Werbung

IT & IT-Security

Diese Seite beschäftigt sich mit eher technischen Themen zu Computer, IT, IT-Security.

Neu: 2014-04-17:

[17:40] Leserzuschrift:

Zugegeben, ich werde langsam paranoid! Aber! Seit NSA sollte klar sein dass wir Goldbugs, zumindesten die auf Hartgeld kommunizieren, auf dem Radar sind...
Please prepare for bad surprises, specialy from 3:00 to 5:00


Neu: 2014-04-15:

[17:30] Der Crypolocker geht um: So hat der Erpresser-Virus keine Chance

[16:15] Focus: Google scannt die Mails seiner Nutzer systematisch

Viele Nutzer von Googles Maildienst hatten es bereits vermutet: Google scannt Nachrichten, um daraus passende Werbeanzeigen zu schalten. Jetzt kommt die Bestätigung von Google: Sie versteckt sich hinter einer kleinen Änderung der Nutzungsbedingungen.

An und für sich ist das harmlos, da es nur um Werbung geht. Aber wer weiss, ob nicht bestimmte Mails zu Geheimdiensten weitergehen.

In eigener Sache: ich selbst verwende Gmail nicht, eben wegen dieser Werbung. Einen Google-Account, der auch Google+ einschliesst, muss ich haben, um Google Werbung zu verwenden. Es kommen immer wieder Einladungen auf Twitter, Google+, Facebook, LinkedIn, usw. Diese werden alle nicht beantwortet - Zeit- und Sicherheitsgründe.WE.

PS: Google+ kann man sehr gut zum Hochladen von Fotos aus Android-Handies verwenden, man braucht kein USB-Kabel und kein Programm am PC dafür. Nach dem Hochladen auf Google+ einfach vom PC dort einsteigen, die Bilder runterladen und auf Google+ löschen.
 

[10:08] DWN: Cyber-War: „Deutschland ist ein Angriffsziel"

Deutschland ist nach Auffassung von Nato-Experten ein wichtiges Angriffsziel im Cyber-Krieg. Der Regisseur Marcel Kolvenbach hat herausgefunden, dass Deutschland jedoch nur unzureichend gerüstet ist. Im Vergleich zu High-Tech-Staaten wie Israel hat Deutschland zehn Jahre Rückstand. Das kann vor allem für die Stromversorgung kritisch werden.


Neu: 2014-04-12:

[9:45] Heise: So funktioniert der Heartbleed-Exploit


Neu: 2014-04-11:

[10:30] Zu Open-SSL: Riesen-Sicherheitslücke war nur ein Fehler

Es gibt keine Software ohne Bugs.

[11:30] Leserkommentar von einem Unix-Admin:

Der Heartbleed-Bug ist ein SuperGAU. Auf einer Skala von 0-10 ganz klar mit einer 11 zu versehen.
Dieser Bug in einer einzigen Datei ermöglicht Angreifern, allen Server-Diensten, die SSL-Verschlüsselung anbieten, einen 64kB-Datenblock aus dem Serverspeicher auszulesen. Dieser Block ist zwar zufällig, und vom Angreifer nicht beeinflussbar, aber beliebig oft wiederholbar, und völlig frei von Spuren.
Konkret bedeutet das: Alle Server, die https (Banken usw.), imaps (Email-Provider), ftps (Firmen, Filetransfers) und viele weitere Dienste anbieten, sind betroffen.

Ausgelesen werden kann damit, entweder mit viel Glück oder viel Geduld:
SSL-Zertifikate (falsche Webseiten können sich als die richtigen ausgeben), User-Passworte, Zugänge u.s.w Desweiteren ist mit den erhaltenen Daten das Entschlüsseln dieser Verbindungen möglich. Hat jemand den Datenverkehr über Monate mitgeschnitten, konnte er bisher mit den Daten nichts anfangen. Mit Erhalt des Keys über diese Lücke können nun alle Daten rückwirkend Entschlüsselt werden.

Das IST der SuperGAU, eine schlimmere Sicherheitslücke ist eigentlich nicht vorstellbar. Daß der Fehler über 2 Jahre trotz review und Change-Logs nicht entdeckt wurde, sollte eigentlich unmöglich sein. Hier sind noch einige Fragen offen, wie das überhaupt passieren konnte.
Auch das Hartgeld-Team sollte kritische Fragen an den Serverhoster stellen, und sämtliche Passworte mit Administrator-Rechten ändern. Diese Lücke betrifft alle, und sie ist sehr leicht ausnutzbar.

Als früherer Programmierer muss ich sagen, dass das Auslesen beliebiger 64KB Speicherblöcke (mehr erlaubt TCP/IP nicht) zwar Daten bringt, aber nicht unbedingt die Private Key des Zertifikates. Man müsste in den ausgelesenen Blöcken nach der Signatur davon suchen.WE.

[12:30] Leserkommentar-CH:
Das stimmt, allerding ist der Anriff wie gesagt beliebig oft, und ohne Spuren wiederholbar. Hunderte, auch parallele Abfragen pro Sekunde werden nicht bemerkt.
Und das Auffinden von Klartext-Loginnamen und Klartext-Passworten (die sich vor dem Hashen so im Hauptspeicher befinden) ist kaum ein Problem.
Entweder manuell (Existierende, Userfreundliche Namen finden sich schnell im Text-Chaos), oder per Wörterbuch automatisiert.
Die Gefahr, den Private-Key der SSL-Verschlüsselung zu bekommen und zu erkennen, mag gering sein. Die Gefährdung von User-Passworten ist allerdings sehr hoch!


Neu: 2014-04-10:

[16:30] Einmal etwas Vernünftiges vom EuGH: Keine Abgabe auf Raubkopien: "Die Festplattenabgabe ist hinfällig"


Neu: 2014-04-09:

[16:45] 20min: E-Banking ist in den nächsten 48 Stunden tabu

Diese Nachricht hat eingeschlagen wie eine Bombe: Der Bug namens Heartbleed ist eine Art Super-Gau für Systemadministratoren und bringt derzeit IT-Spezialisten rund um den Globus zum Hyperventilieren. Der Grund: Das blutende Herz gefährdet bisher als sicher angesehene verschlüsselte Verbindungen über OpenSSL.

[17:55] Leserkommentar-DE zum Virus:

Ist ja seltsam, angeblich schichten da Notenbanken Währungsreserven um (raus aus dem Dollar), ÖL wird gegen alles andere als Dollar gehandelt, morgen ist G20 Treff und jetzt wird vor einem seit 2Jahren bekannten Virus gewarnt und dringend empfohlen nix mehr zu überweisen ?

[18:00] Dieser Artikel dürfte eine totale Übertreibung sein. Eher sind Geheimdienste eine Gefahr.WE.

[18:57] Der Stratege zum Herzerlblut:

Das ganze ist in der Tat eine kritische Lücke auf "einigen" Servern. ein Grund um zu Hyperventilieren wie in diesem Artikel, ist es jedoch nicht.
Man muss lediglich ein Update auf OpenSSL 1.0.1g einspielen und ggf.
vorsorglich das TLS-Zertifikat neu erzeugen. Panik ist ansonsten nicht angebracht und selbst wenn jemand durch diese Lücke die Zugangsdaten zu einem Konto ausgespäht hat, ohne TAN geht dort nichts, zumindest kann nichts gestohlen werden. Das ganze ist wieder eine von den Medien hochgehypte Aktion, wie die Weltuntergangsangst bezüglich des Supportendes bei Windows XP. P.S.: Die Angstmacherei vor dem Supportende bei Windows XP kommt imho aus der Marketingabteilung von Microsoft – fear sells.


Neu: 2014-04-07:

[13:10] BSI-Sicherheitstest

[13:00] Für Regierungen gibt es eine Verlängerung: Millionen-Deal mit Microsoft: Großbritannien und Niederlande halten Windows XP am Leben

Die britische und die niederländische Regierung haben laut "The Telegraph" und der niederländischen Tech-Nachrichtenseite "Webwereld" millionenschwere Service-Verträge mit Microsoft geschlossen, um Windows XP und andere Microsoft-Produkte für ein weiteres Jahr am Leben zu erhalten.

Nachdem die Entwickler bei Microsoft weiterarbeiten, könnte man es auch allen XP-Usern anbieten. Das Wartungs-Ende für XP dürfte daher primär marketing-getrieben sein. Man möchte das unbrauchbare Win8 puschen. MS soll lieber erst einmal Win9 festigstellen, bevor der XP-Support beendet wird.WE.
 

[08:25] Standard: Netzsperren - und wie man sie umgeht

Solche Sperren sollen nun auch hierzulande von Providern eingesetzt werden, um den Zugriff auf Streamingportale zu verhindern. Dies entschied vergangene Woche der Europäische Gerichtshof, nachdem zwei Filmproduktionsfirmen den österreichischen Internetanbieter UPC geklagt hatten. Sie wollten den Provider dazu verpflichten, eine Website zu sperren, auf der urheberrechtlich geschützte Filme gestreamt werden konnten. Der EuGH gab ihnen recht, Provider setzen nun auch DNS-Filter ein, wenn sie von Urhebern dazu aufgefordert werden. Bisher waren solche Filter schon im Kampf gegen Terrorismus und Kinderpornografie im Einsatz, etwa in Schweden.

Der "Schutz" des Urheberrechtes wird zunehmends dazu verwendet, den Bürger Netzreiheit zu nehmen! Alles für die Konzerne - nichts für die Bürger! TB

 

 

Seitenauslagerung, alte Inhalte finden Sie im Archiv