Sicherheit › Nickswriting über Online-Business

Posts tagged “Sicherheit”.

July 4th 2015
by

VMware Workstation: Der Einbruch über Port COM1

VMware Workstation

Über Schwachstellen in VMwares Workstation und Player ist ein vollständiger Zugriff auf das Wirtssystem aus einem Gastsystem heraus möglich. VMware hat bereits Updates veröffentlicht.

Wer in Gastsystemen in VMwares Virtualisierungslösungen Workstation oder Player drucken will, kann dafür einen virtuellen Drucker am Port COM1 nutzen. Mit manipulierten EMF-oder Jpeg200-Dateien kann darüber das Wirtssystem aus dem Gastsystem heraus angegriffen werden, wie Kostya Kortchinsky vom Google Security Team jetzt mitteilte. VMware hat inzwischen die Fehler behoben und eine aktuelle Version seiner Workstation veröffentlicht. Einen Patch gibt es ebenfalls.

Der Fehler liegt in den VMware-Bibliotheken TPView.dll und TPInt.dll, die im Wirtssystem installiert werden. Beide werden von dem Prozess Vprintproxy.exe geladen, der aus dem Gastsystem gesendete Druckaufträge verarbeitet. Speziell manipulierte EMF-Dateien können genutzt werden, um unerlaubte Speicherzugriffe auszulösen.

Updates stehen bereit

Kortchinsky weist darauf hin, dass eine Installation der VMware-Tools in Gastsystemen nicht nötig ist, denn die Angriffe können auch so über den Port COM1 gefahren werden. Die einzige Möglichkeit sich abzusichern besteht darin, den virtuellen Drucker in den Einstellungen zu deaktivieren oder ganz zu entfernen. Der IT-Sicherheitsforscher weist auch darauf hin, dass Vprintproxy.exe lediglich als 32-Bit-Prozess zur Verfügung steht und dass die betroffenen Bibliotheksdateien keine Randomisierung des Speicherlayouts (ASLR) unterstützen.

VMware wurde im März 2015 über die Schwachstellen informiert und veröffentlichte bereits im April 2015 die CVE (Common Vulnerabilities and Exposures) 2015-2336 bis -2340. Jetzt hat VMware die entsprechenden Updates bereitgestellt und Kortchinsky hat gleichzeitig seine Untersuchungen veröffentlicht – samt Exploit.

Repariert wurden die Fehler laut VMware in den Workstation-Versionen 11.1.1 und 10.0.6 sowie im VMware Player in den Versionen 7.1.1 und 6.0.6. In VMwares Horizon Client 3.4.0 und 3.2.1 sowie in der Version 5.4.2 wurde der Fehler ebenfalls behoben. Auch VMware Fusion in den Versionen 7.x und 6.x für Mac OS X sind von einem Problem betroffen, das allerdings in der Interprozesskommunikation RPC liegt. Version 6.0.6 und 7.0.1 beheben diesen Fehler, den der IT-Sicherheitsforscher Dan Kamensky entdeckt hat.

 

Erstmalig veröffentlicht auf:

www.golem.de/news/

June 9th 2015
by

Smartphone-Sicherheit – Smartphone-Lücken selbst stopfen

In vielen Smartphones verstecken sich gefährliche Sicherheitslücken, nicht alle werden von den Herstellern geschlossen. Wir geben Hilfe zur Selbsthilfe

  • Gravierende Sicherheitslücke bei Android können Sie selbst schließen.
  • Auch bei Apples iOS ist Vorsicht geboten.
  • Microsoft-Lücken werden kaum genutzt.

In mehr als der Hälfte aller Android-Geräte klafft eine gravierende Sicherheitslücke. Sie ermöglicht es Hackern unter anderem, E-Mails mitzulesen oder Mobiltelefone mit Googles Betriebssystem sogar fernzusteuern. In Deutschland sind rund 18 Millionen Smartphone-Nutzer von diesem Sicherheitsproblem betroffen.

Und das Schlimmste: Sie werden von Google und den meisten Geräteherstellern im Stich gelassen. Die gefährliche Schwachstelle in Android wird durch WebView verursacht, das in den Versionen 4.3 und älter zum Einsatz kommt. Zahlreiche Apps sowie der Android-Werksbrowser nutzen WebView, um Webseiten oder Werbebanner anzuzeigen.

Die Schnittstelle ist jedoch anfällig für das sogenannte Universal Cross Site Scripting: Eine manipulierte Webseite könnte so etwa die E-Mails des Users mitlesen, wenn dieser bei einem Webmailer eingeloggt ist. Dazu muss er nur auf die Seite des Angreifers surfen. Der Sicherheitsexperte Tod Beardsley hat zudem festgestellt, dass ein Hacker über die Lücke auch vollen Zugriff auf das Gerät bekommen und beispielsweise das Mikrofon oder die Kamera heimlich einschalten könnte. Die Sicherheitslücke, die sich immerhin in knapp 60 Prozent aller aktiven Android-Geräte befindet, lässt sich zwar beheben oder umgehen, aber von Google können die User diesbezüglich keine Hilfe erwarten.

So schützen Sie ihr Smartphone vor dem BKA-Trojaner

Der Konzern argumentiert, man habe das Problem in den Android-Versionen 4.4 und 5.0 behoben und sieht seine Schuldigkeit damit getan. Doch viele ältere Geräte werden nicht mit Updates auf diese Versionen versorgt – auch weil die Hersteller nicht mitziehen. Sie verkaufen lieber neue Smartphones, als alte Geräte mit Updates zu versorgen. Deshalb muss jeder selbst tätig werden. Auch im oft als virenfrei beschriebenen iOS verbergen sich Lücken. Die Sicherheitslage ist zwar nicht so bedenklich wie bei Googles mobilem Betriebssystem, doch auch hier können Nutzer selbst einiges zu ihrer Sicherheit beitragen. Wir geben Hilfe zur Selbsthilfe.

Browser austauschen

Ob Sie beim Surfen mit Ihrem Smartphone gefährdet sind, hängt neben der Version Ihres Betriebssystems auch davon ab, welchen Browser Sie verwenden. In allen Android-Versionen bis 4.3 nutzt der Werksbrowser das lückenhafte WebView, um Seiten darzustellen – und öffnet damit Hackern Tür und Tor.

1 Android-Version checken

Zunächst sollten Sie überprüfen, ob eine der gefährdeten Android- Versionen auf Ihrem Smartphone installiert ist. Unsicher sind alle Versionen von Android 2.2 alias Froyo bis einschließlich 4.3 alias Jelly Bean. In ihnen kommt die anfällige WebView-Komponente WebKit zum Einsatz, auf die unter anderem der Android-Werksbrowser zurückgreift. Erst ab Android 4.4 ist die sichere WebView-Variante Blink verbaut, die Engine des Chrome-Browsers. Sie sollten also auf keinen Fall mit dem Werksbrowser surfen, wenn Sie eine Android-Version bis 4.3 verwenden. Falls Sie nicht auswendig wissen, welche Version auf Ihrem Gerät installiert ist, wechseln Sie in die Systemeinstellungen und tippen auf »Über das Telefon« . Sollte unter dem Eintrag »Android-Version »4.4« oder »5.0« stehen, können. Sie hier zu lesen aufhören: Sie sind sicher. In allen anderen Fällen sollten Sie weiter unserer Anleitung folgen.

2 Hersteller-Update überprüfen

Als Nächstes sollten Sie überprüfen, ob Ihr Gerätehersteller ein Update auf eine sichere Android-Version anbietet. Bleiben Sie dazu im Menü »Über das Telefon« und tippen Sie auf »Online-Aktualisierung «. Sollte das Smartphone keine Aktualisierung finden oder eine Version unter 4.4 als aktuellstes Update verfügbar sein, bleiben Ihnen zwei Optionen, um Ihr System abzusichern: Entweder Sie installieren einen alternativen Browser oder Sie aktualisieren Ihr Gerät manuell mit einem alternativen Betriebssystem. Letzteres ist zwar sicherer, weil es das Problem löst und nicht nur umgeht, aber nicht trivial und für

Anfänger eher ungeeignet. Leichter ist es in jedem Fall, einen Browser zu verwenden, der nicht für die eingangs genannten Sicherheitslücken anfällig ist.

3 Alternativen Browser installieren

Im Prinzip eignet sich jeder Browser mit eigener Engine zur Umgehung der WebView-Lücke. Dazu gehören unter anderem Chrome, Firefox, Opera und Dolphin. Für Chrome gibt es jedoch eine Einschränkung: Google stellt für den Browser keine Updates mehr bereit, wenn er auf Android 4.0.4 oder noch älteren Systemen läuft. Auch Sicherheitsupdates gibt es dann nicht mehr. Wir empfehlen deshalb Firefox, da dieser Browser regelmäßig aktualisiert wird. Installieren können Sie Firefox wie andere Apps über den Google Play Store. Nach der Installation müssen Sie den neuen Browser als Standard definieren, damit Webinhalte künftig immer damit angezeigt werden. Öffnen Sie dazu einen Link, zum Beispiel aus einer E-Mail, setzen Sie im Fenster »Aktion durchführen mit« den Haken neben »Immer für diese Aktion verwenden« und tippen Sie dann auf das Icon des Browsers. Sollte sich statt des Dialogfensters ein Browser öffnen, lesen Sie Schritt 4.

4 Selbst updaten

Wer einen sicheren Browser nutzt, kann zwar die gravierendsten Probleme umgehen, die durch die WebView-Lücke entstehen. Das Problem, dass Werbebanner in Apps dadurch zum potenziellen Einfallstor für Angreifer werden, wir jedoch nicht gelöst, denn die Lücke selbst bleibt bestehen. Sie verschwindet erst durch das Update des Betriebssystems auf Android 4.4 oder höher. Stellt ein Gerätehersteller kein offizielles Update bereit, bleibt noch die Möglichkeit, ein alternatives Android-System – eine sogenanntes Custom-ROM (CR) – auf dem Gerät zu installieren.

Beim Rooten ist Vorsicht geboten. Da CRs permanent von der Entwickler-Community weiterentwickelt werden, sind sie quasi immer auf dem neuesten Stand. Die Installation einer alternativen Android-Version ist jedoch keinesfalls trivial: Der Nutzer braucht dazu volle Administratoren-, also Root-Rechte für sein Gerät. Die Hersteller räumen ihren Kunden diese Rechte jedoch nicht ein – aus gutem Grund: Ein gerootetes Gerät kann von Grund auf modifiziert werden, was im schlimmsten Fall dazu führt, dass das Smartphone oder Tablet nicht mehr funktioniert. Aus diesem Grund verlieren gerootete Geräte auch die Herstellergarantie. In manchen Fällen, wie der WebView-Lücke, bleibt dem Nutzer jedoch keine andere Möglichkeit. Die größte Hürde dabei: Je nach Hersteller und Gerät unterscheiden sich die Rootvorgänge voneinander. Manche Hersteller wie HTC und Sony erleichtern es der Entwickler- Community, andere wie Samsung erschweren das Prozedere enorm, was den Einsatz von Spezialsoftware wie Odin nötig macht. Entwicklerforen bieten Rooting-Hilfe Holen Sie sich am besten Rat in einem Entwicklerforum wie androidhilfe.de oder xda-developers.com. Hier finden sich für die meisten Geräte aktuelle Schritt-für-Schritt-Anleitungen.

Hilfreiche Software wie Rootkits und Backup-Tools finden Sie auf unserer Heft-DVD. Hat man einmal vollen Zugriff, muss im Anschluss eine Custom- Recovery-Software installiert werden, über die letztendlich das CR aufgespielt wird. Aber Vorsicht: Nicht jedes ROM funktioniert mit jeder Recovery. Lesen Sie am besten auch hier in den entsprechenden Foren nach. Da das Gerät bei der Installation eines CRs – oft auch schon beim Rooten – auf den Werkszustand zurückgesetzt wird, sollte man davor unbedingt ein Backup aller wichtigen Daten vornehmen. In der Regel müssen die meisten Schritte bis zur vollständigen Installation eines CRs von Hand durchgeführt werden. Das ist oft langwierig und kompliziert.

 

Für die CR CyanogenMod gibt es jedoch einen Installer, der alle notwendigen Schritte automatisch ausführt – quasi ein Rootkit für jedermann. Das Problem: Der Installer funktioniert nur bei Smartphones aus der Galaxy-Reihe, den Nexus-Geräten und dem HTC One. Wer ein anderes Modell besitzt, muss sich unter wiki. cyanogenmod.org die Installationsanleitung dafür besorgen. Der CyanogenMod empfiehlt sich wegen seiner Benutzerfreundlichkeit besonders für User, die zum ersten Mal ein CR installieren.

iOS-Apps lesen mit

Apple möchte Nutzer gerne glauben machen, dass sein mobiles Betriebssystem iOS keine Sicherheitsrisiken birgt. Deshalb verbannte der iPhone-Hersteller im März alle Antiviren-Apps aus dem App- Store. Begründung: Solche Apps könnten User zu der Vermutung drängen, es gäbe Viren für iOS. Da Apple Anwendungen viel strenger als Google prüft, bevor sie in den App Store gelangen, gibt es zwar fast keine schädlichen Apps für iPhone und iPad. Doch frei von Fehlern ist iOS keineswegs: Mit dem Update auf die neueste Version 8.3 veröffentlichte Apple eine Liste mit knapp 60 Sicherheitslücken, die darin geschlossen wurden – darunter Bugs in der Browser-Engine WebKit, die Angriffe per Remote Code Execution ermöglichen (siehe rechts). Anders als Google verteilt Apple Updates immerhin an die meisten Geräte – auch an ältere: iOS 8.3 läuft auf allen iPhones bis zurück zum dreieinhalb Jahre alten 4S.

Das bedeutet aber auch: Wer kein Update mehr bekommt, muss mit den Sicherheitslücken leben, oder sich ein neues Modell kaufen. Es ist zwar möglich, ein iPhone zu rooten – bei Apple-Geräten wird dieser Vorgang Jailbreak genannt. Das ermöglicht es aber lediglich, Apps zu installieren, die nicht über den offiziellen Store vertrieben werden. Weil solche Apps jedoch nicht von Apple überprüft werden, ist gerade hier die Gefahr groß, sich eine gefährliche Anwendung auf das Telefon zu holen. Doch auch legitime Apps können ein Risiko darstellen, wie der iOS-Entwickler Craig Hockenberry herausgefunden hat. Ähnlich wie bei Android macht auch bei iOS WebView Probleme, eine Systemkomponente, über die Apps Webinhalte anzeigen. Apple nutzt jedoch eine weniger gefährdete Version der dahinterliegenden Engine WebKit als Google. Bei der Darstellung von Webseiten erhalten Apps über WebView Zugriff auf Formulardaten wie Benutzername und Passwort und können diese theoretisch auch weitergeben. Hockenberry empfiehlt deshalb, sensible Daten nur in Safari einzugeben.

Windows mobil sicher

Zur Sicherheit bei Windows Phone gibt es im Grunde wenig zu sagen. Nur so viel: Bislang bekannte Lücken werden praktisch nicht ausgenutzt. Der Hauptgrund dafür ist die geringe Verbreitung des Betriebssystems: In Deutschland kommt Windows Phone nur auf einen Marktanteil von knapp 2,5 Prozent, weltweit noch weniger. Das macht dieses System für Hacker schlichtweg uninteressant. Ein anderer Grund liegt in den hohen Sicherheitsauflagen, die an Anwendungen gestellt werden: „Microsoft kontrolliert Apps sogar strenger als Apple“, erklärt Sicherheitsexperte Mike Morgenstern von AV-Test. Hinzu kommt, dass anders als auf dem Desktop Prozesse bei Windows Phone sehr eingeschränkt laufen: „Auch wenn jemand Zugriff auf eine App bekäme, könnte er noch lange nicht das System selbst angreifen“, so Morgenstern. Da Microsoft seine Mobilgeräte zudem regelmäßig mit Updates versorgt, ist Windows Phone für sicherheitsbewusste Smartphone-Nutzer eine gute Wahl.

Von:

http://www.focus.de

February 10th 2015
by

Blackphone: Schwerer Fehler in der Messaging-App Silenttext

Blackphone

Über einen schwerwiegenden Fehler in der Messaging-Applikation Silenttext von Silent Circle könnten sich Angreifer Zugriff auf fremde Blackphones verschaffen. Die Sicherheitslücke befindet sich auch in der App für Android.

In der Messaging-App Silenttext auf dem Blackphone ist ein schwerwiegender Fehler entdeckt worden, der es Angreifern erlaubt, Nachrichten zu entschlüsseln und im schlimmsten Fall sich sogar Zugriff auf das gesamte Smartphone zu verschaffen. Der Fehler ist auch in der Silenttext-App für Android vorhanden. Er wurde inzwischen behoben und Updates für das Blackphone und für die App im Play Store stehen bereit.

Bei der Schwachstelle handelt es sich um einen Speicherzugriffsfehler, über den Angreifer beliebigen Code einschleusen können. Dazu muss nur die Silent-Circle-ID beziehungsweise die Telefonnummer des Opfers bekannt sein. Die Lücke lässt sich auch ohne Zutun des Opfers ausnutzen. Zunächst lässt sich der eingeschleuste Code nur im Kontext der App ausführen. Damit können aber ein- und ausgehende Nachrichten entschlüsselt werden, Standortdaten abgegriffen und Kontakte ausgelesen werden. Auch Schreibzugriffe auf den Flashspeicher sind möglich. Außerdem könnten Angreifer Exploit-Code ausführen, der ihnen möglicherweise Root-Rechte auf das Smartphone verschafft.

Datentypenverwechslung

Die Sicherheitslücke lässt sich durch eine manipulierte Nachricht auslösen, die über das von Silent Circle verwendete Instant Messaging Protocol (SCIMP) versendet wird. Durch einen Fehler in der Bibliothek Libscimp können Angreifer den integrierten JSON-Parser YAJL (Yet Another JSON Parser) nutzen, um eigenen Code in den Arbeitsspeicher einzuschleusen. Dabei lässt sich eine sogenannte Type-Confusion-Lücke ausnutzen, bei der der Parser zwei verschiedene Datentypen verwechselt. Dadurch lässt sich unerlaubt auf Speicherbereiche zugreifen.

Eine detaillierte Beschreibung der Lücke hat der Datenexperte Mark Dowd in seinem Blog veröffentlicht. Er hatte den Fehler entdeckt und zuvor Silent Circle darüber informiert.

 

Erstmals erschienen auf:

http://www.golem.de/news/

December 20th 2014
by

SSLv3: Kaspersky-Software hebelt Schutz vor Poodle-Lücke aus

 

SSLv3

Das Paket Kaspersky Internet Security kann auch bei Browsern, die unsichere Verbindungen per SSLv3 nicht unterstützen, das veraltete Protokoll dennoch aktivieren. Patchen will das der Hersteller erst 2015, es gibt aber schon jetzt eine einfache Lösung.

Selbst wenn ein Browser wie der aktuelle Firefox 34 und die nächste Version 40 von Chrome SSLv3 nicht mehr nutzt, kann darüber dennoch eine Verbindung hergestellt werden. Dies berichtet Heise Online, nachdem ein Leser die Redaktion darauf aufmerksam gemacht hatte. Die Kollegen konnten das Problem nachstellen, es liegt daran, wie Kaspersky Internet Security funktioniert.

Das Programm arbeitete wie ein Man-in-the-middle: Ist die Funktion “Sichere Verbindungen untersuchen” in der Kaspersky-Software eingeschaltet, so kommuniziert der Browser nicht mehr direkt mit einem Server, sondern mit dem vermeintlichen Schutzprogramm. Dieses stellt selbst dann eine SSLv3-Verbindung her, auch wenn dieses Protokoll im Browser ausgeschaltet ist.

Das ist problematisch, weil die Verbindung dann über die Poodle-Lücke angreifbar ist. Eine vermeintlich verschlüsselte SSL-Verbindung ist durch Poodle angreifbar, deshalb entfernen die Browserhersteller derzeit auch das veraltete SSLv3 aus ihren Programmen. Die Kaspersky-Software fügt diese Funktion nun unnötigerweise wieder hinzu.

Der russische Antivirenhersteller bestätigte Heise Online das Problem und will sein Produkt patchen – aber erst im ersten Quartal 2015. Im Supportforum von Kaspersky heißt es sogar, ein Rechner sei nur durch Poodle angreifbar, wenn er ohnehin schon kompromittiert sei. Und eine Man-in-the-Middle-Attacke würde das Kaspersky-Programm sowieso abfangen – ein schwaches Sicherheitsversprechen.

Wer Kaspersky Internet Security also bis zu einem Patch weiterhin einsetzen will, sollte die Option “Sichere Verbindungen untersuchen” vorerst abschalten und seinem Browser SSLv3-Verbindungen verbieten.

Link zur Homepage:

www.golem.de/

December 20th 2014
by

SSLv3: Kaspersky-Software hebelt Schutz vor Poodle-Lücke aus

 

SSLv3

Das Paket Kaspersky Internet Security kann auch bei Browsern, die unsichere Verbindungen per SSLv3 nicht unterstützen, das veraltete Protokoll dennoch aktivieren. Patchen will das der Hersteller erst 2015, es gibt aber schon jetzt eine einfache Lösung.

Selbst wenn ein Browser wie der aktuelle Firefox 34 und die nächste Version 40 von Chrome SSLv3 nicht mehr nutzt, kann darüber dennoch eine Verbindung hergestellt werden. Dies berichtet Heise Online, nachdem ein Leser die Redaktion darauf aufmerksam gemacht hatte. Die Kollegen konnten das Problem nachstellen, es liegt daran, wie Kaspersky Internet Security funktioniert.

Das Programm arbeitete wie ein Man-in-the-middle: Ist die Funktion “Sichere Verbindungen untersuchen” in der Kaspersky-Software eingeschaltet, so kommuniziert der Browser nicht mehr direkt mit einem Server, sondern mit dem vermeintlichen Schutzprogramm. Dieses stellt selbst dann eine SSLv3-Verbindung her, auch wenn dieses Protokoll im Browser ausgeschaltet ist.

Das ist problematisch, weil die Verbindung dann über die Poodle-Lücke angreifbar ist. Eine vermeintlich verschlüsselte SSL-Verbindung ist durch Poodle angreifbar, deshalb entfernen die Browserhersteller derzeit auch das veraltete SSLv3 aus ihren Programmen. Die Kaspersky-Software fügt diese Funktion nun unnötigerweise wieder hinzu.

Der russische Antivirenhersteller bestätigte Heise Online das Problem und will sein Produkt patchen – aber erst im ersten Quartal 2015. Im Supportforum von Kaspersky heißt es sogar, ein Rechner sei nur durch Poodle angreifbar, wenn er ohnehin schon kompromittiert sei. Und eine Man-in-the-Middle-Attacke würde das Kaspersky-Programm sowieso abfangen – ein schwaches Sicherheitsversprechen.

Wer Kaspersky Internet Security also bis zu einem Patch weiterhin einsetzen will, sollte die Option “Sichere Verbindungen untersuchen” vorerst abschalten und seinem Browser SSLv3-Verbindungen verbieten.

Link zur Homepage:

www.golem.de/

July 4th 2014
by

Sicherheitslücke: BSI sieht keine Gefahr durch Heartbleed mehr

Heartbleed gilt als eine der gravierendsten Sicherheitslücken in der Geschichte des Internets. Einen Monat danach scheint die Gefahr größtenteils gebannt zu sein, auch wenn noch nicht alle Betroffenen reagiert haben.

Einen Monat nach Bekanntwerden der Sicherheitslücke Heartbleed hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) Entwarnung gegeben. Laut BSI haben die wichtigsten Websites inzwischen reagiert und die Sicherheitslücke geschlossen, die durch einen Fehler in der Verschlüsselungs-Software OpenSSL entstand.

So optimistisch zeigen sich allerdings nicht alle Experten: Laut Erratasec, einem Dienstleister für Internetsicherheit, sind weltweit immer noch mehr als 300.000 Webseiten unsicher. Auch nach Angaben von Netcraft haben noch nicht einmal die Hälfte der betroffenen Websites neue Zertifikate. Sie wären damit immer noch anfällig für einen Angriff, durch den ein Angreifer alles mitlesen kann, was über eine vermeintlich sichere Verbindung geschickt wird, zum Beispiel Passwörter für Onlinebanking.

Das Problem: Der Fehler in der Kryptografiesoftware OpenSSL war zwar schnell behoben, doch reicht es nicht, wenn ein Website-Betreiber nur die fehlerhafte Software austauscht. Denn über den Heartbleed-Fehler lassen sich die privaten kryptografischen Schlüssel des Servers auslesen. Die Schlüssel wiederum werden in Zertifikate integriert. Diese werden in Browsern oder E-Mail-Programmen der Anwender gespeichert, um einen verschlüsselten Zugang zu verifizieren.

Kein funktionierendes System zur Überprüfung von Zertifikaten

Administratoren betroffener Websites oder E-Mail-Anbieter müssen zunächst die fehlerhafte OpenSSL-Software austauschen, neue Schlüssel und damit neue Zertifikate erstellen. Schließlich müssen die alten Zertifikate zurückgezogen und damit für ungültig erklärt werden. Denn sonst besteht laut BSI die Gefahr, dass ein “Täter, der den SSL-Schlüssel erlangt hat, eine gefälschte Webseite aufsetzt, Opfer dort hinlockt und vorgaukeln kann, es handele sich um die echte, abgesicherte Seite”. Der Aufwand ist also nicht unerheblich.

Zertifikatsprüfung weitgehend nutzlos

“Der Zertifikatswechsel ist aber leider auch nur als symbolischer Akt zu sehen, da widerrufene Zertifikate in den meisten Browsern zu keiner Warnung führen. Ist der SSL-Schlüssel einer Webseite also erlangt worden, bleibt die Gefahr von Man-in-the-Middle-Angriffen bestehen”, heißt es vom BSI.

Es gebe gegenwärtig ohnehin kein funktionierendes System, mit dem Zertifikate überprüft werden könnten, sagt auch der Kryptografie-Experte und Golem.de-Autor Hanno Böck. Einige Browser überprüften zwar die Gültigkeit der Zertifikate, aber die Prüfung sei weitgehend nutzlos, weil sie bei einem gezielten Angriff verhindert werden könne, so dass das Zertifikat trotzdem akzeptiert werde.

Der Betreiber einer betroffenen Website oder ein E-Mail-Anbieter muss seine Kunden informieren und ihnen nahelegen, ihre Kennwörter zu ändern. Viele große Anbieter hätten das auch getan, “schon allein, um eventuelle Haftungsfragen auszuschließen”, teilte das BSI mit.

Hacker hatten keine Zeit, die Sicherheitslücke zu nutzen

Nach geltendem Datenschutzrecht müssen Einbrüche bei Plattformen, bei denen Daten gestohlen wurden, den Datenschutzbehörden gemeldet werden. Andernfalls drohen Bußgelder von bis zu 300.000 Euro. “Dem BSI wurden keine Vorfälle aus Deutschland gemeldet”, hieß es aus der Behörde. Auch große Internetkonzerne wie Google mit seinem E-Mail-Dienst Gmail gaben zwar an, von dem Heartbleed-Fehler betroffen zu sein. Dort waren die Lücken laut Google jedoch schon geschlossen, bevor die Heartbleed-Lücke öffentlich bekanntwurde. Google-Mitarbeiter hatten den Fehler gleichzeitig mit zwei unabhängigen Experten entdeckt.

Möglicherweise führte die massive Aufmerksamkeit zu einer so raschen Reaktion der meisten Betroffenen, dass potentielle Angreifer kaum Zeit hatten, die Sicherheitslücke effizient auszunutzen. Der einzige bekannte Fall ist der eines kanadischen Hackers, der sich über die Heartbleed-Lücke Zutritt zu Finanzbehörden verschaffte. Er wurde kurz darauf verhaftet.

Dennoch gibt es immer noch Grund zur Vorsicht: Vor allem über Links in Spam-Mails können Anwender auf gefälschte Websites gelangen, die mit bereits ungültigen Zertifikaten vom Browser als vertrauenswürdig eingestuft werden. Vermeintlich gesicherte Websites sollten beim ersten Besuch genau betrachtet werden, oft sind dort Unregelmäßigkeiten erkennbar, etwa sprachliche Fehler.

Nach Einschätzung des BSI ist die Gefahr beim Thema Heartbleed größtenteils gebannt. Erfahrungsgemäß bleibe zwar immer ein gewisser Prozentsatz an nicht aktualisierten Seiten übrig, man rechne jedoch nicht mehr mit massiven Fällen, hieß es von der Behörde.

 

Siehe hier:

www.golem.de/

April 16th 2014
by

EMV-System: Auch die neuen EC-Karten sind anfällig für Betrug

Bei EC-Karten hatten Betrüger bisher oft ein leichtes Spiel. Ein neuer Chip soll “Skimming-Attacken” bei EC-Kartenzahlungen unmöglich machen. Experten zweifeln daran und sehen Lücken im System. Von Danny Dewitz

Betrüger hatten mit EC-Karten früher leichtes Spiel: Da die wichtigsten Kartendaten ungeschützt auf dem Magnetstreifen gespeichert waren, ließen sie sich mit einer kleinen Manipulation am Geldautomaten abfangen. Diese Methode wurde unter dem Namen “Skimming” (“Abschöpfen”) bekannt. read more »

April 16th 2014
by

Mobile Malware: Kaspersky: Android erleidet Windows-Schicksal

Besonders auf Kontakte, SMS, GPS-Daten und Fotos haben Android-Schädlinge abgesehen, warnt Kaspersky. Die Google-Plattform wird Top-Ziel für Attacken.

Die Warnungen der Security-Anbieter häufen sich, ob von Symantec, Bitdefender oder jetzt wieder Kaspersky Lab: Das mobile Betriebssystem Android mausert sich zum Top-Ziel der Cyberkriminellen. “Mittlerweile vereint Android mehr als 46 Prozent der mobilen Schadprogramme auf sich, Tendenz steigend”, heißt es in einer Mitteilung der russischen Malware-Bekämpfer. Allein im September stieg die Anzahl an neuer Android-Malware um 30 Prozent.

Besonders scheinen es die Angreifer auf Informationen abgesehen haben. Nach Kaspersky-Analysen stehlen 34 Prozent, also ein gutes Drittel, persönliche Daten. “Ein alarmierender Trend, wenn man bedenkt, dass derartig verseuchte Apps bereits im offiziellen Android Market aufgetaucht sind.” read more »

April 15th 2014
by

Wikileaks – Assange: Anonymous ist vom FBI unterwandert

Julian Assange, der nach wie vor in der ecuadorianischen Botschaft in London festsitzt, hat sich gegen die Anschuldigungen von Anonymous zur Wehr gesetzt. In einem Statement bezichtigt er die Hacker-Gruppierung, vom FBI unterwandert zu sein.

Solidaritäts-Abhandlung

“Grundsätzliche Solidarität bei Wikileaks und Anonymous” heißt das auf Twitlonger einsehbare Dokument. “Gruppierungen, die als Einheit arbeiten, florieren und jene, die das nicht tun, werden zerstört und ersetzt”, leitet Assange den Brief ein. Nach einer Abhandlung über Solidarität verweist er schließlich auf den Fall “Sabu”. read more »