Categories

• Kommentare

  no description available

  664
  Topics
  2003
  Posts

  A

  Forscher des Labor für IT-Sicherheit der FH Münster haben für Mailto-Links auf Webseiten bei einigen E-Mail-Programmen Sicherheitslücken entdeckt. Hacker könnten dadurch die privaten Schlüssel für OpenPGP oder S/MIME erlangen und dadurch Zugriff auf verschlüsselte Nachrichten bekommen. Klicken sie hier um den Artikel zu lesen
• Bedrohungen

  no description available

  119
  Topics
  316
  Posts

  ?

  Ich verstehe bei diesem Thema schon lange einige Dinge nicht mehr. Wo ist der Unterschied zur damaligen DDR-Stasi? Die hatten diese Technik nicht, könnte man sagen. Naja ich halte unserem Staat mal zugute, dass er bisher weder seine Bürger mit IMs bespitzelt hat, noch Leute die anderer Meinung waren im Knast hat verschwinden lassen. Aber gut heißen muss man den sich ankündigenden Überwachungsstaat deswegen nicht. Zumal die Handlungen der Politiker halt einfach zu durchschaubar sind. Da werden aktuelle Gründe konstruiert um uralte Pläne aus der Schublade zu holen und den Überwachungsring um die Bürger noch enger ziehen zu können. Ist das nicht bereits vom BGH gerügt und zurückgewiesen worden? Jein, das BGH hat gesagt, dass es aktuell keine Gesetzesgrundlage gibt, die den Einsatz des Bundestrojaners erlauben würde (http://www.Security-Insider.de/themenbereiche/bedrohungen/viren-wuermer-trojaner/articles/52850/)). Der Staat muss nur die Strafprozessordnung StPO per Gesetz ändern und schon ist der Einsatz nicht mehr Gesetzeswidrig. Das Gesetz kann dann allerhöchstens Verfassungswidrig sein. In Bayern scheint die Gesetzesgrundlage bereits gegeben zu sein. Was ist, wenn sich alle - zumindest privaten - User per Access-Points verbinden, den dieses Vorgehen der Schnüffler ist doch nur unter Ausnutzung der Provider möglich oder ist das auch ein Irrtum? Nö den Trojaner können sie ja auch einfach per Mail verschicken. Dazu braucht's die Provider nicht. Wenn sich alle privaten User per Access-Points verbinden hätten wir nur in 4 Wochen ne gesetzliche Regelung, die jeden privaten Accesspoint die gleichen Auflagen erfüllen läßt wie ein Provider - wenn das Gesetz das nicht eh schon vorsieht. Wie es sei, für mich ein Punkt Bayern zu meiden, auch wenn ich nichts "Böses" plane. Naja man kann sich nur begrenzt aussuchen, wo man lebt und arbeitet. Aber das Gute ist ja, dass es mit Wahlen ein Instrument gibt, mit dem man aktiv was tun kann. Eine Landesregierung die endlich mal keine absolute Mehrheit hätte wäre ja schon ein erster Schritt um solche Sachen schon während der Gesetzgebungsphase zu stoppen, statt immer hinterher mit Gerichten.
• Applikationssicherheit

  no description available

  42
  Topics
  128
  Posts

  ?

  Hallo Jens, das Thema Application Security wird leider bei vielen Software-Herstellern zu wenig beachtet. Am leichtesten bekommt man Informationen über Security Flaws oder Leaks über das Hilfsmittel "Fuzzing". Jetzt ist Fuzzing aber für viele nicht so ein einfaches Thema. Es gibt Fuzzing Frameworks, die man je nach Testfall immer neu zusammen stellen muss. Das Problem hierbei ist, daß a) man schlecht nachvollziehbare Ergebnisse erzeugt, und b) Auditierbarkeit gleich null ist. Es gibt wenige Fuzzing-Tools, die man als voll integriertes Produkt bezeichnen kann, und auch voll auditierbar/nachvollziehbar sind. Man kann diese Tools sowohl im Bereich der Software-Entwicklung, als auch im Bereich der Unternehmens-Security einsetzen. Das beste Beispiel ist hier z.B. Codenomicon www.codenomicon.com und die Codenomicon Labs www.gohackyourself.net. Codenomicon Defensics Tools werden von z.B. T-Systems, Cisco, Microsoft und vielen anderen mittlerweile zum Security-Testing verwendet. Hier mal ein paar Infos und Links zu Meldungen im Netz: Verizon Verizon Communications Integrates Codenomicon's DEFENSICS Robustness Testing Platform Into Its Chest of Armor same? URL: http://findarticles.com/p/articles/mi_pwwi/is_200702/ai_n17169163 One Verizon lab entry criteria mentioning Codenomicon URL: http://www22.verizon.com/technologytesting/files/LEC-TMPL-2006v02.pdf Microsoft Microsoft developer recommending Codenomicon URL: http://forums.microsoft.com/msdn/ShowPost.aspx?PostID=2445846&SiteID=1 URL: http://forums.microsoft.com/msdn/ShowPost.aspx?PostID=2008064&SiteID=1 T-Systems Process-Based Security Testing in a Carrier Environment by Sven Weizenegger, Lead of Security Testing and Senior Consultant, T-Systems and Heikki Kortti, Senior Security Specialist, Codenomicon URL: http://iptcomm.org/iptcomm2008/page15/page15.html NISCC/CESG NISCC/CESG: Codenomicon Test Tools Discover Critical Security Vulnerabilities in Popular Web Browsers Microsoft reference? Certicom URL: http://apache.sys-con.com/node/104846 URL: http://www.microsoft.com/technet/security/bulletin/ms05-025.mspx Apache Apache Credits Codenomicon in Advisory from 2004/2005 URL: http://httpd.apache.org/security/vulnerabilities_20.html OpenSSL OpenSSL Advisories mentioning Codenomicon several times since 2004/2005 URL: http://www.openssl.org/news/vulnerabilities.html GnuTLS Vulnerability Advisory on GnuTLS URL: http://www.cert.fi/haavoittuvuudet/advisory-gnutls.html Cisco Open, public presentation by Gaus and Takanen in SV-SPIN in 2005 Public Cisco brochures/notes mentioning Codenomicon: URL: http://www.cisco.com/en/US/solutions/collateral/ns340/ns414/ns779/aag_cisco_assurewave_v2.pdf URL: http://www.cisco.com/en/US/docs/security/asa/asa70/release/notes/asarn705.pdf (you love it) URL: http://www.cisco.com/en/US/docs/voice_ip_comm/cuipph/7960g_7940g/firmware/sip/7_5/english/release/notes/phnrn75s.pdf URL: http://www.cisco.com/en/US/docs/voice_ip_comm/cuipph/7960g_7940g/firmware/sip/8_2/english/release/notes/phnrn82s.pdf (this is nice too) URL: http://www.cisco.com/en/US/docs/security/csc/csc62/release/notes/cscrn622.pdf URL: http://www.cisco.com/univercd/cc/td/doc/product/software/ios123/123relnt/800/rn4t11a.pdf (nice) URL: http://www.cisco.com/en/US/docs/app_ntwk_services/data_center_app_services/css11500series/v8.20/release/note/RN820_X.pdf (SNMP) URL: http://www.cisco.com/en/US/docs/ios/12_3/12_3y/release/notes/rn1800yg.pdf URL: http://www.cisco.com/en/US/docs/security/fwsm/fwsm32/release/notes/fwsmrn32.pdf URL: http://www.cisco.com/en/US/docs/security/asa/asa72/release/notes/asarn722.pdf (TLS) URL: http://www.cisco.com/en/US/docs/voice_ip_comm/pgw/9/release/note/rn973.pdf (SIP, MGCP,..) NetBSD URL: http://cert.fi/haavoittuvuudet/2008/advisory-netbsd.html VTT Research Security Objectives within a Security Testing Case Study; Nokia URL: http://www.netlab.tkk.fi/opetus/s38310/04-05/Kalvot_04-05/chomchuen_071204.ppt
• Betriebssystemsicherheit

  no description available

  41
  Topics
  105
  Posts

  S

  Hallo, bevor ich zu den Sicherheitsmechanismen komme: Zunächst einmal sollten Sie bedenken, dass es sich bei dem Service Pack 3 um eine Test-Version handelt… erfahrene User sollen also dabei helfen, Bugs und andere Schwachstellen in dem Release Candidate aufzuspüren. Installieren Sie Release Candidates oder Beta-Versionen nie in einer Produktionsumgebung, auch wenn sie vordergründig Verbesserungen bringen könnten. Der Hersteller weiß schon, warum er diese Versionen noch nicht endgültig freigegeben hat! Wenn Sie also (produktiv) mit Ihrem Rechner arbeiten, sollten Sie von einer Installation zunächst einmal absehen und auf die finale Version warten, die in diesem Quartal erscheinen soll. Insgesamt bietet das SP3 bei einer Größe von etwa 340 MByte über 1.000 Updates und Patches, wovon rund ein Zehntel direkt sicherheitsrelevant ist. Bei den neuen Funktionen und Security-Updates handelt es sich u.a. um: Erklärung der Sicherheitsrichtlinien: Es gibt einen neuen Reiter „Erklärung dieser Einstellung“ bei den Einträgen von „Lokale Sicherheitsrichtlininen“ ein neues Verschlüsselungs-Modul für den Windows-Kernel (Kernel Mode Cryptographic Module) die Integration der (mit Windows Vista eingeführten) Network Access Protection, die Clients noch vor der Gewährung eines Netzwerk-Zugangs prüft, ob sie geschützt, gepatcht und richtig konfiguriert sind - verstößt ein Rechner gegen Security-Auflagen, darf er gar nicht erst aufs Netzwerk zugreifen die Erkennung so genannter "Black Hole Router", die versuchen Daten auszuspähen eine neue Version des Background Intelligence Transfer Services (BITS, dt.: Intelligenter Hintergrund-Übertragungsdienst), der den Update-Download beschleunigt und die Fortsetzung unterbrochener Downloads ermöglicht eine neue Version der Microsoft Management Console (MMC) Installation ohne Produktschlüssel
• Netzwerksicherheit

  no description available

  116
  Topics
  316
  Posts

  ?

  Hallo in die Runde, ich würde gerne dieses Problem mit einem Konzept lösen wollen: Meine Firma X kauft ein Automatisierungssystem (Computer + Maschine) von einem Hersteller. Der Computer vom Zulieferer soll Prozessdaten in unsere (MS-SQL) Datenbank schreiben. Frage: Wie kann man die Integration der Zuliefererhardware gestalten, sodass der Integrationsaufwand minimal wird? Hier sehe ich erstmal zwei Ansätze: Wir bauen einen Rechner im Firmennetz auf, wo wir das Betriebssystem etc mit internen Frameworks kontrollieren. Auf diesem Betriebssystem installieren wir die Software vom Zulieferer. Vorteil: Haben Kontrolle über die Prozesse auf OS-Ebene Nachteil: Relativ hoher Aufwand. Viel Abstimmung mit dem Zulieferer (Kompatibilität, HW-Schnitstellen, etc) Der Zulieferer bringt seinen eigenen Rechner (Box) und bekommt von uns ein Netzwerkkabel, um dann in unserem Netz auf die Datenbank zuzugreifen. Wie limitieren die Zugriffe auf der Datenbankebene (user x darf tabelle Y lesen). Und öffnen nur Port Z, sodass das Zulieferersystem nur über den einen Port kommunizieren darf. Vorteil: relativ einfach Nachteil: Erlauben einem unkontrollierten OS Zugriff auf unser Netzwerk, wenn es auch nur bei einem Port bleibt. Kann mir jemand eine Richtung aufweisen, wo ich mich über passende Konzepte schlau machen kann? Ich würde gerne die Lösungen auf Entscheider-Ebene verstehen können. Ich bin ja sicherlich nicht der erste, der solch ein Problem hat.
• Web-Security

  no description available

  38
  Topics
  110
  Posts

  S

  Hallo, ohne Internetverbindung lässt sich ein E-Mail-Dienst natürlich nicht realisieren, wie Sie in Ihrem ersten Beitrag richtig erkannt haben. Am sichersten ist es wohl, wenn Sie einen E-Mail-Server einrichten, der mit dem Internet kommuniziert und die E-Mails an die Client-Rechner bzw. die entsprechende Mail-Anwendung (bspw. Outlook) verteilt. Alle anderen Web-Zugriffe müssen mithilfe einer Gateway-Firewall unterbunden werden. Diese wird hinter dem Internet-Gateway installiert und kontrolliert somit an den Datenverkehr direkt an der kritischen Stelle. In der Firewall dürfen Sie dann nur das gegebene Mail-Protokoll (POP, SMTP, …) und die entsprechenden Ports freigeben. In Sachen Gateway-Sicherheit fallen mir verschiedenste Anbieter ein, die über großes Know-how insbesondere im Segment der kleinen und mittleren Unternehmen verfügen. Spontan kommen mir da Funkwerk oder auch Astaro in den Sinn. Letzterer Anbieter hat sogar ein spezielles Mail-Gateway im Produktportfolio. Stephan Augsten Redakteur SearchSecurity.de
• Security Hard- & Software

  no description available

  66
  Topics
  202
  Posts

  S

  Wie kann ich mich schützen? Ich möchte aus verschiedenen Gründen keine Verschlüsselungen nehmen. Hallo, eine gesunde Vorsicht ist im Internet immer geboten, aber werden Sie bitte nicht paranoid. Zunächst einmal sollten Sie darauf achten, sich bei Ihrem Mail-Provider über eine https-Verbindung einzuloggen. In diesem Fall sind ja nicht die Mails verschlüsselt, sondern die Verbindung selbst. Manche E-Mail-Provider lassen ausschließlich solche https-Verbindungen zu, bei anderen müssen Sie ein Häkchen dafür setzen. Es soll ja vielfältige Möglichkeiten geben, dass Fremde Emails mitlesen kann, ohne dass man den Sniffer (Mitleser) lokalisieren kann. Wie kann ich einen Mitleser aufspüren, ist das überhaupt möglich? Eine Software zur Lokalisierung eines Mitlesers gibt es meines Wissens nicht. Ich glaube aber auch nicht, dass Ihre Mails abgefangen werden. Vielmehr könnte einfach Ihr Passwort geknackt, mithilfe eines Keyloggers protokolliert oder über die "Auto Vervollständigen"-Funktion des Browsers ausgelesen worden sein, wofür wiederum eine Malware auf Ihrem Rechner installiert sein müsste. Allerdings können Sie im letzteren Fall recht einfach die Verbindungen von und zu Ihrem Rechner auflisten. Starten Sie hierzu die DOS-Konsole überStart\Programme\Zubehör\Eingabeaufforderungund geben Sie den Befehl``` netstat -a Vergleichen Sie hierzu auch unseren Artikel [Malware-Grundlagen – Teil 2: Seek and Destroy](http://www.Security-Insider.de/themenbereiche/bedrohungen/phishing-und-spam/articles/51966/) Einige Ports sind standardmäßig für wichtige Dienste geöffnet, hinter anderen könnte sich möglicherweise eine Backdoor o.ä. verbergen. Informationen zu den Port-Belegungen durch bekannte Services können Sie leicht über eine Internet-Suchmaschine herausfinden. Manche Trojaner leiten Informationen an IP-Adressen weiter und machen sich nicht einmal die Mühe, die Ziel-IP zu verbergen. In diesem Fall können Sie den Nameserver zu bestimmten IP-Adressen mit dem Befehl _nslookup_ herausfinden. Beispielsweise würde der Befehl``` nslookup 217.72.195.42 ```den Web.de-Server verraten. Auf diese Weise habe ich bei Bekannten schon Verbindungen zu osteuropäischen und asiatischen Servern ausfindig gemacht. Besteht der Verdacht einer Infektion, [halten Sie sich an die Verhaltensregeln unseres Antivirus-Beitrags im Forum](http://www.forum.Security-Insider.de/showthread.php?t=634). Bei weiteren Problemen helfe ich Ihnen gerne… Stephan Augsten Redakteur **SearchSecurity.de**
• Security-Management

  no description available

  152
  Topics
  415
  Posts

  S

  Ich habe noch eine Ergänzung zu meiner vorangegangenen Antwort: Wenn Sie mehr zum Thema "Rechtliche Konsequenzen und Gegenmaßnahmen beim Filesharing in Unternehmen" wissen wollen, lesen Sie doch mal folgende zwei Security-Insider-Fachartikel: Rechtliche Risiken durch Filesharing: Unternehmen und der Abmahnmahnwahn http://www.Security-Insider.de/themenbereiche/bedrohungen/menschliche-faktoren/articles/121181/ und Praktischer Umgang mit Filesharing und Abmahnungen: Filesharing im Unternehmen unterbinden http://www.Security-Insider.de/themenbereiche/bedrohungen/menschliche-faktoren/articles/121508/ Da gibt es einige interessante Einblicke und Hinweise drin. Peter Schmitz Chefredakteur Security-Insider.de
• Identity- und Access-Management

  IAM, Identity- und Access-Management

  90
  Topics
  244
  Posts

  S

  Man muss sich nur ansehen, was passieren kann, wenn man nicht hasht. Dann begreift man schnell, warum hashen dringend notwendig ist. Eine der vier großen Wirtschafsprüfungsfirmen besitzt einen Bewerberbereich, in dem man seine Lebenslaufdaten per Login geschützt hinterlegen kann. Diese Anmeldedaten wurden im Klartext aufbewahrt. Im Widerspruch zur eigenen Datenschutzrichtlinie wurden diese Daten nie gelöscht, sodass sich die Klartextanmeldedaten aller Bewerber über Jahre hinweg auf den Firmenservern befanden. Die wurden nun gehackt, und die Anmeldedaten samt E-Mail-Adressen von Kriminellen heruntergeladen. Nun predigt man stets, dass man niemals dasselbe Passwort für verschiedene Zwecke verwenden soll. Gleichwohl hielten sich nicht alle Bewerber an diese Schutzregel.:eek: Die Hacker mussten dann nur noch die Kombination Bewerber-E-Mail-Adresse/Bewerber-Passwort aller Datensätze gegen die Websites von Finanzendienstleistern laufen lassen, um Schaden anzurichten. Diese Peinlichkeit (und der Schaden für die Bewerber!) wäre nicht vorgefallen, wenn die Wirtschaftsprüfungsfirma die Passwörter gehasht gespeichert hätte. Dass man Passwörter nicht rausschicken, sondern nur zurücksetzen kann, ist ein niedriger Preis, mit dem man sich die Sicherheit erkauft, dass es nicht zu einem unkontrollierten Passwortdiebstahl (ob durch Externe oder durch eigene Mitarbeiter) kommen kann.
• Mobile Security

  Mobile Sicherheit, mobile Security, Android, iOS, Windows Phone

  28
  Topics
  69
  Posts

  S

  Sehr geehrter Herr Moors, das fällt leider in den Bereich Grauzone: der Facebook-App erlaubt man bei der Installation (bzw. der ersten Nutzung, wenn Bloatware), dass die Kontakte gesynct werden. Und was online läuft, fällt den AGB gemäß ohnehin in deren Verantwortungsbereich. Die Korrektur des Adressbuchs soll im Rahmen des Bugfixes übrigens automatisch geschehen… mal abwarten. Was aber wirklich bedenklich ist: was passiert mit sensiblen Informationen, die durch diesen Fehler möglicherweise bei Facebook landen. Viele Grüße Stephan Augsten Redakteur SearchSecurity.de