Verschlüsselung

Der Zufallsgenerator von OpenSSL liefert unter bestimmten Umständen bei mehreren Aufrufen identische Werte, wenn er aus mehreren parallel ablaufenden Prozessen desselben Programms aufgerufen wird.

In Millionen von Fällen interessieren sich die Behörden für die Daten von Telekommunikationskunden. Nach Ansicht der Piraten müssen die Daten der Nutzer jedoch besser geschützt werden.

Die Firma Verance hat einen akustischen Kopierschutz entwickelt, der erkennt, ob das Bild- und Tonmaterial im Kino abgefilmt wurde. Ist dies der Fall, schaltet sich der Blu-ray-Player nach 20 Minuten ab.

Für die De-Mail ist End-to-End-Verschlüsselung nicht im neuen Gesetz vorgeschrieben. Doch die Bundesregierung will jetzt ein Gütesiegel für Verschlüsselung entwickeln und vergeben, um dem Mittelstand sichere Produkte an die Hand zu geben. Der Minister geht davon aus, dass sich ein normaler Mittelständler mit Verschlüsselung nicht so gut auskennt.

Auf Druck der US-Regierung im NSA-Skandal haben Lavabit und Silent Circle ihre verschlüsselten E-Mail-Dienste eingestellt. Nun will Mega Ende-zu-Ende-Verschlüsselung anbieten und die Nachrichten trotzdem durchsuchbar machen.

Update Seit den Enthüllungen von Edward Snowden gilt die Verschlüsselung von E-Mails plötzlich als angesagt. Doch von einem Boom kann trotz aller Kryptopartys noch lange keine Rede sein. Wie Teenagersex, sagen Netzpolitiker.

Die Ankündigung von T-Online, GMX und Web.de zur E-Mail-Sicherheit ist laut CCC ein Sommermärchen. Den Nutzern der E-Mail-Dienste wird vorenthalten, dass eine Verschlüsselung der Verbindung zwischen den Anbietern noch nicht bedeutet, dass die E-Mails dort auch verschlüsselt abgelegt werden.

Als Reaktion auf den NSA-Skandal wollen die Telekom und United Internet die E-Mails zwischen ihren Rechenzentren verschlüsselt übertragen. Und ab 2014 sollen nur noch SSL-verschlüsselte Mails transportiert werden. Eine Ende-zu-Ende-Verschlüsselung kann das nicht ersetzen.

Der über den Webhoster Freedom Hosting verteilte Schadcode dient tatsächlich der Identifizierung von Tor-Nutzern. Das hat das Anonymisierungsprojekt bestätigt. Der Schadcode wird über eine Schwachstelle in Firefox eingeschleust.

Mit dem NSA-Skandal ist bei Firmen die Furcht vor Cyber-Attacken aus den USA stark gestiegen. Doch viele vertrauen weiter auf Firewalls und schwierige Passwörter.

Update Freedom-Hosting-Seiten haben Schadcode über eine Schwachstelle in der Unternehmensversion von Firefox ausgeliefert, auf der der Tor-Browser basiert. Mit dem Angriff sollten offenbar Nutzer, Besucher und Administratoren von kinderpornografischen Seiten identifiziert werden.

Ein Team von Wissenschaftlern um den Ucla-Professor Amit Sahai soll eine Möglichkeit gefunden haben, Code zu erzeugen, bei dem Reverse-Engineering nicht möglich ist. Die Arbeit ist aber theoretischer Natur.

Beiträge von Facebook können künftig in Webseiten und Blogs eingebettet werden. Die Embedded Posts können aus Bildern, Videos, Hashtags und anderen Inhalten bestehen. Außerdem hat das Unternehmen HTTPS als Standard für alle Nutzer definiert.

Beim Aufbau von TLS-Verbindungen kann Firefox künftig Informationen über die Gültigkeit eines Zertifikats mitliefern. Das sogenannte OCSP Stapling wird damit von allen großen Browsern unterstützt, aber bei den Servern gibt es noch Probleme.

Mit Tox soll eine freie Alternative zu Skype entstehen, die sicherer für die Nutzer ist. Das will das Team durch verschlüsselte Peer-to-Peer-Kommunikation erreichen. Noch ist das Programm aber in der Entstehung.

Apple hat die vierte Betaversion von iOS 7 für Entwickler veröffentlicht. Darin befindet sich ein Ordner namens "BiometricKitUI" sowie einige Texte, die auf einen Fingerabdrucksensor im Home-Button schließen lassen. Gerüchte um eine Authentifizierungsfunktion gibt es schon lange.

Die TLS-Schnittstelle von Windows lädt automatisch fehlende Zertifizierungsstellen nach. Das sowieso schon kritisierte System der TLS-Zertifizierung wird dadurch noch unsicherer.

Das Ultrabook Vaio Pro gehört zu den leichtesten Notebooks seiner Art und schafft dennoch lange Laufzeiten, hat Full-HD und einen Touchscreen. Bei der Software langt Sony leider daneben. Dafür ist der Klick-Router sehr praktisch und wir erlebten ein kleines Déjà-vu.

Flavio Garcia, der nach eigenen Angaben das Sicherheitssystem Megamos Crypto von VW zum Absichern von Luxuskarossen geknackt hat, darf sein Wissen nicht publizieren. Ein britisches Gericht untersagte die Veröffentlichung.

Australische Sicherheitsforscher zeigen einen neuen Angriffsvektor auf Verschlüsselung, die auf virtuellen Maschinen stattfindet. Durch Manipulation des Caches von Intel-Prozessoren können sie Schlüssel im Klartext auslesen. Die Abhilfe ist einfach, aber unbefriedigend.

Am Potsdamer Hasso-Plattner-Institut haben Forscher mit Fiberio ein biometrisches Multitouch-System entwickelt, das nicht nur die Finger, sondern auch deren Fingerabdrücke erkennt, wenn die Oberfläche berührt wird.

Einem Medienbericht zufolge setzen Behörden in den USA vor allem kleinere Unternehmen unter Druck, damit diese Generalschlüssel für SSL-Verschlüsselung herausrücken. Die großen wie Google und Facebook sollen da aber angeblich nicht mitspielen.

Wer seine E-Mails über ein offenes WLAN verschickt, sollte das über eine verschlüsselte Verbindung per TLS tun. Dennoch legen E-Mails danach oft einen größeren Teil ihres Weges durchs Internet unverschlüsselt zurück, hat Michael Kliewe beobachtet.

SPD-Parteichef Sigmar Gabriel will in Deutschland Verschlüsselung per Gesetz durchsetzen. Microsoft, Google oder Facebook hätten "sich willfährig von der NSA für deren Zwecke einspannen lassen."

Der Webhoster OVH wurde nach eigenen Angaben gehackt. Dabei könnten verschlüsselte Passwörter entwendet worden sein. Der Anbieter rät dazu, sie umgehend zu ändern. Zugang zu Kreditkarteninformationen sollen die Datendiebe aber nicht gehabt haben.

Hacker haben sich Zugang zur Datenbank des Ubuntu-Forums verschafft und sämtliche Nutzernamen, Passwörter und E-Mail-Adressen gestohlen. Die Passwörter lagen nicht im Klartext vor, teilen die Forenbetreiber mit.

Für Gpg4win 2.2.0 sind unter anderem die Unterstützung für Windows 8 und Outlook 2013 geplant. In der kürzlich veröffentlichten Beta gibt es bereits Funktionen für Outlook 2010. Zudem soll die portable Version von Gnupg in das Kryptographie-Werkzeugpaket integriert werden.

Das Hackerkollektiv Anonymous hat eine Liste von Mailadressen und Passwörtern veröffentlicht, die Mitarbeitern des US-Parlaments gehören. Der Kongress wiegelte gegenüber US-Medien ab: Viele Accounts seien erloschen und die Passwörter nicht aktuell.

Update Das E-Mail-Programm auf Blackberry-Smartphones überträgt Zugangsdaten für IMAP-Konten auf den Server des Herstellers. Dem Nutzer wird das nicht mitgeteilt.

Gleich mehrere Spielehersteller sind in den vergangenen Tagen ins Visier von Hackern geraten. Die haben sich teilweise auch Zugriff auf E-Mail-Adressen und Passwörter verschafft, etwa von Spielern von Pro Evolution Soccer.

Die von Mozilla entwickelte Verschlüsselungsbibliothek NSS unterstützt in der aktuellen Version den aktuellen TLS-Standard 1.2. Das könnte die in Firefox und Chrome verwendete SSL-Verschlüsselung verbessern. Die Unterstützung für AES im authentifizierten Modus GCM fehlt allerdings noch.

Die HP-Server-Produkte der Storevirtual-Serie haben einen bisher unbekannten Zugang samt Root-Zugriff. HP nutzt diesen Zugang unter anderem, um vergessene Passwörter beim Kunden zurückzusetzen. Über einen kommenden Patch will HP die Sicherheitslücke noch in der nächsten Woche schließen.

Nur mit Verschlüsselung könnten Anwender ihre Daten vor den Abhöraktionen der weltweiten Geheimdienste schützen, sagen Aktivisten. Hilft sie aber wirklich überall?

Auf vielfachen Wunsch will Mega in den nächsten Wochen verschlüsseltes Messaging und E-Mail bereitstellen. Kim Dotcom meint, die NSA stecke hinter Dropbox.

Peter Sunde sammelt Geld ein, um einen Messenger mit End-to-End-Verschlüsselung zu schaffen. Der Pirate-Bay-Mitbegründer hat noch keine funktionerende Version von Hemlis.

Wer Embedded Devices öffnen will, muss kein Experte sein. Entwickler von Spielekonsolen, Fernsehern und Media-Centern begehen immer wieder typische Fehler. Hacker haben es damit leicht und Benutzer erlangen uneingeschränkte Kontrolle über ihre eigenen Geräte.

Selbst die Hersteller von frühen Arcade-Automaten sicherten ihre Geräte mit Kopierschutz ab. Um ihr geistiges Eigentum zu schützen und den Umsatz zu steigern, scheuten sie nicht einmal den digitalen Selbstmord.

Die elektronischen Wegfahrsperren seien unzureichend abgesichert und würden trotzdem kaum aktualisiert. Dazu komme, dass die Computersysteme in Fahrzeugen ebenfalls unsicher seien. Deshalb gebe es wieder einen Zuwachs bei Autodiebstählen, sagte Sicherheitsexperte Karsten Nohl.

Das Chatsystem Cryptocat benutzte über lange Zeit unzureichende Zufallszahlen zur Erzeugung von Schlüsseln. Sämtliche privaten Schlüssel lassen sich dadurch brechen.

Erneut sind Konten von Ubisoft-Kunden gehackt worden. Anders als im April 2013 erfolgte der Zugriff nicht über Uplay. Gefahr für Zahlungsdaten besteht nicht, Nutzer sollen ihre Passwörter ändern.

Die Bestandsdatenauskunft tritt heute in Kraft. Zugleich wurde Verfassungsbeschwerde gegen das Gesetz eingelegt, nach dem Telekommunikationsanbieter Daten aus den Verträgen mit ihren Kunden, PINs und PUKs für SIM-Karten sowie gespeicherte Passwörter für E-Mail- oder Cloud-Accounts herausgeben müssen.

Normalerweise ist verschlüsselte Kommunikation nur sicher, solange die benutzten Schlüssel geheim bleiben. Anders ist das mit einer cleveren Technologie, die auf dem Diffie-Hellman-Verfahren basiert. Die Möglichkeit hierfür ist in TLS vorhanden, aber Browser und Server müssen sie auch nutzen.

Auch wenn Gegner autoritärer Staaten über E-Mail statt über soziale Netzwerke kommunizieren, sind sie nicht ausreichend geschützt, meint Entwickler Jakob Hasselmann. Abhilfe böten zum Beispiel Proxydienste.