Auflistung aller Beiträge aus der Kategorie

Szene

Und ewig werden die Boten verteufelt – warum bloß?

Einst schickte König Karl seinen Boten zu König Otto um diesem den Krieg zu erklären. Als König Otto die Kriegserklärung aus dem Mund des Boten hörte, war er so erbost, dass er den Boten kurzerhand in den Kerker werfen ließ. Am liebsten hätte er ihn an Ort und stelle geköpft. Pech für den Boten.

Dieses Bild vom glücklosen Boten taucht einem stets vorm inneren Auge auf, wenn jemand für das Verkünden einer schlechten Nachricht verteufelt wird. Bei Sicherheitsexperten geht das mittlerweile so weit, dass man ihnen droht, sie ins Gefängnis zu werfen – ganz wie bei König Karl und König Otto.

Heise berichtet davon, dass der Italiener Raoul Chiesa einen Vortrag über die Sicherheit von Bankautomaten auf der Sicherheitskonferenz Hack In The Box zurückziehen musste. Er wollte in seinem Vortrag “The Underground Economy” darlegen, wie Kriminelle mit Sicherheitslücken in Bankautomaten Geld ergaunern. Offenbar hatte er zuvor die Hersteller informiert. Statt jedoch die Schwachstellen in den Automaten zu schließen, wurde Chiesa mit einer Festnahme gedroht.

Wie schon gesagt: Pech für den Boten.

International Security Awareness Workference: secAware 2010

Technik allein ist angesichts der modernen Lebens- und Arbeitswelt mit ihrem immer freieren und unvorhersagbaren Kommunikationsverhalten zunehmend machtlos. Der Anwender muss einen Teil der Verantwortung selber tragen, aber dazu fehlt ihm heute meist noch das Wissen und Können. Mit dieser Herausforderung setzen sich Security-Awareness-Programme auseinander. Auf der secAware erfahren Sie, wie Sie schützenswerte Abläufe und Informationen erkennen und wie Sie die Menschen in Ihrer Organisation für deren Schutz aktivieren. Die 2. secAware findet am 29. und 30. September 2010 in Frankfurt am Main statt. Ich werde auf der Veranstaltung mit einem Vortrag vertreten sein: “Sicherheitsziele erfolgreich kommunizieren“. Das vollständige Programm als PDF finden Sie auf der Webseite der secAware 2010.

Keine Angst vor unbekannten Webseiten

Früher war die Grenze zwischen Gut und Böse klar. Wer auf unbekannten Webseiten surfte, der durfte sich hinterher nicht beschweren, wenn er sich irgendwelche Schadsoftware eingefangen hatte. Nun titelt Heise: “Trojaner-Angriffe fast nur noch über legitime Webseiten.” Demnach werden die PCs von Internet-Anwendern offenbar fast nur noch über gehackte Webauftritte seriöser Anbieter angegriffen. Das betrifft bei weitem nicht nur kleine Webseiten, sondern auch größere Fische wie das Handelsblatt oder die ZEIT. Der Antivirenhersteller Avast berichtet, dass auf jede infizierte Erwachsenenseite 99 infizierte normale Seiten kommen und der Antivirenhersteller Symantec berichtet, dass der Anteil der legitimen Seiten von 80 Prozent im Jahre 2009 auf 90 Prozent in diesem Jahr gestiegen sei.

Russisches Agentennetz in den USA ausgehoben

Fast wie im  Kalten Krieg – nur moderner und besser ausgerüstet. In den USA haben Ermittler ein Netz von zehn Agenten ausgehoben, die für Russland spioniert haben sollen. Alle zehn stehen unter dem Verdacht als Agent tätig gewesen zu sein bzw. Agenten angeworben zu haben. Geldwäsche gehört auch zu den Anklagepunkten. Die Verdächtigen sollen zum Teil seit den 90er-Jahren für Russland arbeiten. Mehr Informationen z.B auf Welt-Online.

Malware-Programmierer hinterlassen Fingerabdrücke

darkREADING berichtet, dass Greg Hoglund (HBGary) in den Files der Aurora-Atacke digitale Fingerabdrücke gefunden habe. Die Ergebnisse sollen auf der nächsten Black Hat Konferenz im Juĺi vorgestellt werden.

Bitkom und Forsa liefern neue Passwort-Prozente

Zuletzt veröffentlichte der Branchenverband Bitkom eine Passwort-Studie, wonach 37 Prozent der Befragten ihre Passwörter an andere weitergeben.

“Viele Menschen geben ihre Passwörter weiter, weil sie befürchten, sie selbst zu vergessen – ähnlich wie den Haustürschlüssel, den man sicherheitshalber in der Nachbarschaft hinterlegt..”

Das war damals die ebenso überraschende wie wenig überzeugende Interpretation der Studie. Diesmal lautet die wichtigste Erkenntnis der Studie:

“Deutsche sind ihren Passwörtern zu treu

  • 40 Prozent ändern ihre wichtigsten Zugangscodes nie freiwillig
  • Frauen argloser als Männer, Jüngere verhalten sich vergleichsweise vernünftig”

Nach der überraschenden Interpretation bleibt die Bitkom diesmal auf dem Teppich. Schade eigentlich…

Malware mit VeriSign Zertifikat

Eigentlich dient Authenticode in Windows Betriebssystemen dazu, Software zu Unterschreiben und zu Prüfen. Üblicherweise bringen Anwender und Systemadministratoren digital signierter Software mehr Vertrauen entgegen als nicht signierter. Ist eine Software nicht digital signiert, schlägt Windows Alarm. In den 64-Bit-Versionen von Windows 7 und Vista ist die Installation eines nicht signierten Treibers ganz unmöglich.Auch nicht, wenn der Anwender zustimmt.

Sophos berichtet jetzt von Malware, die auf Windows-Systemen von den Virenautoren gefälschte Root-Zertfikate von VeriSign installiert. F-Secure hat sich ebenfalls des Themas angenommen und berichtet ebenfalls von zertifizierter Malware. Als Sicherheitsmaßnahme eignet sich Authenticode also nur noch bedingt.

SPAM auf den Drucker

HP bietet die Möglichkeit an beispielsweise mit dem iPhone auf dem häuslichen Drucker auszudrucken. Das ganze funktioniert über eine E-Mailadresse eines sogenannten ePrint-Druckers. Bruce Schneier meint dazu:

“Vielleicht wurde diese Funktion mit der nötigen Sicherheit entwickelt, aber ich wette nicht darauf. Die ersten Leute, die das System hacken werden, sind sicher die Spammer (für Jahre hatte ich mehr SPAM auf meinem Fax als echte Faxe). Und warum sollte HP das SPAM-Problem fixen, wenn es ihnen ermöglicht überteuerte Tintenpatronen schneller zu verkaufen?*

* Keine offiziellen Übersetzungen aus dem Englischen. Die Original-Zitate finden Sie über die angegebenen Links oder in der englischen Version.

WordPress 3.0 “Thelonious” ohne nennenswerte Sicherheitsupdates

Von 1218 Bugfixes und Änderungen in der neuen WordPress-Version 3.0 betreffen nur 14 Security-Bugs. Keines davon wirklich schlimm. Die XSS-Schwachstelle in wp-admin/options.php wurde bereits mit Version 2.9.2 behoben. Ein Update ist daher nicht zwingend für alle WordPress-Nutzer, sondern hängt vom Einzelfall ab. Wenn Sie das Theme Twenty Ten verwenden, sollten Sie zum Beispiel updaten. Die Security-Bugfixes sind:

#11767 activate_sitewide_plugin() uses insufficiently sanitized user input

#11774 in ms-edit.php, WPLANG site option gets updated without any validation

#11775 in ms-edit.php, illegal_names gets updated without the slightest validation

#11777 ms-edit.php / addblog action improperly sanitizes domains

#11779 ms-edit.php creates garbage data for anything that is potentially affected by addslashes() and is on the whole completely unsanitized

#11782 improperly sanitized attributes in ms-options.php and ms-sites.php

#11802 too many caps for non super admins

#12284 I/O Sanity Failures With Invalid HTML Entity References

#12417 XSS in wp-admin/options.php (bereits seit 2.9.2 behoben)

#12781 Minor XSS issue in Twenty Ten theme

#12999 Viewing unattached attachments results in 404

#13000 delete_themes and delete_plugins caps do not obey DISALLOW_FILE_EDIT

#10914 Allow RTSP and MMS protocols in KSES

#12159 Define random keys and salts during setup-config.php

Am 13. Juli endet der Support für diverse Microsoft-Produkte

Am 13. Juli 2010 endet wie angekündigt der Support für diverse Microsoft-Produkte (Heise berichtet). Folgende Produkte sind demnach betroffen:

  1. Windows XP (32 Bit) Service Pack 2. Das gilt nur für das SP nicht für XP selbst! SP 3 wird weiter unterstützt.
  2. Alle Versionen des Windows Server 2003. Ab dann stellt Microsoft nur noch Patches für sicherheitskritische Lücken bereit. Das allerdings noch bis zum 14. Juli 2015.