Das Ende von SHA 1 naht – doch jetzt gibt es einen Rückschritt beim Abschied von dem alten Algorithmus. Weil es in Firmennetzwerken Probleme mit TLS-Man-In-The-Middle-Proxys wie Antivirenscannern und Firewalls gibt, hat Mozilla die Zertifikate wieder aktiviert – vorerst. (Firefox,…
Kategorie: sicherheit Golem.de – Security
Support-Scam: Dell-Nutzer werden mit falschen Support-Anrufen belästigt
Gefälschte Support-Anrufe sind ein großes Ärgernis für viele PC-Nutzer. Jetzt gibt es eine neue Masche, die gezielt Dell-Nutzer anspricht. Möglicherweise hängen die Anrufe mit den von Dell im vergangenen Jahr installierten SSL-Zertifikaten zusammen. (Dell, Internet) Der ganze Artikel: Support-Scam: Dell-Nutzer…
CMS: Kritische Lücken im Update-Prozess von Drupal
Die automatischen Updates von Drupal können so manipuliert werden, dass recht leicht Malware eingeschleust werden kann. Bekannt ist dies wohl schon seit Jahren, Lösungen dafür werden nun erneut diskutiert. (Drupal, CMS) Der ganze Artikel: CMS: Kritische Lücken im Update-Prozess von…
XMPP: Jabber könnte neue PGP-Verschlüsselung bekommen
Das Chat-Protokoll Jabber, offiziell XMPP, könnte endlich eine native Ende-zu-Ende-Verschlüsselung auf Basis von OpenPGP bekommen. Die Entwickler arbeiten bereits an einer Referenzimplementierung. (XMPP, Instant Messenger) Der ganze Artikel: XMPP: Jabber könnte neue PGP-Verschlüsselung bekommen
Android: Sicherheits-Patches für viele Nexus-Geräte angekündigt
Google hat eine Reihe älterer Sicherheitslücken in Android geschlossen und bietet entsprechende Patches für etliche Nexus-Geräte an. Die drahtlos verteilten Updates sollen diese Woche beginnen. (Android, Google) Der ganze Artikel: Android: Sicherheits-Patches für viele Nexus-Geräte angekündigt
Let’s Encrypt: Kostenlose Zertifikate angeblich auch für Malware
Let’s Encrypt erstellt vermeintlich Zertifikate für Domains, über die Malware verteilt wird. Das zumindest behauptet ein Anti-Viren-Hersteller, der gleichzeitig eine konkurrierende Zertifizierungsstelle ist. Das beschriebene Problem scheint jedoch ganz andere Hintergründe zu haben. (Let’s Encrypt, Virus) Der ganze Artikel: Let’s…
Gerichtsurteil: Eltern erben Facebook-Konto des Kindes
Auch die Kommunikation mit Dritten ist betroffen, wenn der Zugang zu einem Facebook-Konto übertragen wird – und damit möglicherweise sensible Daten. Trotzdem haben Eltern grundsätzlich ein Recht auf Einblick in den Account eines verstorbenen Kindes, urteilt ein Gericht in Deutschland.…
MD5/SHA1: Sloth-Angriffe nutzen alte Hash-Algorithmen aus
Neue Angriffe gegen TLS: Krypto-Forscher präsentieren mit Sloth mehrere Schwächen in TLS-Implementierungen und im Protokoll selbst. Am kritischsten ist ein Angriff auf Client-Authentifizierungen mit RSA und MD5. (Verschlüsselung, Technologie) Der ganze Artikel: MD5/SHA1: Sloth-Angriffe nutzen alte Hash-Algorithmen aus
Tschechien: Rechte Hacker knacken E-Mail-Konto von Regierungschef
Tschechiens Ministerpräsident Sobotka hat wieder Ärger mit rechten Hackern. Offenbar war sein privates E-Mail-Postfach nicht ausreichend geschützt. (Security, Internet) Der ganze Artikel: Tschechien: Rechte Hacker knacken E-Mail-Konto von Regierungschef
Matthew Garrett: Apple-Rechner eignen sich nicht für vertrauliche Arbeiten
Zwar kann mit UEFI Secure Boot und TPMs der Startprozess von Windows- und Linux-Rechnern einigermaßen abgesichert werden – dies ließe sich aber verbessern, sagt Security-Experte Matthew Garrett. Katastrophal sei die Lage dagegen bei Apple. (Security, Firmware) Der ganze Artikel: Matthew…
Fail0verflow: Code von Linux-Port auf PS4 verfügbar
Auf Github stehen erste Teile des Codes der Linux-Portierung auf die Playstation 4 bereit. Die zuständige Gruppe Fail0verflow will den Code zudem upstream einpflegen. Jailbreaks sollen aber explizit nicht angeboten werden. (Playstation 4, Sony) Der ganze Artikel: Fail0verflow: Code von…
VBB-Fahrcard: Busse speichern seit mindestens April 2015 Bewegungspunkte
Die VBB-Fahrcard ist schon seit langem in der Lage, Bewegungsdaten zu speichern, wie wir anhand einer eigenen Karte nachvollziehen konnten und auflisten. Mitte des Jahres wurde das System für die BVG-Busse noch verändert. Seither speichern die Busse auch eine "Permit-ID".…
Ed25519: Mehrfach genutzte SSH-Keys auf Hetzner-Servern
Auf den Installationsimages für Server der Firma Hetzner fanden sich für mehrere Monate vorinstallierte SSH-Keys. Die betroffenen Server sind somit für Man-in-the-Middle-Angriffe anfällig. (OpenSSH, Netzwerk) Der ganze Artikel: Ed25519: Mehrfach genutzte SSH-Keys auf Hetzner-Servern
Jailbreak: Linux und Pokémon auf der Playstation 4
Die bekannte Hackergruppe Fail0verflow hat es geschafft, auf der Playstation 4 sowohl Linux als auch eine ältere Version von Pokémon auszuführen. (Playstation 4, Sony) Der ganze Artikel: Jailbreak: Linux und Pokémon auf der Playstation 4
W^X: Firefox nutzt Sicherheitsfunktion aus OpenBSD
Das OpenBSD-Projekt sichert seinen Browser ab, indem der genutzte Speicher entweder beschreibbar oder ausführbar (W^X) gemacht wird. Nach OpenBSD nutzt dies nun auch Firefox Nightly für Javascript-Code. (Firefox, Browser) Der ganze Artikel: W^X: Firefox nutzt Sicherheitsfunktion aus OpenBSD
Zeitschriftenverleger: Adblock-Anbieter sind „erpresserische Geschäftemacher“
Der Verband der Zeitschriftenverleger wettert gegen die Anbieter von Werbeblockern. Trotz einer einstweiligen Verfügung ist das Programm Adblock weiter erhältlich. (AdBlocker, Opera) Der ganze Artikel: Zeitschriftenverleger: Adblock-Anbieter sind „erpresserische Geschäftemacher“
E-Mail-Konten: Microsoft warnt Nutzer vor staatlichen Angriffen
Warnungen bei Hacking-Versuchen auf Outlook-Konten gibt Microsoft schon länger aus. Jetzt geht das Unternehmen noch einen Schritt weiter: Stecken mutmaßlich staatliche Stellen hinter dem Angriff, werden die Kunden ab sofort explizit darauf hingewiesen. (Microsoft, E-Mail) Der ganze Artikel: E-Mail-Konten: Microsoft…
Epic Fail Collection: Wie man einen DDoS-Angriff nicht verhindert
Wie verhindert man einen DDoS-Angriff nicht? Dieser Frage ging der Sicherheitsforscher Moshe Ziono in seinem Vortrag auf dem 32C3 nach. Demnach wird das teure Anti-DDoS-Equipment offenbar manchmal selbst zur Falle. (32C3, VoIP) Der ganze Artikel: Epic Fail Collection: Wie man…
Crypto Wars II: Der neue Tanz um den Goldenen Schlüssel
Der Geheimdienstausschuss des US-Senats plant offenbar eine gesetzliche Pflicht für Hintertüren in Verschlüsselungsprogrammen. Aktivisten sind aber der Ansicht, auch die nächsten Crypto Wars gewinnnen zu können. (32C3, Apple) Der ganze Artikel: Crypto Wars II: Der neue Tanz um den Goldenen…
Identity Leak Checker: „123456“ beliebtestes Passwort in geleakten Daten
Das Hasso-Plattner-Institut hat im Jahr 2015 fast 35 Millionen neu geleakte Identitätsdaten untersucht. Wie die Sicherheitsforscher feststellten, verwenden immer noch sehr viele Nutzer unsichere Passwörter. (Passwort, Instant Messenger) Der ganze Artikel: Identity Leak Checker: „123456“ beliebtestes Passwort in geleakten Daten
Chrome: Google-Entwickler zerpflückt Antiviren-Addon
Eine Chrome-Erweiterung des Antiviren-Herstellers AVG habe so viele Sicherheitslücken gehabt, dass es auch Malware hätte sein können, schreibt ein Google-Entwickler. Die Fehler sind zwar behoben, das Addon könnte aber trotzdem aus dem Chrome-Store verbannt werden. (Chrome, Virus) Der ganze Artikel:…
Appell an die Hacker: Es wird nicht sehr rosig werden
Wenn der Chaos Computer Club schon vor dem Chaos warnt, könnte es ungemütlich werden. Hacker sollten gemeinsam für eine bessere Zukunft kämpfen, anstatt zu streiten, welche Linux-Distribution am besten ist, fordert der CCC. (32C3, Datenschutz) Der ganze Artikel: Appell an…
Checkmyhttps: Erweiterung prüft, ob einem Zertifikate untergejubelt wurden
Mit einer Browsererweiterung wollen sich die Entwickler von Checkmyhttps gegen Man-in-the-Middle-Angriffe wehren. Sie gleicht die Fingerabdrücke von Zertifikaten mit anderen Nutzern der Erweiterung ab. (32C3, Technologie) Der ganze Artikel: Checkmyhttps: Erweiterung prüft, ob einem Zertifikate untergejubelt wurden
Voice over LTE: Mobile IP-Telefonie kann abgehört werden
Talks, die Albträume über mobile Kommunikation auslösen, haben beim CCC Tradition. Dieses Mal haben zwei koreanische Studenten Angriffe auf Voice over LTE vorgeführt. In Deutschland soll das angeblich nicht möglich sein. (32C3, Verschlüsselung) Der ganze Artikel: Voice over LTE: Mobile…
Sicherheit und Medizin: Hack den Herzschrittmacher!
Marie Moe will mehr über das Implantat wissen, das sie am Leben hält: Welche Schnittstellen hat ihr Herzschrittmacher? Wie sieht sein Code aus? Wer kann ihre Daten sehen? (Hacker, Internet) Der ganze Artikel: Sicherheit und Medizin: Hack den Herzschrittmacher!
Flash: Adobe behebt bereits ausgenutzten Fehler
Ein Patch für den Flash-Player behebt 19 Sicherheitslücken, von denen einige als kritisch eingestuft werden. Einer der Fehler wird laut Adobe zudem bereits aktiv für Angriffe genutzt. (Flash, Adobe) Der ganze Artikel: Flash: Adobe behebt bereits ausgenutzten Fehler
VBB-Fahrcard: Berlins elektronische Fahrkarte speichert Bewegungsprofile
Mit der überwiegend in Berlin, aber auch in Brandenburg eingesetzten VBB-Fahrcard können laut VBB keine Bewegungsprofile gespeichert werden. Wie sich nun herausgestellt hat, stimmt das nicht. Lesegeräte in BVG-Bussen speichern Bewegungspunkte auf der Fahrcard. (BVG, Datenschutz) Der ganze Artikel: VBB-Fahrcard:…
Let’s Encrypt: Ein kostenfreies Zertifikat, alle zwei Sekunden
Der Start der neuen Certificate Authority Let’s Encrypt hat offenbar recht gut funktioniert. Nach nur rund einem Monat im Betabetrieb ist das Projekt schon die fünftgrößte CA der Welt. Doch es gibt noch einige Aufgaben zu bewältigen. (Let’s Encrypt, Firefox)…
Schaden auf Rekordtief: Kaum noch Datenklau an Geldautomaten
Die Milliardeninvestitionen von Banken und Handel in mehr Sicherheit zeigen Wirkung: Datendiebe erbeuten an Geldautomaten in Deutschland immer weniger Geld. Doch noch finden die Kriminellen Löcher im System. (Skimming, NFC) Der ganze Artikel: Schaden auf Rekordtief: Kaum noch Datenklau an…
Onlinebanking: Sparkassen-App für pushTAN-Verfahren wieder gehackt
Die Banken preisen das pushTAN-Verfahren als sicher an. Dabei ist es hochgefährlich, Onlinebanking mit zwei Apps auf demselben Smartphone zu verwenden. (32C3, UMTS) Der ganze Artikel: Onlinebanking: Sparkassen-App für pushTAN-Verfahren wieder gehackt
Active Probing: Wie man Tor-Bridges in verschlüsseltem Traffic findet
Chinas Internetzensoren sind offenbar erfindungsreich: Statt stumpf alle verschlüsselten Verbindungen zu blockieren, suchen die Zensoren aktiv nach Tor-Bridges, um diese zu unterbinden. Doch es gibt Möglichkeiten, die Zensur zu trollen. (Zensur, Server) Der ganze Artikel: Active Probing: Wie man Tor-Bridges…
EC-Terminals: Hacker knacken Hardware-Security-Modul
Nicht nur die Protokolle zur Abwicklung des EC-Zahlungsverkehrs sind schwach, auch die verwendete Hardware ist offenbar nicht besonders gut gegen Angriffe abgesichert. Auf dem 32C3 stellten Berliner Hacker jetzt vor, wie sich das Hardware-Security-Modul eines EC-Terminals hacken lässt. (32C3, CCC)…
Valve: Steam behebt massive Sicherheitsprobleme
Einblick in fremde Daten: Die Spieleverkaufsplattform Steam hat schwerwiegende Sicherheitsprobleme in seiner Nutzerdatenbank entfernen müssen. Anwender konnten unter anderem Account-Informationen anderer Nutzer einsehen. (Steam, Games) Der ganze Artikel: Valve: Steam behebt massive Sicherheitsprobleme
Meinungsfreiheit: Die Öffentlichkeit muss vor dem Datenschutz geschützt werden
Der Datenschutz soll Daten schützen – doch das Recht entwickelt sich immer mehr in Richtung eines Kommunikationsverbots. Sollten wir das Internet also lieber abschalten? (Datenschutz, Google) Der ganze Artikel: Meinungsfreiheit: Die Öffentlichkeit muss vor dem Datenschutz geschützt werden
Netzpolitischer Jahresrückblick: Viel Streit und ein kleines Happy End
Vorratsdatenspeicherung, Netzneutralität, Datenschutzreform, NSA-Affäre: In den vergangenen zwölf Monaten sind wichtige netzpolitische Themen diskutiert und entschieden worden. Manche sogar im Sinne der Nutzer. (Netzpolitik, Vorratsdatenspeicherung) Der ganze Artikel: Netzpolitischer Jahresrückblick: Viel Streit und ein kleines Happy End
Security: Bezahlsysteme der Hyatt-Hotelkette gehackt
Die Hotelkette Hyatt muss infizierte Bezahlsysteme melden, hat sich dafür aber viel Zeit gelassen. Wer in der Vergangenheit etwa mit einer Kreditkarte dort bezahlt hat, sollte seine Kreditkartenabrechnungen auf verdächtige Umsätze prüfen. (Security, Malware) Der ganze Artikel: Security: Bezahlsysteme der…
Vodafone-Zwangsrouter: Sicherheitslücke ermöglicht Root-Zugriff und Spionage
Die Zwangsrouter von Vodafone Kabel haben vermutlich über Jahre hinweg eklatante Schwachstellen gehabt, die für Spionagezwecke ausgenutzt werden konnten. Der Hacker Alexander Graf will auf dem 32C3 in Hamburg weitere Details zu dem Hack vorstellen. (Sicherheitslücke, VoIP) Der ganze Artikel:…
Hacker: Filmstars mit Problemen im Netz
Brandneue Spielfilme wie der jüngste Western von Quentin Tarantino sind im Internet aufgetaucht. Eine Reihe weiterer Stars hat ganz andere Probleme: Ein Hacker ist an Sexvideos und persönliche Daten von ihnen gelangt – er wurde allerdings nun verhaftet. (Film, Malware)…
Cryptomessenger: Wie ich die Digitalisierung meiner Familie verpasste
Zu Weihnachten reparieren wir alljährlich die IT der gesamten Familie. Wir fluchen, lästern – und fühlen uns gebraucht. Was für ein Schock, wenn man plötzlich feststellt, dass sich die Angehörigen hinterrücks digitalisiert haben! (Whatsapp, Instant Messenger) Der ganze Artikel: Cryptomessenger:…
Bombendrohung per Cock.li: Staatsanwaltschaft beschlagnahmt Festplatte bei Hetzner
Wegen einer anonymen Bombendrohung mussten kürzlich alle Schulen in Los Angeles schließen. Nun haben deutsche Behörden offenbar Amtshilfe bei der Suche nach dem Urheber der Drohmails geleistet. (Security, Computer) Der ganze Artikel: Bombendrohung per Cock.li: Staatsanwaltschaft beschlagnahmt Festplatte bei Hetzner
Security: Hacker übernehmen EC-Terminals
Die Sicherheitsforscher von Security Research Labs aus Berlin haben zahlreiche Fehler in verschiedenen Protokollen zum bargeldlosen Bezahlen gefunden. So können sie sich selbst Gutschriften für nie getätigte Überweisungen ausstellen. (CCC, Internet) Der ganze Artikel: Security: Hacker übernehmen EC-Terminals
Interessenkonflikt: Kritik an geplanter Neubesetzung von BSI-Spitze
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bekommt einen neuen Präsidenten. Doch der Vorschlag von Innenminister de Maizière ist hoch umstritten. (Provider, Internet) Der ganze Artikel: Interessenkonflikt: Kritik an geplanter Neubesetzung von BSI-Spitze
Dual EC DRBG: Die Hintertüren in Juniper-Firewalls
Eine der in Juniper-Firewalls gefundenen Hintertüren nutzt offenbar einen Zufallszahlengenerator, der mutmaßlich von der NSA kompromittiert ist. Bei der Analyse der Änderungen gibt es Hinweise, dass hier mehrere Akteure am Werk waren – und dass die Hintertür gar nicht wirklich…
Daniel J. Bernstein: Ein langweiliger C-Compiler für bessere Crypto
Der Kryptograph Daniel J. Bernstein fordert einen C-Compiler mit klar definierter Semantik, der kein undefiniertes Verhalten von Code erlaubt. Das soll das Schreiben und Überprüfen von Code klar vereinfachen und somit bessere Kryptographie ermöglichen. (Security, Softwareentwicklung) Der ganze Artikel: Daniel…
BGH-Urteil: Nacktfotos auf Zeit
Eine einmalige Einwilligung gilt nicht für die Ewigkeit. Das hat der Bundesgerichtshof heute für Nacktbilder entschieden, die während Partnerschaften entstanden sind. Bei der Durchsetzung des Urteils wird es zu interessanten technischen Fragen kommen. (Foto, Digitalkamera) Der ganze Artikel: BGH-Urteil: Nacktfotos…
Vorratsdatenspeicherung: Erste Verfassungsbeschwerde eingereicht
Nach der Vorratsdatenspeicherung im Eiltempo kommt jetzt die erste Verfassungsbeschwerde. Weitere Initiativen wollen nachziehen – und das Gesetz, wenn möglich, noch vor Beginn der Datenspeicherung kippen. (Vorratsdatenspeicherung, Datenschutz) Der ganze Artikel: Vorratsdatenspeicherung: Erste Verfassungsbeschwerde eingereicht
Security: Hello Kitty gehackt
Eine MongoDB-Datenbank mit den privaten Informationen zahlreicher Hello-Kitty-Fans wurde veröffentlicht. Vor allem Kinder dürften davon betroffen sein – und sollten ihre Passwörter bei anderen Diensten überprüfen. (MongoDB, Datenbank) Der ganze Artikel: Security: Hello Kitty gehackt
Deutsche Webhoster: Vorerst keine automatische Unterstützung von Let’s Encrypt
Mit Let’s Encrypt können Webseitenbetreiber kostenfreie SSL-/TLS-Zertifikate erstellen. Wir haben bei großen deutschen Webhostern nachgefragt, ob sie den Dienst nutzerfreundlich in ihre Angebote integrieren wollen. Spoiler: Es wird wohl noch etwas dauern. (Let’s Encrypt, Microsoft) Der ganze Artikel: Deutsche Webhoster:…
Vernetzte Stromzähler: Bundesrat fordert Widerspruchsrecht für Kleinverbraucher
Der Bundesrat stellt sich gegen die Pläne der Bundesregierung. Für Anschlüsse mit einem Stromverbrauch von weniger als 6.000 Kilowattstunden im Jahr soll es keine Einbaupflicht für vernetzte Stromzähler geben. (Datenschutz, GreenIT) Der ganze Artikel: Vernetzte Stromzähler: Bundesrat fordert Widerspruchsrecht für…
Xbox Live: Vorweihnachtliche Angriffe auf Spielenetzwerk
Für Weihnachten hat ein selbsternanntes Hackerkollektiv umfangreiche DDoS-Attacken auf Xbox Live und das Playstation Network angekündigt. Inzwischen hat offenbar ein erster Angriff auf das Microsoft-Spiele-Netzwerk stattgefunden. (Xbox Live, Microsoft) Der ganze Artikel: Xbox Live: Vorweihnachtliche Angriffe auf Spielenetzwerk
Hackerone: Raus mit den Bugs
Eine private Armee von 20.000 Sicherheitsforschern – das verspricht Hackerone seinen Kunden, die ihr Bug-Bounty-Programm über die Plattform laufen lassen. Wir haben mit dem Startup und seinem Kunden Owncloud über technische und politische Herausforderungen des Disclosure-Prozesses gesprochen. (Security, Urheberrecht) Der…
Acceptable Ads: Eyeo nimmt 30 Prozent für Whitelisting
Der Adblock-Plus-Betreiber Eyeo will sein schlechtes Image durch mehr Transparenz verbessern. Nun nannte er erstmals Details zu den Kosten für das Whitelisting großer Anbieter. (AdBlocker, Virus) Der ganze Artikel: Acceptable Ads: Eyeo nimmt 30 Prozent für Whitelisting
Brasilien: Kein Whatsapp für 48 Stunden
Whatsapp ist gerade unter Jugendlichen beliebt. Schüler und andere Nutzer in Brasilien müssen sich jetzt für 48 Stunden nach einem anderen Chat-Programm umsehen, denn die Justiz des Landes hat eine temporäre Sperre des Dienstes verfügt, weil Whatsapp nicht ausreichend mit…
Selektorenaffäre: Personelle Konsequenzen für hochrangige BND-Mitarbeiter
In der BND-Selektorenaffäre müssen offenbar drei Mitarbeiter ihren Posten räumen. Das Kontrollgremium des Bundestages wirft dem Geheimdienst schwere Versäumnisse vor. (NSA, Datenschutz) Der ganze Artikel: Selektorenaffäre: Personelle Konsequenzen für hochrangige BND-Mitarbeiter
Soziales Netz: Facebook überarbeitet Klarnamenregeln – ein bisschen
Facebook geht einen kleinen Schritt auf die Kritiker der Klarnamenpflicht zu: Ab sofort sollen Nutzer, die sich etwa vor Stalkern schützen möchten, einfacher mit dem sozialen Netz kommunizieren können. (Facebook, Soziales Netz) Der ganze Artikel: Soziales Netz: Facebook überarbeitet Klarnamenregeln…
Project Zero: Fireeye-Appliances lassen sich mittels Java-Datei übernehmen
Eine schwerwiegende Sicherheitslücke in Fireeye-Geräten haben Mitglieder von Googles Project Zero aufgedeckt. Ein Parser für Java-Dateien führt Code aus, um Obfuscation-Techniken zu umgehen. (Project Zero, Virus) Der ganze Artikel: Project Zero: Fireeye-Appliances lassen sich mittels Java-Datei übernehmen
EU-Datenschutzreform: Ein guter Tag für die Nutzer
Die hartnäckige Position des EU-Parlaments in den Verhandlungen hat sich ausgezahlt. Datenschutz in der Europäischen Union kann künftig durchgesetzt werden. Das sollte aber nicht zum leichtsinnigen Umgang mit den eigenen Daten verleiten. (Datenschutz, Internet) Der ganze Artikel: EU-Datenschutzreform: Ein guter…
Vtech-Hack: Verdächtiger in Großbritannien festgenommen
Nach dem Vtech-Hack vor zwei Wochen wurde in Großbritannien ein Verdächtiger festgenommen. Auch wenn der Hacker die Daten nicht veröffentlicht hat und wohl keine kriminelle Motivation hatte, muss er mit einer Strafe rechnen. (Vtech, Technologie) Der ganze Artikel: Vtech-Hack: Verdächtiger…
Einigung auf EU-Datenschutzreform: Konzernen drohen Milliardenstrafen bei Verstößen
Nach vier Jahren zäher Verhandlungen hat sich die Europäische Union neue Datenschutzstandards gegeben. Das Parlament konnte sich in wichtigen Punkten durchsetzen. Das dürfte vielen Firmen nicht gefallen. (Datenschutz, Internet) Der ganze Artikel: Einigung auf EU-Datenschutzreform: Konzernen drohen Milliardenstrafen bei Verstößen
Mozilla: Firefox 43 forciert Addon-Signaturen
Die aktuelle Version 43 des Firefox verweigert erstmals das Ausführen sowie die Installation unsignierter Addons. Suchvorschläge werden nun auch in der URL-Zeile dargestellt, und der Trackingschutz des privaten Modus ermöglicht die Auswahl der Blocklisten. (Firefox, Browser) Der ganze Artikel: Mozilla:…
Hack: Esa-Nutzer haben kurze Passwörter
Zahlreiche interne Datensätze der Europäischen Raumfahrtagentur Esa sind gehackt worden und jetzt im Internet einsehbar. Offenbar benutzen viele der Esa-Nutzer kurze und unsichere Passwörter. (Security, Server) Der ganze Artikel: Hack: Esa-Nutzer haben kurze Passwörter
Ashley Madison: Nutzer des Seitensprungportals werden mit Briefen erpresst
Offenbar sind Erpresser in den USA jetzt dazu übergegangen, ehemalige Ashley-Madison-Nutzer per Post zu erpressen – und nicht mehr nur per Mail. Das könnte jedoch zum Problem für die Kriminellen werden. (Sicherheitslücke, Server) Der ganze Artikel: Ashley Madison: Nutzer des…
Remote-Code-Execution: Joomla-Update stopft kritische Sicherheitslücke
Das freie CMS Joomla bekommt ein eiliges Sicherheitsupdate. Alle Versionen der Software sind betroffen. Die Lücke ermöglicht die Ausführung von Code über einen gefälschen User-Agenten. Die Lücke wird bereits aktiv ausgenutzt. (Joomla, Sicherheitslücke) Der ganze Artikel: Remote-Code-Execution: Joomla-Update stopft kritische…
Funkzellenabfrage: Nach Pfefferspray-Angriff 14.000 Handydaten ausgewertet
Die Funkzellenabfrage ist ein schwerer Eingriff in die Privatsphäre. Kritiker sagen, dass die Polizei in Osnabrück sie willkürlich eingesetzt hat. (Datenschutz, Mobilfunk) Der ganze Artikel: Funkzellenabfrage: Nach Pfefferspray-Angriff 14.000 Handydaten ausgewertet
Lenovo/CSR: Bluetooth-Treiber installiert Root-Zertifikat
Ein Bluetooth-Treiber für Chips der Firma CSR installiert zwei Root-Zertifikate, mit denen der Besitzer des privaten Schlüssels HTTPS-Verbindungen angreifen könnte. Offenbar handelt es sich um Testzertifikate zur Treibersignierung während der Entwicklung. (Qualcomm, Dell) Der ganze Artikel: Lenovo/CSR: Bluetooth-Treiber installiert Root-Zertifikat
Jailbreak: Hacker hat angeblich Zugriff auf Kernel der PS4
Ein Hacker hat angeblich die Sicherheitssysteme der Playstation 4 geknackt und sich Zugriff auf den Kernel verschafft. Bislang soll das allerdings nur auf einer älteren Version der Firmware funktionieren. (Playstation 4, Sony) Der ganze Artikel: Jailbreak: Hacker hat angeblich Zugriff…
iTunes-Update: Klassische Musik und Webkit-Fixes
Das Update auf iTunes 12.3.2 soll einige Funktionen bringen, die iOS-Nutzer bereits seit vergangener Woche kennen. Die Windows-Version bekommt außerdem Sicherheitsupdates. (iTunes, Webkit) Der ganze Artikel: iTunes-Update: Klassische Musik und Webkit-Fixes
Mit einer Drohne: Tokioter Polizei geht auf Drohnenfang
Angst vor Terroranschlägen und neue Flugverbotszonen haben die Tokioter Polizei dazu bewogen, ein Drohne anzuschaffen. Damit wollen die Beamten verdächtige Fluggeräte jagen. (Drohne, Politik/Recht) Der ganze Artikel: Mit einer Drohne: Tokioter Polizei geht auf Drohnenfang
Letzte Verhandlungen: Jetzt wird es ernst für Europas Datenschutz
Nach fast vier Jahren kommen die Verhandlungen zur EU-Datenschutzreform endlich zum Abschluss. Die harten Positionen des Parlaments könnten sich für die Nutzer auszahlen. (Datenschutz, Netzneutralität) Der ganze Artikel: Letzte Verhandlungen: Jetzt wird es ernst für Europas Datenschutz
Let’s Encrypt: Audits der kostenfreien CA sind jetzt verfügbar
Zwischendurch gab es ein wenig Aufregung, doch jetzt sind alle Bedingungen erfüllt: Let’s Encrypt hat die für eine CA notwendigen unabhängigen Audits veröffentlicht. Offensichtlich lagen diese schon seit September vor. (Let’s Encrypt, Firefox) Der ganze Artikel: Let’s Encrypt: Audits der…
Gesetzentwürfe: Frankreich bleibt WLAN-Nation
Die Franzosen müssen nicht um ihre offenen WLAN-Hotspots bangen. Auch das Tor-Netzwerk soll nicht blockiert werden, sagt Premierminister Manuel Valls. Tor auf technischer Ebene zu blockieren, wäre ohnehin eine ambitionierte Aufgabe, wie Beispiele zeigen. (TOR-Netzwerk, WLAN) Der ganze Artikel: Gesetzentwürfe:…
Nach Gerichtserfolg: Axel Springer droht Youtuber mit eigener Klage
In seinem juristischen Feldzug gegen Adblocker hat der Axel-Springer-Verlag vor dem Landgericht Stuttgart eine Niederlage erlitten. Im Streit gegen den Youtuber Tobias Richter setzt der Verlag aber auf seinen jüngsten Erfolg in Hamburg. (AdBlocker, Virus) Der ganze Artikel: Nach Gerichtserfolg:…
EU-Parlament: Fluggastdatenspeicherung nimmt weitere Hürde
Schon im Januar könnte es soweit sein: Der Innen- und Justizausschuss des Europäischen Parlaments hat sich für die Einführung einer Fluggastdatenspeicherung aller EU-Bürger ausgesprochen. Im Jahr 2013 hatten die Abgeordneten das noch abgelehnt. (EU, Datenschutz) Der ganze Artikel: EU-Parlament: Fluggastdatenspeicherung…
HTTPS: Cloudflare und Facebook wollen SHA1 weiternutzen
Eigentlich sollen mit SHA1 signierte TLS-Zertifikate bald der Vergangenheit angehören. Doch in Entwicklungsländern sind noch viele Geräte in Benutzung, die den besseren SHA256-Algorithmus nicht unterstützen. Facebook und Cloudflare wollen daher alten Browsern ein anderes Zertifikat ausliefern. (SSL, Browser) Der ganze…
Updates und ein Fail: Patchday bei Microsoft
Microsofts Patchday ist in diesem Monat besonders ergiebig: Insgesamt wurden 71 Schwachstellen gepatcht. Viele der Schwachstellen sind als kritisch eingestuft, Nutzer sollten schnell updaten. Einige der Informationen, die Microsoft veröffentlicht hatte, waren leider nicht für die Öffentlichkeit bestimmt. (Patchday, Microsoft)…
Valve Software: 77.000 Nutzerkonten pro Monat auf Steam ausgeplündert
Um Nutzer vor dem Diebstahl virtueller Güter auf Steam zu schützen, führt Valve neue Regeln für den Verkauf ein. Das scheint nötig: Seitdem der Handel etwa mit Gegenständen aus Dota 2 möglich ist, sind immer mehr Nutzer ins Visier von…
Schutz kritischer Infrastrukturen: EU beschließt erste Cybersecurity-Richtlinie
Die EU hat einen wichtigen Meilenstein der Cybersecurity-Strategie aus dem Jahr 2013 umgesetzt: Meldepflichten für Betreiber kritischer Infrastrukturen. Wieso Kommissar Günther Oettinger in seinem Statement zu dem Beschluss auf den Vtech-Hack verweist, ist uns jedoch nicht ganz klargeworden. (EU, Google)…
Safe Browsing: Chrome für Android warnt vor schädlichen Internetseiten
Mit einem Update der Play Services bringt Google seinen Schutz vor potenziell schadbringenden Internetseiten jetzt auch für die Android-Version des Chrome-Browsers. Bei der Übertragung der Datenbanken setzt Google auf lokale Besonderheiten und eine starke Datenkomprimierung. (Chrome, Virus) Der ganze Artikel:…
Vereinigte Arabische Emirate: Hacker erpresst Bank mit Kundendaten
Bitcoin her oder Kundendaten im Netz: Ein krimineller Hacker hat 900 Gigabyte an Kundendaten von den Servern einer Bank in den Vereinigten Arabichen Emiraten kopiert. Jetzt hat er die Daten im Netz veröffentlicht. (Security, Datenschutz) Der ganze Artikel: Vereinigte Arabische…
Verdacht auf Abrechnungsbetrug: Ermittlungen gegen Datenschutzbeauftragte Hansen
Die Justiz führt ein Ermittlungsverfahren gegen die schleswig-holsteinische Landesdatenschutzbeauftragte. Marit Hansen steht im Verdacht, bei der Abrechnung von Förderprojekten betrogen zu haben. (Facebook, Soziales Netz) Der ganze Artikel: Verdacht auf Abrechnungsbetrug: Ermittlungen gegen Datenschutzbeauftragte Hansen
Authentication Bypass: McAfees Enterprise Security Manager ist angreifbar
McAfees Enterprise Security Manager soll Firmennetzwerke vor Datenverlust und Angriffen schützen. Eine schwere Sicherheitslücke ermöglicht den Login mit einem Standard-Benutzernamen – es gibt bereits ein Update. (Security, McAfee) Der ganze Artikel: Authentication Bypass: McAfees Enterprise Security Manager ist angreifbar
Malware: Derusbi umgeht trickreich die Windows Driver Signing Policy
Sicherheitsforscher haben neue Details zu der seit mehreren Jahren aktiven Derusbi-Malware veröffentlicht. Die Malware nutzt Schwachstellen in Treibern aus, um sich unentdeckt auf dem System zu installieren. (Malware, Treiber) Der ganze Artikel: Malware: Derusbi umgeht trickreich die Windows Driver Signing…
Sicherheit: Windows 10 und das Ende von Malware
Windows 10 sieht nicht nur anders aus als seine Vorgänger, auch im Inneren hat sich viel geändert: Besonders beim Thema Security im Consumer- und Enterprise-Segment hat Microsoft für Anwender einige Neuerungen wie eine Zwei-Faktor-Authentifizierung entwickelt. (Windows 10, Microsoft) Der ganze…
Let’s Encrypt: Kostenfreie Zertifikate für alle in der offenen Beta
Zertifikate für alle, und zwar kostenfrei! Let’s Encrypt hat die öffentliche Beta gestartet. Jetzt kann jeder Webseitenbetreiber eigene Zertifikate für seine Domain erstellen – wenn sein Server die Voraussetzungen erfüllt. (Verschlüsselung, Server) Der ganze Artikel: Let’s Encrypt: Kostenfreie Zertifikate für…
„Bau keine eigenen Protokolle“: Vodafone verletzt mit Secure E-Mail die erste Kryptoregel
Vodafones neuer E-Mail-Dienst Secure E-Mail soll den Austausch verschlüsselter E-Mails kinderleicht machen. Das Unternehmen macht jedoch in seiner Ankündigung kaum Angaben zur Sicherheit der verwendeten Verfahren. Deshalb haben wir nachgefragt – und sind verwirrt. (E2EE, Java) Der ganze Artikel: „Bau…
Kasachstan: Man-in-the-Middle-Angriff auf ein ganzes Land geplant?
Mit einem manuell zu installierenden TLS-Root-Zertifikat will Kasachstan offenbar alle verschlüsselten Verbindungen ins Ausland mitlesen: Das stand auf der Webseite des nationalen Telekom-Anbieters. Die Meldung ist wieder weg – die Pläne auch? (SSL, Datenschutz) Der ganze Artikel: Kasachstan: Man-in-the-Middle-Angriff auf…
Gerichtsurteil in Belgien: Facebook entfernt Datr-Cookie bei Nichtmitgliedern
Facebook setzt das Urteil eines belgischen Gerichts um und hört damit auf, Daten von Nichtmitgliedern zu sammeln. Die Konsequenz: Nichtnutzer sehen keine öffentlichen Inhalte mehr. (Facebook, Soziales Netz) Der ganze Artikel: Gerichtsurteil in Belgien: Facebook entfernt Datr-Cookie bei Nichtmitgliedern
Crypto-Messenger: Signal jetzt auch für den Desktop
Sichere Kommunikation – jetzt auch mit zehn Fingern. So wirbt Open Whispersystems für die Betaversion des Crypto-Messengers Signal für den Desktop. Wer an der Beta teilnehmen will, muss jedoch einige Hürden überwinden. (Security, Android) Der ganze Artikel: Crypto-Messenger: Signal jetzt…
Dell Foundation Services: Dell-Fix macht alles noch schlimmer
Eigentlich sollte sie eine Sicherheitslücke schließen: Mit der neuen Version der Dell Foundation Services können über das Netz Informationen über die Hardware, laufende Prozesse, Metadaten von Dateien und vieles mehr ausgelesen werden. (Dell, Notebook) Der ganze Artikel: Dell Foundation Services:…
Security: Bug Bounty für Barbie-Puppen
Nicht nur Vtech-Spielzeug ist unsicher: Die umstrittene WLAN-Barbie von Mattel hält es mit der Sicherheit ebenfalls nicht so genau. Ein Hacker konnte aus der Puppe zahlreiche Informationen auslesen – und glaubt, auch die Serveranbindung manipulieren zu können. (Security, WLAN) Der…
HTML 5: Flash soll sterben – sagt Adobe
Für viele dürfte es eine überfällige Botschaft sein: Adobe fordert Entwickler in einem Blogpost auf, künftig nicht mehr auf Flash, sondern auf offene, neue Standards zu setzen. Ganz verschwinden dürfte die bei vielen unbeliebte Software jedoch trotzdem nicht. (Flash, Adobe)…
Patenttroll: US-Unternehmen verklagt Großkonzerne wegen HTTPS
Ein Patenttroll treibt sein Unwesen gegen Unternehmen, die die HTTPS-Verschlüsselung einsetzen. Technologieunternehmen haben sich bereits verbündet, um sich gegen den Missbrauch von Patenten zu wehren. (Patent, Google) Der ganze Artikel: Patenttroll: US-Unternehmen verklagt Großkonzerne wegen HTTPS
Sicherer Passwortspeicher: Berliner Polizeibeamte fallen auf Phishing herein
Lassen sich Polizeibeamte durch Phishing-Versuche täuschen? Offensichtlich schon – bei einem Test haben Beamte ihre Zugangsdaten in einem "sicheren Passwortportal" hinterlegt. Außerdem gab es einen ungewöhnlichen DDoS-Angriff auf die Berliner Polizei. (Security, E-Mail) Der ganze Artikel: Sicherer Passwortspeicher: Berliner Polizeibeamte…
Vtech: Hacker erbeutet 10.000 Kinderfotos
Kinder und Eltern schlecht geschützt: Der Hacker des Spielzeugherstellers Vtech hat offenbar nicht nur Zugriff auf Zugangsdaten und Adressen, sondern auch auf Porträtfotos, Chatprotokolle und Audiodateien gehabt. "Das macht mich krank", sagt er. (Hacker, Technologie) Der ganze Artikel: Vtech: Hacker…
Adobe Flash Player: Installationsdateien nur noch für Lizenznehmer
Adobe beschränkt den Zugang auf die Installationsdateien für seinen Flash Player ab Ende Januar 2016 auf Lizenznehmer. Privatanwender müssen beim Einrichten der Runtime dann grundsätzlich über eine Internetverbindung verfügen. (Flash, Adobe) Der ganze Artikel: Adobe Flash Player: Installationsdateien nur noch…
Spielzeughersteller Vtech: Datensätze von 200.000 Kindern gehackt
Der App-Store des asiatischen Spielzeugherstellers Vtech ist gehackt worden, Informationen von rund 200.000 Kindern sind in die Hände eines Unbekannten gelangt. Auch Kunden aus Deutschland sind betroffen. (Security, Technologie) Der ganze Artikel: Spielzeughersteller Vtech: Datensätze von 200.000 Kindern gehackt
HTTPS/SSH: Embedded-Geräte von 50 Herstellern benutzen unsichere Keys
Zahlreiche Embedded-Geräte, darunter Router, Kameras, Telefone und vieles mehr, nutzen in der Firmware hardcodierte Schlüssel für HTTPS- und SSH-Verbindungen. Die Schlüssel werden in Kürze öffentlich bekannt sein, die verschlüsselten Verbindungen bieten damit kaum noch Schutz. (Router, VoIP) Der ganze Artikel:…
MagSpoof: Hacker kopiert eigene Kreditkarte mit Hardware-Hack
Wer schon immer mal seine eigene Kreditkarte kopieren wollte, kann jetzt aktiv werden. Das Tool MagSpoof ermöglicht es, Lesegeräten eine Kreditkarte vorzutäuschen. (Kreditkarte, Arduino) Der ganze Artikel: MagSpoof: Hacker kopiert eigene Kreditkarte mit Hardware-Hack
Connected Car: Vernetzte Autofahrer wollen abschalten können
Eine Umfrage der FIA zeigt, dass Autofahrer interessiert an vernetzten Autos sind, sich gleichzeitig aber auch Gedanken um ihre Daten machen: Der überwältigende Teil der Befragten will selbst über die Datennutzung entscheiden und den Datenstrom eigenmächtig abschalten können. (Connected Car,…
Smart-Meter-Studie: Wie viel Geld sparen Verbraucher durch variable Tarife?
Viele Verbraucher sind durchaus an variablen Strompreisen interessiert. Doch die Kosten für vernetzte Stromzähler lassen sich einer Studie zufolge nur in wenigen Fällen durch niedrigere Tarife ausgleichen. (Smart Grid, GreenIT) Der ganze Artikel: Smart-Meter-Studie: Wie viel Geld sparen Verbraucher durch…