Verschlüsselung

Die National Security Agency soll nach einem Medienbericht zwei Jahre lang den Heartbleed-Bug von OpenSSL gekannt und regelmäßig genutzt haben, um Informationen zu sammeln. Die NSA bestreitet das, während eine Bürgerrechtsorganisation erste Hinweise gefunden haben will.

Cisco und Juniper Networks haben in offiziellen Warnungen vor dem Heartbleed-Bug in ihren Produkten gewarnt. Nicht nur Server, sondern auch zahlreiche Netzwerkprodukte und Software seien betroffen.

Update Wenn sich mit Blackberry-Smartphones kein Gewinn erzielen lasse, werde er die Sparte eventuell veräußern, sagt Blackberry-Chef John Chen. Einen konkreten Zeitpunkt nannte er nicht, und dementierte sein eigenes Interview dann umgehend.

Ein neuer Mechanismus zum Laden von Anwendungen verbessert die Leistung von Rake oder Generatoren deutlich. Zudem soll der Umgang mit Passwörtern nun sicherer sein.

Die Backdoor, die der Reverse Engineer Eloi Vanderbeken auf Port 32764 von verschiedenen DSL-Routern fand, soll bei Netgear geschlossen sein. Ein Patch steht als Firmware Version 1.1.00.48 für den Router DGN1000 bereit.

Update Ein Fehler in OpenSSL lässt das Auslesen von Arbeitsspeicher zu. Damit können Angreifer private Keys von Servern erhalten. Eine sichere Verschlüsselung ist nicht mehr gewährleistet. Der Bug betrifft sehr viele Web- und Mailserver im Internet.

Update Das BSI will so schnell wie möglich einen Sicherheitscheck für gehackte Online-Konten anbieten. Die gestohlenen Daten sollen wesentlich aktueller als beim Test vom Januar sein.

Das Unternehmen hinter dem VR-Headset Oculus Rift hat in seinem Developer Center eine Sicherheitslücke entdeckt. Entwickler sollen ihre Passwörter ändern.

Die Zentralverriegelung des Tesla-Elektroautos kann von ihrem Besitzer per iOS-App geöffnet werden. Das dafür erforderliche Anmeldepasswort könnte von Dieben auf vielfältige Art und Weise erbeutet werden, warnt ein Sicherheitsforscher und fordert eine bessere Absicherung der Fahrzeuge.

Die Passwort Hashing Competition (PHC) sucht nach neuen Verfahren, um Passwörter sicherer zu speichern. 24 Vorschläge wurden in der ersten Runde eingereicht.

Update Schwächen im Zufallsgenerator Dual EC DRBG lassen sich praktisch ausnutzen, um TLS-Verbindungen anzugreifen. Eine TLS-Erweiterung, die nie standardisiert wurde, erleichtert die Attacke enorm. Schon länger wird vermutet, dass Dual EC eine Hintertür der NSA enthält.

Vier große deutsche Mailprovider - GMX, Web.de, Freenet und T-Online - lassen ab dem 31. März 2014 nur noch verschlüsselte Verbindungen für den Abruf und Versand von E-Mails zu.

Die Zertifikate von Cacert werden aus verschiedenen Linux-Distributionen entfernt. Manche sehen darin das Ende des Projekts, das der kommerziellen Konkurrenz eine Community-basierte Zertifizierungsstelle entgegensetzen wollte.

Bereits im Dezember hat sich das Tor-Projekt bei Apple über eine vermutlich gefälschte iOS-App beschwert. Doch erst Monate später, nach Medienberichten und direkten Kontakten reagiert das Unternehmen.

Die NSA spioniert gezielt Administratoren großer Computernetzwerke aus. Mit den gesammelten privaten Informationen soll ihnen unter anderem Spionagesoftware untergeschoben werden.

Beim Einrichten seines neuen iPhones erschienen plötzlich Adressen und Fotos eines Fremden aus Apples iCloud. Der Fremde hatte zwar den gleichen Namen, aber eine geringfügig andere E-Mail-Adresse als Apple ID.

Google will seinen E-Mail-Verkehr besser schützen. HTTPS und eine vollständige interne Verschlüsselung sollen der NSA das Ausspionieren erschweren.

Entwickler verlassen sich zu sehr auf HTTPS und verzichten auf grundlegende Sicherheitsmaßnahmen. Über eine Man-in-the-Middle-Attacke konnten Security-Forscher in den Datenverkehr zwischen App-Server und Apps hineinsehen - und entdeckten Sonderbares.

O2 arbeitet mit dem Hersteller Arcadyan daran, das voreingestellte Passwort seiner Router sicher zu machen. Betroffen sind die Modelle 6431, 4421 und 1421.

Die umstrittene Gesichtserkennung wird bei Facebook stetig weiterentwickelt. Forscher des Konzerns wollen nun mit der Technik "Deepface" eine Erkennungsrate erreichen, die nahe der des Menschen liegt. Dazu gibt es nun eine wissenschaftliche Arbeit, bald soll das Verfahren auf einer Konferenz vorgestellt werden.

Mit einer sogenannten Sniper-Attacke können Angreifer nicht nur gezielt einzelne Tor-Knoten außer Gefecht setzen, sondern innerhalb von wenige Minuten das gesamte Netzwerk lahmlegen. Ein Patch wurde bereits erarbeitet.

Die erste Runde des Caesar-Wettbewerbs hat begonnen. Das Ziel: Kryptographen suchen bessere Algorithmen für authentifizierte Verschlüsselung.

Der gerade einmal 4 Gramm schwere Schlüsselanhänger Gatekeeper soll PCs und Macs sperren, wenn sich ihr Besitzer von ihnen entfernt. Das würde für mehr Sicherheit bei gleichbleibendem Komfort im Alltag sorgen.

SXSW 2014 Edward Snowden lobt in der Diskussion auf der SXSW Openwhispersystems und dessen Entwickler Moxie Marlinspike für die Veröffentlichung einfach zu nutzender Verschlüsselungstools.

GMX und Web.de schaffen die Kosten für private De-Mail-Nutzer ab. Bisher war das Kontingent auf zehn verschlüsselte Mails im Monat begrenzt, jede weitere De-Mail kostete zwischen 33 und 49 Cent.

Cebit 2014 Mit dem ETH40G aus der SITLine-Reihe verspricht Rohde & Schwarz SIT einen hohen verschlüsselten Datendurchsatz mit 40 Gigabit pro Sekunde in breitbandigen Netzen.

Cebit 2014 Das Fraunhofer SIT bietet die App Mobilesitter neuerdings auch für Android an. Damit lassen sich Kennwörter auf einem Smartphone oder Tablet verwalten. Mit einem Trick wird Datendieben ihr Tun besonders erschwert.

Cebit 2014 Noch vor dem Beginn der Messe hat Fujitsu sein Notebook U904 gezeigt. Bemerkenswert ist nicht nur das matte Display mit 3.200 x 1.800 Pixeln, sondern vor allem der Venenscanner. Er arbeitet berührungslos und soll viel sicherer als Fingerabdruckleser sein.

Cebit 2014 Die Verschlüsselungstechnologie des Kanzlerhandys soll es künftig als App für Smartphones geben. Die Herstellerfirma Secusmart kooperiert dafür mit dem Mobilfunkanbieter Vodafone.

Der Messenger Threema verspricht sichere Verschlüsselung und bietet eine sogenannte "Validation", bei der ein Nutzer angeblich überprüfen kann, ob eine Nachricht korrekt verschlüsselt wurde. Doch die Validation sagt wenig über die Sicherheit des Systems.

Ein kurzer Schlüsselaustausch bringt Chrome zum Absturz, andere Browser akzeptieren völlig unsinnige Parameter für einen Diffie-Hellman-Schlüsselaustausch. Im Zusammenhang mit den jüngst gefundenen TLS-Problemen könnte das ein Sicherheitsrisiko sein.

Eine Wiener Apotheke testet den Einsatz von Biometrie: Die Mitarbeiter sollen sich mit dem Muster der Venen in ihrer Hand identifizieren.

Die nächste Java-basierte Version der Bitcoin-Software soll über das Tor-Netzwerk kommunizieren. Damit soll die Nutzung von Bitcoin-Apps etwa in ungesicherten Netzwerken anonymisiert werden.

Die Sicherheitsforscher des Fraunhofer AISEC haben Auszüge aus einer Untersuchung von 10.000 Apps für Android vorgelegt. 91 Prozent wollen auf eine Internetverbindung zugreifen, und die meisten kommunizieren unverschlüsselt. Ganz uneigennützig ist die Studie allerdings nicht.

Das Chatsystem Cryptocat kann jetzt auf dem iPhone genutzt werden. Apple hatte eine Veröffentlichung in seinem App Store zunächst abgelehnt.

In den vergangenen Monaten häufen sich Berichte über Sicherheitslücken bei Routern. Nicht nur die NSA, auch kriminelle Hacker können offenbar problemlos in viele Geräte eindringen. Muss das so sein?

In der Verschlüsselungsbibliothek GnuTLS ist ein Fehler gefunden worden, der dazu führen kann, dass bösartige, gefälschte Zertifikate akzeptiert werden. Ähnlich wie bei der kürzlich bei Apple entdeckten Lücke spielt ein "goto fail" eine Rolle.

Wer eine eigene Webseite betreibt, überträgt sie meist per FTP zum Webhoster. Dabei kommt häufig keine Verschlüsselung zum Einsatz. Kein einziger großer Provider weist seine Kunden auf diese Risiken adäquat hin; bei manchen Providern ist eine verschlüsselte Verbindung überhaupt nicht möglich.

Erneut gibt es Probleme mit dem TLS-Protokoll. Mit der Triple-Handshake-Attacke kann ein bösartiger HTTPS-Server einem weiteren Server vorgaukeln, er hätte das Zertifikat eines Nutzers. Die meisten Anwender sind von dem Angriff vermutlich nicht betroffen.

Das Team des Anonymisierungswerkzeugs Tor arbeitet an einem Instant Messenger, der im Tor-Netzwerk verwendet werden kann. Er basiert auf Instantbird und soll OTR unterstützen.

Die Entwickler des Messengers Telegram werben damit, dass derjenige, der ihre Verschlüsselung knackt, 200.000 US-Dollar erhält. Doch in der Praxis relevante Angriffe werden von dem Contest überhaupt nicht erfasst.