Verschlüsselung

Golem-Wochenrückblick Erscheinungstermin, Hardware-Anforderungen und eine gute Nachricht für Nutzer illegaler Windows-Kopien: Diese Woche gab es viel Neues zu Windows 10 - und Nvidias neue Topgrafikkarte. Sieben Tage und viele Meldungen im Überblick.

Die Entwickler von OpenSSL haben ein Update veröffentlicht, das zahlreiche Sicherheitslücken behebt. Anders als von manchen befürchtet, ist allerdings keine gravierende Lücke wie Heartbleed dabei.

Cebit 2015 Das Projekt Volksverschlüsselung des Fraunhofer Instituts will die Einrichtung der E-Mail-Verschlüsselung auch für Laien verständlich gestalten. Es setzt aber auf S/MIME statt PGP.

Update Für die Domain live.fi, die Microsoft für die finnische Version seiner Live-Services nutzt, ist ein unberechtigtes Zertifikat von Comodo ausgestellt worden. Dabei wird eine Reihe von Schwächen des Zertifikatssystems deutlich.

Wie Google bietet nun auch Yahoo ein Browser-Plugin für die E-Mail-Verschlüsselung an. Der Quellcode basiert auf dem von Google, steht frei zur Verfügung und kann somit von jedem überprüft werden.

Cebit 2015 Vodafone will ab Herbst 2015 Firmenkunden eine sichere E-Mail-Kommunikation mit Ende-zu-Ende-Verschlüsselung anbieten. Secure E-Mail kann über Outlook, Android, iOS und einen Webbrowser verwendet werden - technische Details sind aber noch Mangelware.

Wikipedia-Gründer Wales schimpft über die Abhörpraktiken der NSA. Dabei wird der Traffic zu den Servern für angemeldete Nutzer bereits komplett verschlüsselt. An einer Verschlüsselung für alle Nutzer wird gearbeitet.

Der Mailanbieter Mail.de unterstützt ein neues Verfahren, um PGP-Schlüssel im Domain Name System abzulegen. Praktisch nutzen lässt es sich aber noch nicht - und es gibt Zweifel, wie sinnvoll der neue Standard ist.

Microsofts Workaround für die Freak-Schwachstelle schaltet auf einigen Systemen Windows Update ab. Aber auch an anderer Stelle macht der Workaround Probleme.

TLS für HTTP/2-Verbindungen ist nicht verpflichtend, weshalb die Umsetzung entscheidend von den Browserherstellern abhängt. Mozilla und Google stärkten die Webverschlüsselung für alle aber enorm, schreibt einer der Beteiligten.

Sämtliche Windows-Versionen lassen sich über die jüngst bekanntgewordene Freak-Attacke angreifen. Das bestätigte Microsoft in einer Warnung. Unklar ist, wann die Lücke geschlossen wird.

Bei Untersuchungen von TLS-Implementierungen ist eine gefährliche Sicherheitslücke entdeckt worden: Freak. In bestimmten Fällen lassen sich Verbindungen mit unsicheren 512-Bit-RSA_Schlüsseln erzwingen. Diese Cipher sind ein Relikt der Kryptoregulierung in den 90ern.

MWC 2015 Es steht fest, dass nichts fest steht. NGMN-Mitglieder wie die Deutsche Telekom wollen sich später auf die Technik festlegen, haben aber bereits konkrete Vorstellungen zum kommenden 5G-Mobilfunkstandard.

Update Künftig können Nutzer von Signal auf iOS kostenfrei verschlüsselte Nachrichten an Open Whisper Systems Android-App Textsecure verschicken - und umgekehrt. Die neue Version 2.0 von Signal macht das möglich.

Mit dem JAP-Netzwerk lässt sich anonym und sicher surfen. Es gibt aber entscheidende Unterschiede zum Tor-Netzwerk. Einer davon ist die klägliche Geschwindigkeit - zumindest in der kostenlosen Variante.

Mit Android 5.0 alias Lollipop sollten alle Geräte standardmäßig verschlüsselt werden. Dem ist jetzt wohl nicht so, und Googles Richtlinien bestätigen das.

MWC 2015 Fujitsu hat eine weitere Alternative für seinen Venenscanner vorgestellt, die zukünftig als Authentifizierungssystem verwendet werden soll. Als Prototyp konnten wir ein Smartphone mit Android ausprobieren.

MWC 2015 Qualcomm verspricht, Fingerabdrücke sicherer und zuverlässiger zu machen. Mit einem Ultraschallscanner im Smartphone soll ein schwer zu fälschendes Abbild des Fingers möglich werden.

Die Telekom hat ihre Ausbaupläne für ihr Festnetz und den Mobilfunk genannt. Danach ist der Einsatz von Supervectoring und G.fast schon gesetzt. Im Mobilfunk wird bereits mit 1 GBit/s geplant.

Die Regierungschefs Großbritanniens und der USA fordern im Kampf gegen den Terrorismus ein Verbot verschlüsselter Kommunikation. Das bringe nichts und treffe nur die Falschen, entgegnet Apple-Chef Tim Cook. Er fordert weniger Überwachung und den Schutz des Menschenrechts auf Privatsphäre.

Paypal hat die Zusammenarbeit mit dem Hoster Mega beendet. Der Zahlungsdienstleister begründet das Kim Dotcom zufolge mit der Ende-zu-Ende-Verschlüsselung der Plattform - da dadurch nicht erkennbar sei, was sich darauf befindet.

Die Software Privdog hat noch mehr Sicherheitsprobleme als bislang bekannt. Das Programm, das auch von Comodo ausgeliefert wird, schickt sämtliche Webseiten-URLs, die ein Nutzer besucht, unverschlüsselt an den Hersteller.

Die Webseiten unter der Domain Lenovo.com waren vorübergehend unter der Kontrolle der Hackergruppe Lizard Squad. Sie griff offenbar auch E-Mails ab. Es soll sich um Vergeltung für die von Lenovo eingesetzte Adware Superfish handeln.

Die Erweiterung von LTE auf 4,5 G mit 1 GBit/s wird von Huawei per Software auf die Basisstation aufgespielt. Als eine Revolution sieht Huawei diese neue Mobilfunktechnik nicht an.

Innerhalb weniger Wochen hat das Bundeskriminalamt ein weiteres Botnetz zerschlagen. Der verantwortliche Computerwurm Ramnit war bereits seit 2011 aktiv.

Auf die Frage, ob Yahoo auch Hintertüren für fremde Regierungen offenhalten solle, antwortete NSA-Direktor Mike Rogers betont ausweichend. Hintertür sei ohnehin der falsche Begriff.

In der aktuellen Firefox-Version ist HTTP/2 vollständig implementiert. Das Team hat auch die Sicherheit von TLS-Verbindungen erhöht, HTTP/2 aktiviert und eine neue Tablet-Oberfläche erstellt.

Die "kritische Masse" von Nutzern ist noch nicht erreicht worden. Das räumt die Bundesregierung zur De-Mail ein. Über die fehlende Ende-zu-Ende-Verschlüsselung fehlt jede Aussage.

Update Die Software Privdog hebelt ähnlich wie Superfish den Schutz von HTTPS komplett aus. Pikant daran: Privdog wurde von Comodo beworben, einer der größten Zertifizierungsstellen für TLS-Zertifikate.

Die SSL-Interception-Technologie von Komodia wird auch von zahlreichen anderen Programmen verwendet. Außer in der Superfish-Adware findet sie sich in Trojanern, weiterer Adware und sogar in einem Anti-Adware-Tool von Lavasoft.

In der Affäre um die Adware Superfish leugnet deren Chef nun, dass sie ein Sicherheitsrisiko darstellt. Unterdessen gibt es von Lenovo ein Tool, um das Programm zu entfernen.

Update Der Mailanbieter Mailbox.org bietet künftig einen Chatservice auf Jabber-Basis an. Für die Verschlüsselung setzt er dabei auf OTR.

Ein Update der Routerfirmware FritzOS verspricht Roaming und Unterstützung für Zugänge mit PPP-Authentifizierung für Tarife mit einer festen IP-Adresse.

Nicht nur Lenovo ist betroffen: Die Technologie von Superfish, die die Sicherheit von HTTPS-Verbindungen auf Lenovo-Laptops gefährdet, kommt auch in diversen Jugendschutzfilterprodukten zum Einsatz. Lenovo leugnete zunächst, dass es überhaupt ein Problem gibt.

Die RC4-Verschlüsselung darf laut dem neuen RFC 7465 nicht mehr für TLS-Verbindungen genutzt werden. Der Algorithmus gilt schon lange als problematisch, Details über neue Angriffe sollen in Kürze veröffentlicht werden.

Update Eine Adware namens Superfish wird offenbar schon seit mehreren Monaten auf Laptops von Lenovo ausgeliefert. Diese fügt Werbung in fremde Webseiten ein und installiert dafür ein Root-Zertifikat - eine riesige Sicherheitslücke.

Apples kommendes iOS-Update auf Version 8.3 beinhaltet auch ein Update für den Sprachassistenten Siri. Die Sprachausgabe soll dann deutlich verständlicher sein als bisher, wie ein Video belegt.

Die Zufallszahlenfunktion im Kernel von FreeBSD hatte vier Monate lang einen schwerwiegenden Fehler. Kryptographische Schlüssel sind dadurch gefährdet. Betroffen ist allerdings nur die Entwicklerversion FreeBSD-Current.

Windows 10 soll bezüglich der Sicherheit benutzerfreundlicher werden. Dazu implementiert Microsoft den Fido-Standard, mit dem sich die Authentifizierung im Internet sicherer und bequemer umsetzen lassen soll.

Über eine Schwachstelle in zahlreichen WLAN-Routern der Firma Netgear lassen sich Passwörter und Schlüssel auslesen.

Das NTP-Protokoll, mit dem man die Systemzeit über das Internet stellen kann, bietet keine sichere Authentifizierung und ist anfällig für Man-in-the-Middle-Angriffe. Von OpenBSD kommt jetzt eine Lösung für dieses Problem - eine Kombination aus NTP und HTTPS zum sicheren Stellen der Uhrzeit.