Verschlüsselte Verbindungen können durch eine Schwäche im TLS-Verfahren in vielen Fällen auf einen unsicheren Diffie-Hellman-Schlüsselaustausch mit 512 Bit reduziert werden. Forscher vermuten, dass eine Variante dieses Angriffs für das NSA-Programm Turmoil verantwortlich sein könnte.
Mit Pagespeed lassen sich die Leistungsdaten von Webseiten analysieren. Google stellt seinen Online-Dienst dazu nun ein und verweist als Alternative auf native Servermodule oder Hostingbetreiber.
Eine schwer aufzuspürende Malware mit dem Namen Mumblehard schaltet Linux- und BSD-Server zu einem Botnet zusammen, über das Spam verbreitet wird. Die Zahl der infizierten Rechner soll in den letzten Wochen stark angestiegen sein.
Update Debian 8 alias Jessie ist erschienen - mit zahlreichen aktuellen Softwarepaketen. Der Umstieg vom Vorgänger Wheezy dürfte aber vor allem wegen Systemd nicht für alle infrage kommen.
Der TCP-Load-Balancer ist bisher der kommerziellen Variante von Nginx vorbehalten gewesen - nun steht auch eine Portierung für die Open-Source-Version des Webservers für alle Nutzer bereit, die damit auf externe Anwendungen verzichten können.
Fotos im Jpeg-Format werden beim Hochladen auf manche Webserver nur unzureichend geprüft. Darüber lässt sich Schadcode einschleusen und so unter Umständen ein gesamtes Netzwerk infiltrieren.
Golem-Wochenrückblick Die Vorratsdatenspeicherung ist untot, auf der Hannover Messe gab es robotische Flatter- und Krabbeltiere und wir haben Android 5.1 angetestet: Sieben Tage und viele Meldungen im Überblick.
Netflix will HTTPS einführen, um Nutzer vor neugierigen Vorgesetzten und Internet Service Providern zu schützen. Der Streaming-Dienst arbeitet dafür aktiv an FreeBSD mit. Auch an der TV-Benutzerschnittstelle sollen "neue Möglichkeiten" eingeführt werden.
Microsoft hat mit dem jüngsten Windows-Update eine schwerwiegende Sicherheitslücke in der HTTP-Verarbeitung behoben. Der entsprechende HTTP-Code läuft als Kerneltreiber.
IT-Sicherheitsexperten haben die Schwachstelle Redirect to SMB wiederentdeckt, die sämtliche Windows-Versionen betrifft. Sie lässt sich auch über zahlreiche Anwendungen ausnutzen. Unter Umständen geben Nutzer ihre Zugangsdaten zum Windows-Netzwerk preis.
Die Malware der Operation Volatile Cedar ist nicht leicht aufzuspüren, auch wenn sie sich nicht mit ausgereifter Spionagesoftware vergleichen lässt - denn die Angreifer setzen sie nur gezielt ein und entwickeln sie akribisch weiter.
Der Mozilla-Angestellte Daniel Stenberg vermutet, dass im kommenden Jahr Browser häufiger HTTP/2 als die alte Protokollversion verwenden werden. Dazu müsse die Webinfrastruktur aber noch verbessert werden, erklärt der Entwickler.
Der Zugriff auf localhost und andere interne Netzwerkadressen über Chrome soll eingeschränkt werden. Das betrifft weniger lokale Webserver, sondern vielmehr Webanwendungen, die wohl umgeschrieben werden müssen.
Openstacks Nutzerzahl im Bereich Cloud Computing wächst rasant. Für Einsteiger sind die vielen Komponenten und die komplexe Umgebung aber kaum zu überblicken. Der Cloud Architect Martin Gerhard Loschwitz gibt im Gastbeitrag eine Übersicht.
Sämtliche Windows-Versionen lassen sich über die jüngst bekanntgewordene Freak-Attacke angreifen. Das bestätigte Microsoft in einer Warnung. Unklar ist, wann die Lücke geschlossen wird.
Bei Untersuchungen von TLS-Implementierungen ist eine gefährliche Sicherheitslücke entdeckt worden: Freak. In bestimmten Fällen lassen sich Verbindungen mit unsicheren 512-Bit-RSA_Schlüsseln erzwingen. Diese Cipher sind ein Relikt der Kryptoregulierung in den 90ern.
Weafo heißt die Alternative zu Apples eigener Sharing-Funktion Airdrop, die genau wie das Vorbild über WLAN zwischen zwei Geräten funktioniert. Bei der iOS-8-Extension Weafo kann der Empfänger jedoch auch Windows oder Linux benutzen.
Die RC4-Verschlüsselung darf laut dem neuen RFC 7465 nicht mehr für TLS-Verbindungen genutzt werden. Der Algorithmus gilt schon lange als problematisch, Details über neue Angriffe sollen in Kürze veröffentlicht werden.
Die Diskussionen um den HTTP/2-Standard sind beendet. Der fertige Entwurf wird bald als RFC publiziert. HTTP/2-fähige Browser und Server sollten nicht lange auf sich warten lassen.
Jenseits des Tor-Netzwerks gibt es zahlreiche alternative Anonymisierungsdienste. Sie unterscheiden sich je nach Einsatzgebiet. Aber taugen sie auch als Ersatz für Tor? Wir haben uns das Invisible Internet Project angesehen.
Die Zigbee-Macher sind sich sicher, dass ihnen der Smart-Home-Markt gehört. Die Z-Wave-Macher auch. Doch aufgrund von Unterschieden im Detail und im Angebot sind nicht beide Funkstandards für alles geeignet. Außerdem verwirrt weitere Konkurrenz die Anwender.
Ist das Internet schon ein Fall fürs Museum? Eine Berliner Initiative vertritt diese Ansicht und sucht einen Ort und Geld für das weltweit erste Museum des Internets. Es soll gleichzeitig ein Computermuseum sein.
Wer Dropbox und Co. seine Daten nicht anvertrauen will, kann mit Bittorrent Sync einen eigenen Cloud-Server aufsetzen. Mit einer speziellen Linux-Version lässt sich das leicht erledigen.
Zwei Forscherteams kündigen unabhängig voneinander an, bald neue Angriffe gegen den RC4-Verschlüsselungsalgorithmus vorzustellen. Knapp ein Prozent der Webserver setzt immer noch ausschließlich auf RC4.
Das Tor-Netzwerk: Dort tummeln sich Whistleblower, Aktivisten, politisch Verfolgte, aber auch Drogenhändler oder Pädophile. Alle wollen dort aus unterschiedlichen Motiven ihre Anonymität bewahren. Es gibt aber Zweifel an der Effektivität der Anonymisierung.
Immer wieder tauchen Daten wie private Schlüssel oder Passwörter in Github-Repositories auf. Mit Hilfe von Gitrob sollen diese gefunden werden können, um sich besser zu schützen. Das öffnet aber auch die Möglichkeiten für einen interessanten Angriff.
31C3 Ein USB-Stick, der als Datentresor dient: Das war die ursprüngliche Idee hinter USB Armory. Daraus entstand ein winziger, sicherer Rechner, auf dem ein VPN-Tunnel oder sogar eine Tor-Brücke eingerichtet werden kann.
Update Das IT-Sicherheitsgesetz soll eigentlich die kritische Infrastruktur schützen. Neue Vorschriften gibt es aber auch für alle kommerziellen Betreiber von Internetseiten wie Webshops und Medien. Noch bleiben viele Fragen offen.
Canonical stellt mit Ubuntu Core eine minimale Version seines Betriebssystems bereit. Damit sollen beispielsweise Docker-Anwendungen genutzt werden können. Die erste unterstützte Cloud-Plattform ist Microsofts Azure.
Um die Sicherheit in der IT-Infrastruktur bei Sony soll es bereits seit längerem schlecht bestellt gewesen sein. Die Malware, vor der das FBI im Zuge des Sony-Hacks gewarnt hat, wurde von Kaspersky analysiert und hat jetzt einen Namen.
Update Wie viele Nutzerdaten dürfen zum Schutz der IT-Sicherheit gespeichert werden? Die geplanten Regelungen des neuen Gesetzes stiften Verwirrung und werden heftig kritisiert.
Für eine schwere Sicherheitslücke in sämtlichen Windows-Versionen hat Microsoft einen Patch veröffentlicht. Betroffen sind Windows-Rechner, die einen Web- oder auch einen FTP-Server betreiben.
Das in C++ geschriebene Framework Proxygen von Facebook unterstützt HTTP/1 und SPDY, HTTP/2 soll folgen. Einen Ersatz für Apache oder Nginx bietet der Open-Source-Code trotz Server aber nicht.
Apple liefert jetzt einen Patch für Shellshock aus. Der behebt zwar nicht alle bekannten Bugs im Funktionsparser von Bash, aber das ist vermutlich kein Sicherheitsproblem.
Update Inzwischen wird die Bash-Sicherheitslücke Shellshock zur Verbreitung von Malware ausgenutzt. Die erste Korrektur war offenbar unvollständig. Wir haben die wichtigsten Hintergründe zu Shellshock zusammengefasst.
In Apples Supportforen häufen sich Berichte von Anwendern, die über langsame oder gar ausbleibende WLAN- und Datenverbindungen bei ihren iPhones klagen: Sie haben auf iOS 8 aktualisiert und besitzen vornehmlich ältere Geräte.
Das Entwicklerboard Linkit One im Arduino-Look basiert auf dem SoC Aster von Mediatek und bietet Wifi, GSM und GPS. Darauf läuft das echtzeitfähige Betriebssystem Linkit.
Keine Plug-Ins, aber immerhin iOS-8-Extensions werden von der neuen Chrome-Version unterstützt, die Google für das iPhone und das iPad veröffentlicht hat.
Bei der mobilen Version der Sendungsverfolgung von DHL führte ein falsch konfigurierter Webserver dazu, dass fremde Paketdaten einsehbar waren. Die Post hat einen Bericht dazu bestätigt.
Das FreeBSD-Team hat eine Sicherheitslücke im TCP-Stack des Kernels geschlossen. Sie hat sich über eine seit zehn Jahren bekannte Schwachstelle im TC-Protokoll ausnutzen lassen.
Qnaps Mini-NAS für die Hosentasche sieht aus wie ein alter iPod mit zu kleinem Display. QGenie soll deutlich mehr Flexibilität bieten als viele WLAN-Festplatten und USB-Sticks - fast wie ein Heim-Netzwerk. Doch scheitert das an sich gute Konzept vor allem an einem.
Nach dem ersten ARM-Chip von AMD denkt das Unternehmen über kundenspezifische Lösungen nach. Wie schon bei den SoCs für Xbox One und PS4 sollen die Gerätehersteller bestimmen können, welche Leistung und welche Schnittstellen sie benötigen.
Black Hat 2014 Antoine Delignat-Lavaud präsentierte auf der Black Hat 2014 mehrere neue Sicherheitsprobleme in HTTPS, die zum Großteil auf bekannten Schwächen basieren. Es sind Ergebnisse eines Forschungsprojekts, das versucht, die Sicherheit von TLS mathematisch zu formalisieren.
Die Vision des Internets der Dinge ist die Steuerung technischer Geräte von überall und unabhängig von bestimmten Werkzeugen. Golem.de zeigt einen flexiblen Weg, fernbedienbare Geräte von überall zu steuern.
