IT-Sicherheit

21

Staatstrojaner für den Masseneinsatz soll heimlich durchgepaukt werden

Wie Netzpolitik & Heise ausführen, führt der Überwachungswahn der großen Koalition aus CDU/CSU und SPD in Deutschland nunmehr dazu, das der eigentlich vom Verfassungsgericht schon vor Jahren weitgehend untersagte Staatstrojaner nunmehr in gröberer Form auch für die Verfolgung alltäglicher Kriminalität durchgeboxt werden soll. Die zum Ende der Woche zu erwartende Bundestagsabstimmung hierzu ist wegen der Fraktionsdisziplin nur noch Formsache, die Zustimmung des Bundesrats ist aufgrund eines verfahrenstechnischen Tricks nicht erforderlich. Wie dies am Verfassungsgericht vorbeizubringen sein soll, hat man sich allerdings augenscheinlich noch keine Gedanken gemacht – dabei sind die seinerzeitigen Vorgaben derart klar gefaßt, das insbesondere die Ausweitung des Straftaten-Katalogs als völlig utopisch erscheint. Denn im Jahr 2008 hatte das Bundesverfassungsgericht unter Vorlage des seinerzeitigen Bundestrojaners ein "Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme" definiert, welches nur in Fällen, wo "überragend wichtige Rechtsgüter" wie Menschenleben oder der Bestand des Staates konkret und aktuell gefährdet sind, durchbrochen werden darf.

15

Microsofts Update-Sperre bei Windows 7/8.1 auf neueren Prozessoren tritt in Kraft

Mit dem April-Patchday hat Microsoft Ernst gemacht und neuere Prozessoren effektiv von der Einspielung künftiger Betriebssystem- und Sicherheits-Updates unter Windows 7/8.1 ausgeschlossen. Zum März-Patchday war diese Funktionalität (wie berichtet) bereits Teil der (optionalen) Vorschau auf den April-Patchday, nunmehr ist es Teil der offiziellen Patch-Pakete KB4015549 (Windows 7) und KB4015550 (Windows 8.1) geworden. Deren Deinstallation bringt im übrigen nichts, da mit den letztes Jahr eingeführten Patch-Paketen nunmehr alle Einzelpatches nur noch in zusammengefasster Form vorliegen – eine Deinstallation würde also auch das Entfernen der Sicherheits-Updates bedeuten, womit man sich dann sogar höchstselbst von den Sicherheits-Updates ausschließen würde. Per default sind jedoch die April-Update immer noch für Nutzer aller Prozessoren zugängig – erst nach dem (erfolgreichen) April-Patchday wird jede weitere Update-Suche über den Windows-Update-Dienst mit einer Fehlermeldung über "Unsupported Hardware" quittiert:

3

Microsoft verhindert automatische Windows-Updates für Kaby-Lake-Prozessoren unter Windows 7/8

In der Frage, ob es denn nun einen Support für neuere Prozessoren-Generationen unter Windows 7/8 gibt, geht es nach monatelangem "Hüh & Hott" nunmehr in die Richtung einer finalen Entscheidung: Angefangen hat alles mit einer Meldung vom Januar 2016 über die Einschränkung des Prozessoren-Supports zuungunsten neuer Prozessoren-Generationen unter Windows 7/8 durch Microsoft selber. Dies hatte erst einmal keine größere Bedeutung, da für den Support neuer Hardware regulär zuerst deren Hersteller zuständig ist. Mit einer Meldung von September 2016 wurde aus einer reinen These dann aber schon Realität, als Intel ankündigte, ebenfalls keine Windows-7/8-Treiber für seine Kaby-Lake-Generation mehr zur Verfügung zu stellen. In diesem Jahr schloß sich dann rein offiziell AMD an, allerdings ergibt sich bei beiden Herstellern inzwischen die Situation, das seitens einzelner Mainboard-Hersteller dann doch originale Herstellertreiber für Windows 7/8 verfügbar sind. AMD wie Intel lehnen also den offiziellen Support ihrer neuen Prozessoren unter Windows 7/8 ab, inoffiziell kann man dies aber dennoch angehen.

10

23 von 40 Antiviren-Programmen höhlen https-Verbindungen aus und verschlechtern damit die PC-Sicherheit

Nach einer Heise-Meldung werfen Sicherheitsforscher ausgerechnet den Herstellern von Antiviren-Software grobe Fahrlässigkeit bei der Verarbeitung von https-Verbindungen vor: Fast die Hälfte der untersuchten Programme mischten sich in die dafür notwendige TLS-Verbindung ein, mit dem Effekt, das fast ausschließlich eine erhebliche Verschlechterung der TLS-Sicherheit "erreicht" wurde. Hintergrund hierfür ist natürlich der Drang der Antiviren-Hersteller, ihre Kunden auch vor Schadprogrammen auf verschlüsselt ausgelieferten Webseiten zu schützen – nur im eigentlichen ist der https/TLS-Schutz gar nicht dafür gedacht, irgendwo (auch zu legalen Zwecken) aufgebrochen zu werden. In jedem Fall sind die dafür eingesetzten Methoden der Antiviren-Hersteller teilweise so absurd, das eben eine klare Sicherheits-Verschlechterung erreicht wird – sprich, die Antiviren-Software selber macht das System unsicherer. Konkret werden durch die verringerte TLS-Sicherheit "Man-in-the-Middle"-Attacken begünstigt, welche jetzt weniger denn typischen Viren weiterhilft, worüber sich allerdings die "Anbieter" von gefälschten Banken-Webseiten freuen werden.

26

Neuer Artikel: Drei einfache Schutzmaßnahmen gegen Locky

Derzeit grassiert in besonderem Maße der Erpressungstrojaner "Locky", welcher nach einer Verschlüsselung der persönlichen Daten des Computernutzers Geld in Form von Bitcoins für deren Entschlüsselung verlangt. In der heutigen Zeit kann einen ein solcher Angriff hart treffen, viele Dokumente liegen nur noch elektronisch vor und in ihrer Gesamtheit sind die vorhandenen Datensammelungen sowieso unersetzbar. Neben dem allgemeinen Hinweis, immer Backups (auf einem externen Datenträger, der nicht ständig mitläuft!) anzulegen, sowie den üblichen Tipps wie aktuelle Windows- und Software-Updates zeitnah einzuspielen, gibt es allerdings auch für den konkreten Fall wirklich ziehende Schutzmaßnahmen, mit denen man speziell Locky aushebeln kann ... zum Artikel.

13

Umfrage-Auswertung: Welche Verschlüsselungsprogramme werden eingesetzt?

Eine Umfrage von Anfang Juni fragte – aus Anlaß der Meldungen um TrueCrypt natürlich – welche Festplatten- und Datei-Verschlüsselungen derzeit eingesetzt werden. Es handelt sich hierbei natürlich um kein Massenthema, demzufolge setzen auch nur 39,9% der Umfrage-Teilnehmer eine Verschlüsselungs-Software ein – und demzufolge mit 60,1% die Mehrheit nicht. Interessanterweise ist jedoch eine klare Mehrheit der aktuellen Nichtnutzer durchaus interessiert an Verschlüsselungs-Software.

30

Wie sicher ist TrueCrypt noch?

Wie der umfangreichen Medien-Berichterstattung zum Fall zu entnehmen, wurde das TrueCrypt-Projekt unvermittelt eingestellt, die Projekt-Webseite vollständig entfernt und durch einen eher seltsamen Warnhinweis auf (angeblich) unbehobene Sicherheitslücken samt einer Anleitung für den Umstieg auf Microsofts Bitlocker ersetzt. Seitdem räselt man darüber, was hier wirklich passiert ist – ein Hack der Webseite, ein Eingreifen der NSA oder aber schlicht Unlust seitens der Programmierer. Mangels weitergehender Informationen kann dies leider derzeit nicht geklärt werden. Abseits der Spekulationen darüber muß aber dennoch die Sicherheit von TrueCrypt neu eingeschätzt werden, trotz derzeit nur mangelhaft vorliegenden Informationen.

5

Neuer Artikel: Die Windows 7 Diensteverwaltung für Paranoiker

Angesichts von in der letzten Zeit vielen neuen Windows-7-Systemen fällt auf, das zum Thema der Diensteverwaltung von Windows 7 so etwas wie eine "Anleitung für Paranoiker" fehlt. Es gibt zwar gute allgemeine Erklärungen und auch Anleitungen zur Konfiguration leistungsschwacher Systeme, aber der Ansatz, alles was irgendwie gefährlich nach "Netzwerk" und "Remote-Zugriff" klingt, zu deaktivieren, dafür aber möglichst keine anderen Funktionen mit zu erwischen, wurde bislang noch nicht so richtig verfolgt – was wir hiermit nachholen wollen ... zum Artikel.

11

Welche Dienste sind von "Heartbleed" betroffen?

Da die (berechtigte) Frage nach den wirklich von der "Heartbleed"-Lücke betroffenen Diensten aufgekommen ist, wollen wir dafür auch eine Antwort geben. Die nachfolgende Liste ist natürlich unvollständig – maßgeblich wegen der unzureichenden Informationspolitik der Anbieter – gibt aber wenigstens teilweise eine Antwort darauf, ob die Anbieter diverser Internet-Dienste, Betriebssysteme und Programme betroffen sind. Mit notiert wurden auch Dienste, Betriebssysteme & Programme, welche nicht betroffen sind – da auch diese Information wertvoll ist.

10

Die "Heartbleed"-Lücke zwingt zu neuen Passwörtern für Mail, Foren, Online-Dienste, etc.

Die am Wochenanfang gemeldete Heartbleed-Lücke in OpenSSL entwickelte sich im Laufe der letzten Tage immer mehr zum IT-Sicherheits-Super-GAU, welcher nun auch die normalen Anwender ultimativ zum Handeln zwingt. OpenSSL wird als Kryptographie-Lösung in vielen Programmen verwendet, hauptsächlicher Einsatzzweck besteht in der Verarbeitung von verschlüsselten https-Verbindungen, beispielsweise zu Online-Diensten, Mail-Servern, Online-Banken, usw.

Inhalt abgleichen