relevant, doch es zeigt sich wieder einmal, dass das TLS-Protokoll selbst Sicherheitslücken hat.

Black Hat 2015 Fingerabdruck-Scanner unter Android sind teils mit gravierenden Sicherheitsmängeln umgesetzt worden. Mit wenig Aufwand können Fingerabdrücke sogar gestohlen werden.

Def Con 23 Sogenannte Brainwallets für Bitcoins, bei denen der Key aus einem Passwort generiert wird, lassen sich leicht angreifen. Offenbar gibt es eine Reihe von Kriminellen, die systematisch nach verwundbaren Brainwallets suchen.

Def Con 23 Kaffeemaschinen, die Kapseln von Drittherstellern ablehnen, und Druckerpatronen, bei denen ein Chip das Nachfüllen verhindert, sind nur zwei Beispiele für Geräte mit Digitalem Rechtemanagement. Science-Fiction-Autor Cory Doctorow warnt auf der Def Con vor den Risiken für die IT-Sicherheit durch DRM.

Über einen Fehler im PDF-Viewer von Firefox können Unbefugte lokale Dateien auslesen. Die Schwachstelle ist inzwischen behoben, Updates sollten bald verfügbar sein. Der Fehler wurde aber bereits ausgenutzt.

Black Hat 2015 Chinesischen Forschern ist es gelungen, nach AES-128 verschlüsselte SIM-Karten zu duplizieren. Die Verschlüsselung mussten sie dazu aber nicht knacken.

Black Hat 2015 Kryptographische Algorithmen benötigen oft Berechnungen mit großen Ganzzahlen. Immer wieder werden Fehler in den entsprechenden Bibliotheken gefunden. Diese können zu Sicherheitslücken werden.

Black Hat 2015 Auf der Black Hat weisen Sicherheitsforscher auf ein Problem mit TLS-Zertifizierungsstellen hin: Die Prüfung, wem eine Domain gehört, findet über ein ungesichertes Netz statt. Dieser Weg ist angreifbar - beispielsweise mittels des Routingprotokolls BGP.

Black Hat 2015 Bösartige Apps können in Android legitime Zertifikate nutzen, um erhöhte Rechte zu erhalten. Die Entdecker der Schwachstelle haben dieser den Namen Certifi-Gate gegeben. Google bestätigt die Lücke, betont aber, dass Apps im Play Store auf ein solches Missbrauchspotential überprüft würden.

Das US-Handelsministerium hat die Hashfunktion SHA-3 jetzt offiziell als Federal Information Processing Standard (FIPS) 202 anerkannt. Das Nist hatte den Entwurf vor mehr als einem Jahr eingereicht. Grundlegende Änderungen gab es seitdem nicht.

Ein Hacker erbeutete Zugangsdaten beim Anti-Viren-Softwarehersteller Bitdefender und scheiterte mit einem Erpressungsversuch. Die Kundendaten sind jetzt im Netz verfügbar.

Forscher haben eine weitere Möglichkeit entdeckt, Benutzerzugriffe auf Tors Hidden Services zu entlarven. Ihr Angriff benötige aber eine gehörige Portion Glück, schreiben sie. Auch die Tor-Betreiber wiegeln ab.

Geht es nach den Plänen des Library-Freedom-Projekts sollen künftig alle öffentlichen Bibliotheken in den USA einen Exit-Server für das Tor-Netzwerk bereitstellen.

Update Einem Angreifer ist es gelungen, den Inhalt der Datenbank der Webseite des Generalbundesanwalts herunterzuladen. Der Angriff dürfte eine Reaktion auf die Ermittlungen gegen Netzpolitik.org darstellen.

Sicherheitslücken, Hackerangriffe und eine Schaltsekunde: Das vergangene Jahr war für viele Sysadmins wahrlich eine Herausforderung. Und sie werden auch im kommenden Jahr viel Anerkennung und Unterstützung brauchen. Also seid nicht nur am heutigen Sysadmin-Tag lieb zu ihnen!

Seit Jahren ungepatchte Schwachstellen im PHP File Manager gefährden zahlreiche Server, darunter auch von großen Unternehmen. Der Hersteller reagiert nicht auf Anfragen.

Höhere Geschwindigkeit, mehr Anonymität und besser skalierbar: Forscher wollen mit Hornet eine effizientere Alternative zum Protokoll entwickelt haben, das im Tor-Netzwerk verwendet wird. Eine vollständige Anonymität können aber auch sie nicht versprechen.

Die Steam-Konten mehrerer Twitch-Streamer wurden offenbar von Unbekannten übernommen. Sie nutzen einen Fehler in der Anmeldefunktion aus. Valve hat bereits ein Update bereitgestellt.

In einem Wettbewerb ist nach neuen Hashfunktionen gesucht worden, die sich für das Hashen von Passwörtern eignen. Jetzt steht der Gewinner fest: Argon2, entwickelt von einem Team an der Universität Luxemburg.

Eine Abteilung des IT-Sicherheitsunternehmens Trend Micro beobachtet seit Jahren das Deep Web auf der Suche nach bislang unbekannten Bedrohungen für seine Kunden. Eine Studie zeigt teils beunruhigende Trends auf.

Eine Fernbedienung, die ihren Benutzer identifizieren kann, um dessen gewünschte Raumtemperatur oder Lieblingssender im Fernseher einzustellen, hat Apple zum Patent angemeldet. Der Nutzer soll per Fingerabdruck oder per Spracherkennung identifiziert werden.

Gefälschte Blue Screens of Death sollen Windows-Nutzer dazu bringen, bei einem dubiosen technischen Support Hilfe zu holen. Von dort werden ihre Rechner nur noch weiter infiziert.

Die Identität sollte im Internet von der Person nachhaltig getrennt werden: Diesen Appell richtete Edward Snowden an die Teilnehmer des 93. Treffens der Mitglieder der Internet Engineering Task Force und machte dazu auch einige Vorschläge.

Microsoft soll Adallom gekauft haben. Die Firma ist aus Geheimdienstkreisen gegründet worden und erstellt Profile zu Verhaltensmustern von Mitarbeitern.

Zu Proxyham gibt es mittlerweile eine Reihe von Mythen und Verschwörungstheorien. Dabei erfordert das Konzept weder geheime Hardware noch spezielle Software. Einen Nachbau gibt es bereits.

Schon länger in der Beta, jetzt für alle verfügbar: Valve hat seinen Steam Guard Mobile Authenticator für Smartphones mit iOS und Android veröffentlicht. Damit lässt sich die Spielebibliothek besonders sicher vor fremdem Zugriff schützen.

Cisco, F5, Juniper, Fortinet: Ein Sicherheitsforscher hat eine Reihe von TLS-Servern entdeckt, die den sogenannten Message Authentication Code (MAC) von Verbindungen nicht prüfen. Andere Serverimplementierungen prüfen eine Checksumme am Ende des Handshakes nicht.

Im Tor-Netzwerk sind Hunderte gefälschte Webseiten entdeckt worden. Über diese könnten Dritte persönliche Daten abgreifen.

Ein OpenSSL-Update behebt eine kritische Sicherheitslücke. Mittels einiger Tricks kann ein Angreifer damit ein gewöhnliches Zertifikat zu einer Zertifizierungsstelle machen. Betroffen sind vor allem Clients.

Ifa 2015 Einige Funktionen des neuen Betriebssystems werden Windows-10-Nutzer nicht sofort nutzen können, denn dafür wird neue Hardware benötigt. Microsoft will mit seinen Partnern vor allem die Internationale Funkausstellung in Berlin zur Vorstellung nutzen.