Verschlüsselung

Nymi entwickelt ein Armband, das den Herzrhythmus des Trägers erkennt, der ähnlich wie ein Fingerabdruck individuell ist. Eine Mastercard-Kreditkartenzahlung ist bereits mit einem Prototypen erfolgt. In Zukunft könnten die Sensoren auch in Uhren und anderen Wearables stecken.

US-Sicherheitsexperten haben ein vernetztes Auto per SMS gehackt und gesteuert. Über einen Stick zur Nutzerabrechnung drangen sie in die Steuerung einer Corvette ein. Möglicherweise funktionierte der spektakuläre frühere Hack eines Cherokee Jeep ähnlich.

Def Con 23 Sogenannte Brainwallets für Bitcoins, bei denen der Key aus einem Passwort generiert wird, lassen sich leicht angreifen. Offenbar gibt es eine Reihe von Kriminellen, die systematisch nach verwundbaren Brainwallets suchen.

Def Con 23 Kaffeemaschinen, die Kapseln von Drittherstellern ablehnen, und Druckerpatronen, bei denen ein Chip das Nachfüllen verhindert, sind nur zwei Beispiele für Geräte mit Digitalem Rechtemanagement. Science-Fiction-Autor Cory Doctorow warnt auf der Def Con vor den Risiken für die IT-Sicherheit durch DRM.

Über einen Fehler im PDF-Viewer von Firefox können Unbefugte lokale Dateien auslesen. Die Schwachstelle ist inzwischen behoben, Updates sollten bald verfügbar sein. Der Fehler wurde aber bereits ausgenutzt.

Black Hat 2015 Chinesischen Forschern ist es gelungen, nach AES-128 verschlüsselte SIM-Karten zu duplizieren. Die Verschlüsselung mussten sie dazu aber nicht knacken.

Black Hat 2015 Kryptographische Algorithmen benötigen oft Berechnungen mit großen Ganzzahlen. Immer wieder werden Fehler in den entsprechenden Bibliotheken gefunden. Diese können zu Sicherheitslücken werden.

Black Hat 2015 Auf der Black Hat weisen Sicherheitsforscher auf ein Problem mit TLS-Zertifizierungsstellen hin: Die Prüfung, wem eine Domain gehört, findet über ein ungesichertes Netz statt. Dieser Weg ist angreifbar - beispielsweise mittels des Routingprotokolls BGP.

Ein Hacker erbeutete Zugangsdaten beim Anti-Viren-Softwarehersteller Bitdefender und scheiterte mit einem Erpressungsversuch. Die Kundendaten sind jetzt im Netz verfügbar.

Forscher haben eine weitere Möglichkeit entdeckt, Benutzerzugriffe auf Tors Hidden Services zu entlarven. Ihr Angriff benötige aber eine gehörige Portion Glück, schreiben sie. Auch die Tor-Betreiber wiegeln ab.

Geht es nach den Plänen des Library-Freedom-Projekts sollen künftig alle öffentlichen Bibliotheken in den USA einen Exit-Server für das Tor-Netzwerk bereitstellen.

Update Einem Angreifer ist es gelungen, den Inhalt der Datenbank der Webseite des Generalbundesanwalts herunterzuladen. Der Angriff dürfte eine Reaktion auf die Ermittlungen gegen Netzpolitik.org darstellen.

Sicherheitslücken, Hackerangriffe und eine Schaltsekunde: Das vergangene Jahr war für viele Sysadmins wahrlich eine Herausforderung. Und sie werden auch im kommenden Jahr viel Anerkennung und Unterstützung brauchen. Also seid nicht nur am heutigen Sysadmin-Tag lieb zu ihnen!

Seit Jahren ungepatchte Schwachstellen im PHP File Manager gefährden zahlreiche Server, darunter auch von großen Unternehmen. Der Hersteller reagiert nicht auf Anfragen.

Höhere Geschwindigkeit, mehr Anonymität und besser skalierbar: Forscher wollen mit Hornet eine effizientere Alternative zum Protokoll entwickelt haben, das im Tor-Netzwerk verwendet wird. Eine vollständige Anonymität können aber auch sie nicht versprechen.

Die Steam-Konten mehrerer Twitch-Streamer wurden offenbar von Unbekannten übernommen. Sie nutzen einen Fehler in der Anmeldefunktion aus. Valve hat bereits ein Update bereitgestellt.

In einem Wettbewerb ist nach neuen Hashfunktionen gesucht worden, die sich für das Hashen von Passwörtern eignen. Jetzt steht der Gewinner fest: Argon2, entwickelt von einem Team an der Universität Luxemburg.

Eine Abteilung des IT-Sicherheitsunternehmens Trend Micro beobachtet seit Jahren das Deep Web auf der Suche nach bislang unbekannten Bedrohungen für seine Kunden. Eine Studie zeigt teils beunruhigende Trends auf.

Eine Fernbedienung, die ihren Benutzer identifizieren kann, um dessen gewünschte Raumtemperatur oder Lieblingssender im Fernseher einzustellen, hat Apple zum Patent angemeldet. Der Nutzer soll per Fingerabdruck oder per Spracherkennung identifiziert werden.

Gefälschte Blue Screens of Death sollen Windows-Nutzer dazu bringen, bei einem dubiosen technischen Support Hilfe zu holen. Von dort werden ihre Rechner nur noch weiter infiziert.

Die Identität sollte im Internet von der Person nachhaltig getrennt werden: Diesen Appell richtete Edward Snowden an die Teilnehmer des 93. Treffens der Mitglieder der Internet Engineering Task Force und machte dazu auch einige Vorschläge.

Microsoft soll Adallom gekauft haben. Die Firma ist aus Geheimdienstkreisen gegründet worden und erstellt Profile zu Verhaltensmustern von Mitarbeitern.

Zu Proxyham gibt es mittlerweile eine Reihe von Mythen und Verschwörungstheorien. Dabei erfordert das Konzept weder geheime Hardware noch spezielle Software. Einen Nachbau gibt es bereits.

Schon länger in der Beta, jetzt für alle verfügbar: Valve hat seinen Steam Guard Mobile Authenticator für Smartphones mit iOS und Android veröffentlicht. Damit lässt sich die Spielebibliothek besonders sicher vor fremdem Zugriff schützen.

Cisco, F5, Juniper, Fortinet: Ein Sicherheitsforscher hat eine Reihe von TLS-Servern entdeckt, die den sogenannten Message Authentication Code (MAC) von Verbindungen nicht prüfen. Andere Serverimplementierungen prüfen eine Checksumme am Ende des Handshakes nicht.

Im Tor-Netzwerk sind Hunderte gefälschte Webseiten entdeckt worden. Über diese könnten Dritte persönliche Daten abgreifen.

Ein OpenSSL-Update behebt eine kritische Sicherheitslücke. Mittels einiger Tricks kann ein Angreifer damit ein gewöhnliches Zertifikat zu einer Zertifizierungsstelle machen. Betroffen sind vor allem Clients.

Ifa 2015 Einige Funktionen des neuen Betriebssystems werden Windows-10-Nutzer nicht sofort nutzen können, denn dafür wird neue Hardware benötigt. Microsoft will mit seinen Partnern vor allem die Internationale Funkausstellung in Berlin zur Vorstellung nutzen.

In Windows 10 lässt sich das WLAN-Passwort automatisch an Facebook-Freunde oder Skype-Kontakte verteilen. Das erspart das lästige Diktieren von Kennwörtern bei Besuch, bringt aber auch Risiken mit sich.

Ein Akamai-Mitarbeiter beschreibt, wie mit einfachen Rechenaufgaben DDoS-Angriffe durch Clients auf TLS-Verbindungen minimiert werden könnten. Die Idee ist zwar noch ein Entwurf, könnte aber als Erweiterung für TLS 1.3 standardisiert werden.

Der italienische Hersteller von Spionagesoftware Hacking Team ist selbst Opfer eines Einbruchs geworden. Unbekannte haben mehr als 400 Gigabyte Daten gestohlen und im Internet veröffentlicht.

SSLv3 ist aus Firefox 39 endgültig entfernt worden, und RC4 ist nur noch temporär für einige wenige Seiten erlaubt. Das Mozilla-Team erweitert den Schutz des Browsers vor Malware, daneben gibt es noch viele kleinere Neuerungen.

Smartphones von LG sind aufgrund einer schlecht umgesetzten SSL-Verschlüsselung anfällig für Man-in-the-Middle-Attacken. Offenbar weiß der Hersteller schon länger davon, ein Patch soll das Problem beheben - auf manchen Geräten ist dieser aber noch nicht angekommen.

Mastercard experimentiert mit einer besseren Absicherung von Kreditkartenzahlungen und will ab Herbst mittels Smartphone Gesichtsscans durchführen. Das soll Betrügern das Handwerk legen. Die Selfie-Begeisterung soll dabei helfen.

Seit der Poodle-Attacke ist klar, dass das uralte Protokoll SSL 3 nicht mehr sicher ist. Mit RFC 7568 gibt es jetzt ein offizielles Dokument, das den Einsatz des ursprünglich von Netscape entwickelten Verschlüsselungsprotokolls verbietet.

Mangelnde Verschlüsselung und gefälschte Zertifikate können dazu führen, dass Zugangsdaten beim Einloggen von Fremden abgegriffen werden können. Eine App will vor anderen, unzureichend abgesicherten Apps in Googles Play Store warnen - eine Aufgabe, die eigentlich Google übernehmen sollte.