Webserver

Wer eine Babycam kaufen will, steht vor der Qual der Wahl und kann dabei viel Geld ausgeben. Wir zeigen, wie mit überschaubarem Aufwand auch Raspberry-Pi-Einsteiger selbst eine bauen können. Nebenbei wird gekocht.

Die neue Version mit Langzeitunterstützung (LTS) von Ubuntu 18.04 alias Bionic Beaver setzt wie erwartet auf Gnome statt auf Unity, verzichtet aber auf Wayland. Das Live-Patching gibt es auch für den Desktop, und der Server bekommt einen neuen Installer.

Mittels Parser lassen sich aus .DS_Store-Dateien sensible Informationen auslesen. Das Projekt Internetwache.org hat sich die proprietäre Lösung von Apple genauer angeschaut - und Erstaunliches zutage gefördert.

Bei den Berliner Verkehrsbetrieben ist die Status-Seite des Apache-Webservers offen einsehbar gewesen, wie Golem.de entdeckt hat. Dort zu sehen gab es IP-Adressen von Webseitenbesuchern und E-Mail-Adressen von Kundenaccounts.

Das alte Auto ist kaputt und verschrottet. Jetzt muss der Blechhaufen nur noch bei der zuständigen Kraftfahrzeugebehörde abgemeldet werden. Gut, dass es dafür eine tolle eGovernment-Infrastruktur gibt! Leider funktioniert sie ungefähr so gut wie die Fertigstellung des Hauptstadtflughafens BER oder die Demokratie in Nordkorea.

Ein 2011 gegründetes Unternehmen setzt auf Kryptographie aus den 90ern: Eine Subdomain mit Sonderangeboten von Flixbus unterstützt nur veraltete Verschlüsselungsstandards - und das seit Monaten. Kunden können auf der Seite Ticketgutscheine kaufen und müssen dafür persönliche Daten hinterlassen.

Das Containerisieren von Anwendung und die Verwaltung der Ressourcen trauen die meisten nur ausgewachsenen Computern zu. Dass sich auch der Raspberry Pi zur Verwaltung von Containern eignet, zeigt HypriotOS.

Nach dem Motto "Habt ihr Angst? Wir schon!" arbeitet ein Team von Googles Coreboot-Entwicklern mit Kollegen daran, Intels ME und das proprietäre UEFI auch in Servern unschädlich zu machen. Und das wohl mit Erfolg.

Beim Apache-Webserver lassen sich in bestimmten Konfigurationen Speicherfragmente durch einen Angreifer auslesen. Besonders kritisch ist diese Lücke in Shared-Hosting-Umgebungen.

Windparks machen einen professionellen Eindruck, doch bei der IT-Sicherheit hapert es leider. Recherchen von Internetwache.org und Golem.de zeigen eine Menge Schwachstellen und ein Chaos bei der Zuständigkeit.

Mit Certificate Transparency werden HTTPS-Zertifikate in öffentlichen Logs gespeichert. Das bringt mehr Sicherheit im TLS-Ökosystem, es führt aber auch zu überraschenden Gefahren für Webanwendungen wie Wordpress.

Zu einem Zertifikat für verschlüsselte HTTPS-Verbindungen gehört ein privater Schlüssel. Doch was, wenn der Schlüssel auf dem Webserver landet - und dann nicht mehr privat ist? Wir fanden zahlreiche Webseiten, die ihren privaten Schlüssel zum Herunterladen anbieten.

Eine Datenbank mit 200.000 Umzugsmitteilungen der Post lag ungeschützt im Netz. Tausende andere Firmen aus aller Welt haben exakt den gleichen Fehler gemacht.

Kinderleicht soll die Einrichtung sein und dank des Mesh-Systems soll das WLAN zu Hause nahezu verlustfrei erweiterbar sein. Google Wifi setzt auf gängige Standards und hält weitgehend, was es verspricht. Für Nerds, die viel konfigurieren wollen, ist der WLAN-Booster aber eher nicht geeignet.

Coredumps sind ein hilfreiches Instrument, um nach einem Softwareabsturz eine Fehleranalye zu betreiben. Doch die Fehlerberichte sind auf zahlreichen Webseiten öffentlich einsehbar, wie wir herausgefunden haben. Dabei werden zum Teil auch private Daten wie Passwörter veröffentlicht.

Für eine Stellenanzeige hat sich der Bundesnachrichtendienst etwas Besonderes ausgedacht: eine Forensik Challenge, bei der Interessierte ihre Fähigkeiten testen können. Damit Golem.de-Leser, die sich beim BND bewerben wollen, es etwas leichter haben, haben wir die Challenge gelöst.

Denuvo soll Spiele vor unerlaubter Nutzung schützen - bei der eigenen Webseite hat das nicht so gut funktioniert. Lange Zeit waren zahlreiche private Informationen und Anfragen von Spieleherstellern öffentlich einsehbar.

Update Deepsec 2016 Sicherheitssoftware macht die Nutzer sicherer - zumindest in der Theorie. Sicherheitsforscher haben gravierende Sicherheitslücken in einer Firewall-Suite von Kerio aufgedeckt - inklusive einer sechs Jahre alten PHP-Version.