Kategorie: Golem.de – Security

Dual EC: Wie Cisco, Avast und die NSA TLS 1.3 behindern

Auch der jüngste Entwurf des TLS-1.3-Protokolls führt zu Verbindungsabbrüchen. Google nennt jetzt einige Schuldige, darunter ein Gerät von Cisco, ein Virenscanner – und eine Spur zur NSA-Hintertüre Dual EC in der RSA-BSAFE-Bibliothek. (TLS, Google)   Advertise on IT Security News.…

Ransomware: US-Regierung beschuldigt Nordkorea für Wannacry

Im Wall Street Journal macht ein Regierungsvertreter Nordkorea erstmals öffentlich für die Ransomware Wannacry verantwortlich. Dabei teilt er die Welt äußerst grob in gute und böse Cyberakteure ein. (Ransomware, Microsoft)   Advertise on IT Security News. Lesen Sie den ganzen…

MobileCoin: Neue Cryptowährung von Signal-Erfinder Marlinspike

Mit der Messenger-App Signal und dem auch von Whatsapp eingesetzten Signal-Protokoll ist Moxie Marlinspike ein großer Coup gelungen. Den will er nun mit einer Bitcoin-Alternative wiederholen. (Blockchain, Intel)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: MobileCoin:…

Windows 10: Kritische Lücke in vorinstalliertem Passwortmanager

Keeper-Nutzer sollten unbedingt die gepatchte Version installieren. Der aktuell in Windows 10 vorinstallierte Passwortmanager Keeper hatte bis Version 11.3 einen Fehler, der es bösartigen Webseiten ermöglichte, über Clickjacking beliebige Passwörter auszulesen. (Security, Google)   Advertise on IT Security News. Lesen…

Chipkarten-Hersteller: Thales übernimmt Gemalto

Der Chipkarten-Hersteller Gemalto wird vom französischen Unternehmen Thales übernommen. Der Kaufpreis liegt bei fast fünf Milliarden Euro. Konkurrent Atos hatte mit seinem Angebot letztlich das Nachsehen. (Atos, Security)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: Chipkarten-Hersteller:…

Neuer Bericht: US-Behörden sollen kommerzielle Cloud-Dienste nutzen

Ein Beratergremium der US-Regierung empfiehlt ihren Bundesbehörden, eigene IT-Lösungen aufzugeben und stattdessen stärker auf kommerzielle Cloud-Dienste zu setzen. Damit würden nicht nur Kosten gespart, die Cloud sei auch sicherer. (Cloud Computing, Datenschutz)   Advertise on IT Security News. Lesen Sie…

Mirai-Botnetz: Drei US-Studenten bekennen sich schuldig

Also doch nicht Russland: Drei amerikanische Studenten haben vor einem US-Gericht zugegeben, im vergangenen Jahr mit Mirai eines der größten Botnetze der Internetgeschichte aufgebaut zu haben. Ihr Ziel sollen konkurrierende Minecraft-Server gewesen sein. (Mirai-Botnetz, Netzwerk)   Advertise on IT Security…

IT-Sicherheit: Neue Onlinehilfe für Anfänger

Mit dem Security Planner hat das CitizenLab der Universität Toronto einen einfachen Guide zur IT-Sicherheit für Otto-Normal-Nutzer veröffentlicht. Dabei genügt es, drei kurze Fragen zu beantworten, um fundierten Ratschlag zu erhalten. (Security, Datenschutz)   Advertise on IT Security News. Lesen…

ROBOT-Angriff: 19 Jahre alter Angriff auf TLS funktioniert immer noch

Der Bleichenbacher-Angriff gilt unter Kryptographen als Klassiker, funktionieren tut er trotzdem oft noch. Wie wir herausgefunden haben, gilt das besonders für populäre Webseiten, darunter Facebook, Paypal und Produkte von mindestens acht verschiedenen Herstellern. (Daniel Bleichenbacher, Netzwerk)   Advertise on IT…

HTTPS: Let’s Encrypt bringt Wildcard-Zertifikate

Auch 2018 hat die Zertifizierungsstelle Let’s Encrypt vor, weiter massiv zu wachsen. Dazu will das Projekt unter anderem die lang geforderten Wildcard-Zertifikate und weitere Neuerungen anbieten. (Let's Encrypt, Technologie)   Advertise on IT Security News. Lesen Sie den ganzen Artikel:…

Jailbreak: Googles Sicherheitsteam hackt mal wieder das iPhone

Mitarbeiter von Googles Project Zero haben mehrere Schwachstellen entdeckt, mit denen sich auf iPhones ab 5s, iPads, und iPods Apples aktuelles Betriebssystem jailbreaken lässt. Ein Patch steht bereits zur Verfügung. (Jailbreak, Google)   Advertise on IT Security News. Lesen Sie…

Sicherheit: Keylogger in HP-Notebooks gefunden

Schon wieder wurde in einem vorinstallierten Treiber von HP ein Keylogger gefunden. Zwar ist die Schnüffelfunktion standardmäßig deaktiviert, ein Forscher fand allerdings einen Weg, das zu ändern. (Security, Treiber)   Advertise on IT Security News. Lesen Sie den ganzen Artikel:…

Dynamics 365: Microsoft verteilt privaten Schlüssel an alle Kunden

Microsoft hat aus Versehen ein Wildcard-Zertifikat für seinen Clouddienst Dynamics 365 veröffentlicht – und schaffte es über Monate nicht, auf Hinweise zu reagieren. Zwischenzeitlich empfahl der Support uns sogar, eine Krisenreaktionsfirma aus der Ölindustrie anzurufen, um das Problem zu beseitigen.…

Dynamics 365: Microsoft leakt Wildcard-Zertifikat for Clouddienst

Für die Cloud-Anwendung Dynamics 365s for Operations hat Microsoft ein Wildcard-Zertifikat für alle Instanzen genutzt. Bei einer Trail-Version konnte der private Schlüssel extrahiert werden. Somit wäre es möglich, alle anderen Kunden anzugreifen. Microsoft bestritt zunächst, dass ein Sicherheitsproblem bestehe. (Microsoft,…

Mobilfunknetze: LTE Roaming hat ähnliche Probleme wie SS7

Forscher demonstrieren auf der Konferenz Black Hat Europe ähnliche Sicherheitsprobleme für das LTE Roaming, wie diese auch für das vollkommen veraltete SS7 existieren. Schlimmstenfalls lassen sich damit Sprachnachrichten analysieren. (Security, Long Term Evolution)   Advertise on IT Security News. Lesen…

Firmware-Bug: Codeausführung in deaktivierter Intel-ME möglich

Sicherheitsforscher demonstrieren einen Angriff auf Intels ME zum Ausführen von beliebigem Code, gegen den weder das sogenannte Kill-Bit noch die von Google geplanten Sicherheitsmaßnahmen für seine Server helfen. Theoretisch lassen sich Geräte so auch aus der Ferne angreifen. (Intel, Server)…

Kryptowährung: 4.700 Bitcoin von Handelsplattform Nicehash gestohlen

Es soll ein „hochprofessioneller Angriff mit fortgeschrittenem Social Engineering“ gewesen sein: Der Handelsplattform Nicehash wurden Bitcoin im Wert von knapp 64 Millionen US-Dollar gestohlen. Nutzer sollen ihre Passwörter ändern. (Bitcoin, Internet)   Advertise on IT Security News. Lesen Sie den…

Plexcorps: SEC friert Konten von Kryptowährungsstartup ein

Weil das Unternehmen unfassbare Gewinne versprach und mit offenbar nicht existenten Experten warb, wurden die Gelder des Kryptowährungsstartups Plexcorps eingefroren. Das Unternehmen widerspricht den Betrugsvorwürfen der SEC. (Blockchain, Internet)   Advertise on IT Security News. Lesen Sie den ganzen Artikel:…

Berlin: Verfassungsschutz hat Lizenz zur Gesichtserkennung

Der Berliner Senat hält es für legal, dass die Verfassungsschutzbehörde ihren Dokumentenbestand künftig mit einem Programm zur biometrischen Gesichtserkennung durchforstet. (Biometrie, Internet)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: Berlin: Verfassungsschutz hat Lizenz zur Gesichtserkennung

Android: Google scannt künftig auch Apps aus anderen App-Stores

Android-Apps, die private Daten übertagen, müssen künftig deutlich darauf hinweisen. Die neuen Regeln betreffen auch Apps aus alternativen Stores – Google könnte säumige Entwickler mit Warnhinweisen in der Safe-Browsing-API bestrafen. (Google, Android)   Advertise on IT Security News. Lesen Sie…

Linux: Weiterer Patch für Dirty-Cow-Sicherheitslücke

Das Kernel-Team patcht erneut gegen Dirty Cow – allerdings in einer weniger schlimmen Variante. Angreifer können das verwundbare Linux-System gezielt zum Absturz bringen. (Dirty Cow, Android)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: Linux: Weiterer Patch…

Android: Patch für Pixel-Smartphones schließt Krack-Lücke

Google will in dieser Woche aktuelle Sicherheitspatches für Android veröffentlichen. Damit erhalten nun auch Pixel-Smartphones einen Schutz gegen die Krack-Sicherheitslücke. Außerdem müssen weitere Sicherheitslöcher beseitigt werden. (Android, Google)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: Android:…

Systemstabilität: Chrome schmeißt Virenscanner raus

Kein Zugang mehr für Virenscanner: Chrome verhindert künftig Code-Injektion durch andere Programme in den Browser. Damit soll die Systemstabilität erhöht werden. Für einige Programme gibt es allerdings Ausnahmen. (Chrome, Google)   Advertise on IT Security News. Lesen Sie den ganzen…

Abgelaufen: LinkedIn vergisst TLS-Zertifikate

Für fast drei Stunden waren heute die Zertifikate aller Subdomains des Berufsnetzwerks LinkedIn ausgelaufen. Peinlich, da die meisten Suchmaschinen darauf verweisen. (TLS, Verschlüsselung)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: Abgelaufen: LinkedIn vergisst TLS-Zertifikate

Neues Captcha: Facebook verlangt Foto zur Identifizierung

Wer kein Porträtbild von sich hochlädt, bekommt keinen Zugriff auf sein Profil: Mit dieser drastischen Methode will Facebook in seinem Netzwerk künftig möglicherweise den Unterschied zwischen Menschen und Bots erkennen. (Facebook, Soziales Netz)   Advertise on IT Security News. Lesen…

Poodle und Drown: Flixbus-Webseite für jahrealte TLS-Fehler anfällig

Ein 2011 gegründetes Unternehmen setzt auf Kryptographie aus den 90ern: Eine Subdomain mit Sonderangeboten von Flixbus unterstützt nur veraltete Verschlüsselungsstandards – und das seit Monaten. Kunden können auf der Seite Ticketgutscheine kaufen und müssen dafür persönliche Daten hinterlassen. (TLS, Verschlüsselung)…

Übernahme: McAfee kauft Cloudspezialisten Skyhigh Networks

Die Konsolidierung im Sicherheitsmarkt geht weiter: McAfee kauft das auf Cloud-Sicherheitslösungen spezialisierte Unternehmen Skyhigh Networks. Der McAfee-CEO lobt, Skyhigh habe eine ganz neue Produktkategorie erfunden. (McAfee, Applikationen)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: Übernahme: McAfee…

Baden Württemberg: Streit über „Cyberwehr“ im Landtag

Die Landesregierung von Baden-Württemberg will mit einer neu eingerichteten „Cyberwehr“ der Wirtschaft helfen. Die Opposition hat zu dem Projekt aber noch viele Fragen. Unklar ist vor allem, wie die Kooperation mit privaten Sicherheitsfirmen laufen soll. (Politik/Recht, Internet)   Advertise on…

Sicherheitslücke: Fortinet vergisst, Admin-Passwort zu prüfen

Ein peinlicher Fehler bei einem Sicherheitsunternehmen: Fortinets Webmanager hat das Admin-Passwort nicht korrekt geprüft und lässt daher jeden Nutzer mit beliebiger Zeichenfolge in das System. Ein Patch steht bereit. (Security, Verschlüsselung)   Advertise on IT Security News. Lesen Sie den…

Rauschgifthandel: BKA nimmt „Top-Verkäufer“ aus dem Darknet fest

Ein 29-Jähriger soll gemeinsam mit Komplizen viele Kilo Rauschgift über Darknet-Marktplätze verschickt haben. Er wurde bei einer Grenzkontrolle festgenommen, auch die Wohnung seiner Mutter wurde durchsucht. (Darknet, Internet)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: Rauschgifthandel:…

Fraunhofer SIT: Metaminer soll datensammelnde Apps aufdecken

Trackingschutz für Apps – das will ein Fraunhofer-Institut bald anbieten. Ein erster Prototyp von Metaminer existiert bereits und soll auch ohne Rooten des Smartphones einen guten Schutz bieten. (Malware, Virus)   Advertise on IT Security News. Lesen Sie den ganzen…

Verbraucherschutz: Sportuhr-Hersteller gehen unsportlich mit Daten um

Herzfrequenz und Schlafphasen: Apple, Garmin und andere Hersteller von Sportuhren und Fitnesstrackern speichern auf ihren Portalen sehr persönliche Nutzerdaten. Bei einem Praxistest sind nur zwei Hersteller korrekt mit dem Auskunftsrecht des Kunden umgegangen. (Sport, Apple)   Advertise on IT Security…

Zensur: Skype ist in chinesischen Appstores blockiert

Skype ist in China nicht mehr verfügbar – jedenfalls nicht in dem Appstore von Apple und den unabhängigen Android-Stores. Dafür verantwortlich ist wohl das neue Cybersicherheitsgesetz. (Skype, Instant Messenger)   Advertise on IT Security News. Lesen Sie den ganzen Artikel:…

Android: Google bekommt Standortdaten auch ohne GPS-Aktivierung

Ein Hintergrunddienst sendet offenbar Standortdaten von Android-Nutzern an Google, auch wenn diese kein GPS verwenden. Dafür verantwortlich ist der Firebase-Cloud-Messaging-Dienst. Das Unternehmen will die umstrittene Praxis künftig unterlassen. (Datenschutz, Smartphone)   Advertise on IT Security News. Lesen Sie den ganzen…

Tether: Kryptowährungsstartup verliert 31 Millionen Dollar

Wenn bei Kryptowährungen etwas schiefgeht, dann wird es schnell teuer. Beim Startup Tether haben Angreifer Token im Wert von 31 Millionen US-Dollar transferieren können. Das Unternehmen reagiert mit einem Fork der eigenen Software. (Blockchain, Internet)   Advertise on IT Security…

Zertifikate: Startcom gibt auf

Es wird keine Rückkehr in die Browser geben: Startcom gibt auf. Die zu Qihoo360 gehörende Zertifizierungsstelle zieht damit auch die Konsequenzen aus einem vernichtenden Sicherheitsaudit. (TLS, Browser)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: Zertifikate: Startcom…

Funkverbindungen: US-Behörden wollen Boeing 757 gehackt haben

Nur mit Equipment, das die Sicherheitskontrolle passieren kann, wollen Mitarbeiter der US-Regierung eine Boeing 757 übernommen haben. Der Hack soll bereits vor mehr als einem Jahr stattgefunden haben und wurde über die Funkausrüstung vorgenommen. (Boeing, Internet)   Advertise on IT…

iPhone X: Sicherheitsunternehmen will Face ID ausgetrickst haben

Ein vietnamesisches Sicherheitsunternehmen behauptet, Apples Gesichtsentsperrung Face ID mit Hilfe einer selbst hergestellten Maske ausgetrickst zu haben. Die Maske wurde mit Hilfe eines 3D-Druckers, eines Maskenbildners und mit speziellen Materialien hergestellt und soll 150 US-Dollar gekostet haben. (iPhone X, Apple)…

Digitalmedizin: Wenn das Pflaster die Wunde überwacht

Intelligentes Pflaster, Ultraschall „to go“ aus dem Google Play Store und die 3D-Datenbrille im OP: Die Digitalisierung hat die Medizin erfasst. Der Arztberuf wird sich durch Apps, Clouds und Roboter verändern. (Medizin, Datenschutz)   Advertise on IT Security News. Lesen…

Security: Hackern gelingt Vollzugriff auf Intel ME per USB

Sicherheitsforscher, die Intels Management Engine (ME) seit mehr als einem Jahr analysieren, melden nun: „Game over!“ für Intel. Die Forscher haben vollen Debug-Zugriff auf die ME über eine spezielle USB-Schnittstelle. (Intel, USB 3.0)   Advertise on IT Security News. Lesen…

Kryptowährung: Bitcoins Segwit2x-Update findet keine Mehrheit

Völlig überraschend haben leitende Entwickler die Absage des Segwit2x-Updates für die Bitcoin-Blockchain abgesagt. Wenige Tage vor der geplanten Umsetzung hat Segwit2x offenbar keine Mehrheit gefunden. (Bitcoin, Studie)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: Kryptowährung: Bitcoins…

Fuzzing: Google zerlegt USB-Stack des Linux-Kernels

Mit einem speziellen Fuzzer für Kernel-Systemaufrufe von Google sind extrem viele Fehler im USB-Stack des Linux-Kernels gefunden worden. Viele davon werden als kritische Sicherheitslücken eingestuft, was aber eigentlich für alle Kernel-Fehler gilt. (Linux-Kernel, Sicherheitslücke)   Advertise on IT Security News.…

Middleboxen: TLS 1.3 soll sich als TLS 1.2 verkleiden

TLS 1.3 kämpft mit Problemen, da viele Middleboxen Verbindungen mit unbekannten Protokollen blockieren. Um das zu verhindern, sollen einige Änderungen dafür sorgen, dass das neue Protokoll wie sein Vorgänger TLS 1.2 aussieht. (TLS, Browser)   Advertise on IT Security News.…

Datenweitergabe: Facebook verliert wieder gegen Verbraucherschützer

Im Streit über die Weitergabe von Nutzerdaten an Drittanbieter hat Facebook auch in zweiter Instanz verloren. Möglicherweise muss nun der Bundesgerichtshof entscheiden. (Facebook, Soziales Netz)   Advertise on IT Security News. Lesen Sie den ganzen Artikel: Datenweitergabe: Facebook verliert wieder…

Security: Malware mit legitimen Zertifikaten weit verbreitet

Aktuelle Forschungen werfen erneut ein schlechtes Licht auf den Umgang mit Zertifikaten. Fast 200 Malware-Proben sind mit legitimen digitalen Unterschriften ausgestattet gewesen. Damit kann die Schadsoftware Prüfungen durch Sicherheitssoftware bestehen. (Security, Virus)   Advertise on IT Security News. Lesen Sie…

Saphira: Compiler-Patches verraten neue Qualcomm-CPU

Qualcomm arbeitet offenbar bereits an einem Nachfolger für seinen 48-Kern-ARM-Chip mit Falkor-Kernen. Die neuen CPU-Kerne heißen Saphira. Sie sind wohl für den Servereinsatz gedacht und bieten eine neue Security-Funktion in der Hardware. (Qualcomm, Prozessor)   Advertise on IT Security News.…

Linux und Mac: Tor-Browser-Exploit verrät IP-Adresse einiger Nutzer

Unter bestimmten Voraussetzungen verrät der Tor-Browser die unverschleierte IP-Adresse der Nutzer. Betroffen sind nur Mac und Linux-Versionen des Firefox-Bundles, in der täglichen Nutzung dürfte der Fehler nur wenige Personen betreffen. (Tor-Netzwerk, Sicherheitslücke)   Advertise on IT Security News. Lesen Sie…