 |
|||||||||||||||||||||||||||||||||||||||||||||
 |
|||||||||||||||||||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||||||||||||||||
|
|
|||||||||||||||||||||||||||||||||||||
|
Aktuelles PHP-Script “Gästebuch-KOMPLETT” Version 1.7.9.9 veröffentlicht (30.03.2011)
- Seitenausrichtung kann vorgegeben werden Eine KOMPLETTE Beschreibung sowie Demo-Version sind unter www.gaestebuch-komplett.de erhältlich. Alle verfügbaren PHP-Scripts werden auch in verschiedenen rabattierten Paketen angeboten, siehe Script-Bundles.
Neuer PHP-Scriptshop an den Start gegangen (29.01.2011) Unsere alten Bestellformulare sind Vergangenheit und werden durch den heute aktivierten Scriptshop ersetzt. Neu ist u.a. die Zahlungsmethode über Paypal (alle Zahlungsarten), um eine sofortige (automatische) Zusendung der Lizenzdatei(en) zu ermöglichen. Schneller geht´s nicht! Die bisherige Art der (Vor-)Überweisung kann nach wie vor gewählt werden.
PHP-Script “Professional Newsletter” Version 3.5.9.1 vom Stapel gelaufen (21.12.2010)
Microsoft Dezember-Patchday: Stuxnet-Lücken und mehr beseitigt (15.12.2010) Alle vier bekannten Sicherheitslücken, die der Stuxnet-Wurm ausnützt, sind nun geschlossen. Die letzte betraf ein Leck im Taskplaner, welches dem Wurm eine Manipulation (Ausweitung) der Zugriffsrechte im System ermöglichte. Ferner wurden sechs Lücken im Internet-Explorer beseitigt; u.a. die bereits ausgenutzte CSS-Lücke. Insgesamt beinhaltet der aktuelle Patch 17 Sicherheitsupdates, die 40 Sicherheitslücken schliessen. Nähere Infos erhält man im Microsoft Security Bulletin Summary for December 2010. Windows-Anwender sollten ihr System zügig aktualisieren!
Wikileaks - unter Umgehung einer DNS-Auflösung - erreichen (04.12.2010) Egal welche WikiLeaks-Domain gerade gesperrt ist - man erreicht WikiLeaks grundsätzlich über die IP-Adresse, unter Umgehung einer Namensauflösung (DNS): http://213.251.145.96 Eine Liste von aktuellen WikiLeaks-Mirrors findet man auf http://wikileaks.ch/mirrors
c’t warnt vor iPhone-Online-Banking-Apps (03.12.2010) Nicht nur das iPhone selbst steckt voller Sicherheitslücken, sondern auch die darauf installierten Online-Banking-Anwendungen sind alles andere als sicher. Letzteres stellte das Computermagazin c’t fest. Trotz Verschlüsselung, fanden sich gravierende Lücken in den beliebtesten iPhone-Online-Banking Apps wie iControl, S-Banking und iOutBanking, die eine Manipulationen von Überweisungen möglich machen oder wichtige Daten (wie PIN und TAN-Listen) gefährden. Z.B. per man-in-the-middle-attack, weil das Banking-Programm den Namen der Gegenstelle im Netzwerk nicht prüft. Gerät das iPhone gar in fremde Hände, hat ein potentieller Angreifer freies Spiel. Auch ein evtl. aktivierter Passcode wird nicht schützen, denn dieser kann per manipuliertem, angepasstem Jailbreak im Nu entfernt werden. Das zusätzliche App-Passwort ist nutzlos, wenn das Banking-Programm die dazugehörige Datenbank bereits vor dessen Eingabe entschlüsselt...oder gar Klardaten (wie eine TAN-Liste) auf dem iPhone speichert... Der gesamte Test wird in der kommenden Ausgabe Nr. 26 des c’t-Magazin zu finden sein. Fazit: Online-Banking sollte keinesfalls über das iPhone abgewickelt werden! Siehe auch verwandte Beiträge “Schwere iPhone-Sicherheits-Lücke in 3G- und 3GS-Systemen” (vom 01.06.2010) und “Apples Sicherheitsvorkehrungen? Welche Sicherheitsvorkehrungen?” (vom 21.04.2010). --> Meine Tipps zum sicheren Online-Banking
Wikileaks und die Datensammelwut [öffentlicher Stellen] (30.11.2010) Das aktuelle Beispiel der Veröffentlichung vertraulicher US-Diplomaten-Berichten auf Wikileaks (update 03.12.2010: die wikileaks.org -Domain ist gesperrt aber WikiLeaks ist grundsätzlich über die folgende IP-Adresse, unter Umgehung einer DNS-Auflösung, erreichbar: http://213.251.145.96) zeigt einmal mehr, dass Datensammelwut (öffentlicher Stellen) zu einer Gegenreaktion führt! Im Hinblick auf die erneut in der Diskussion befindlichen Vorratsdatenspeicherung in Deutschland bedeutet dies, gespeicherte Daten sind NIEMALS vor Missbrauch sicher, d.h. können jeder Zeit in falsche Hände geraten. Deshalb wäre Datensparsamkeit die einzige Alternative, wie der Chaos Computer Club (ich bin Mitglied) seit (20) Jahren propagiert. Der Bundesdatenschutzbeauftragte Peter Scharr fordert ebenso ein radikales Umdenken bei der Speicherung persönlicher Daten. Nicht nur in Bezug auf die Politik, sondern allumfassend, denn es sei zu befürchten, dass demnächst nicht nur diplomatische Korrespondenz veöffentlicht würde, sondern eben auch ärztliche Diagnosen, Strafakten, Bankdaten oder andere sensible Informationen den Weg ins Internet fänden. Auch ich meine, Daten sammeln wird mehr schaden als Nutzen bringen.
Avira “AntiVir 10” bringt Win-XP-Rechner zum Einfrieren (29.11.2010) Verantwortlich für das Debakel ist das AntiVir-Programm-Update (AntiVir 10 SP1) vom Anfang November 2010. Je nach RAM-Ausstattung des Windows-XP* (Service-Pack-1-3)-Rechners friert dieser früher oder später ein und lässt sich nicht mehr bedienen, d.h. auch nicht mehr herunterfahren. Dies liegt an einem, durch AntiVir verursachten, voll gelaufenen Speicher. So auch auf Rechnern in unserem Hause reproduziert (spätestens nach 1-2 Tagen Laufzeit war´s vorbei). *Update: Win XP (vor SP1) sowie -Vista und -7 sind nicht betroffen Der dann notwendige “Kaltstart” hat bei einigen meiner Kunden dazu geführt, dass das dort konfigurierte RAID zerschossen wurde und wieder neu aufgebaut werden musste. Sehr, sehr ärgerlich! Zumal der Fehler erst jetzt von mir entdeckt wurde (die letzten Microsoft-Windows-Updates standen zu unrecht zuerst unter Verdacht) und es deshalb in den letzten Wochen mehrfach zu Abstürzen und zeitaufwändigen Wiederherstellungen sowie Ausfällen von Steuerungs-Rechnern mit entsprechenden (auch finanziellen) Folgen kam**. Avira bietet nun etwas schwachbrüstig an, das Problem, bis zum Vorliegen eines Patches (liegt wahrscheinlich erst im Dezember vor), wie folgt zu lösen: Ich rate jedoch von obigem Workaround ab, da die Deaktivierung der beschriebenen Optionen einen grosses Sicherheitsloch öffnet (das sollte bei einer Sicherheits-Software nun wirklich nicht der Fall sein). Statt dessen sollten Sie ANTIVIR 10 DEINSTALLIEREN und ein alternatives Antivirenprogramm installieren (z.B. Avast, auch bei diesem Hersteller gibt es eine 4Free-Variante für Privat-Anwender). **Gut, Fehler können immer passieren aber was ich der Firma Avira sehr übel nehme, ist, dass man weder als lizenzierter Kunde, noch als registrierter Partner bei bekannten Problemen eine entsprechende Benachrichtigung erhält (dafür jede Menge Werbung). So musste die Nadel erst im Heuhaufen gefunden werden. Deshalb - und wegen des entstandenen, immensen Ärgers, der vermeidbar gewesen wäre - haben wir unsere Partnerschaft mit dem Hause Avira soeben gekündigt.
Mal wieder der Schrei nach Vorratsdatenspeicherung (23.11.2010) Mit dem Schüren der Angst vor Terroranschlägen fordern Politiker (die Innenminister von Bund und Länder sowie der Bundesinnenminister) und das BKA die Wiedereinführung der Vorratsdatenspeicherung (d.h. verdachtsunabhängige Vorhaltung von persönlichen Daten). Die plumpe Instrumentalisierung der Lage zugunsten von schärferen Bürger-Überwachungs-Gesetzen war zu erwarten. Gegenargumente habe ich schon zuhauf gepostet (siehe Artikelübersicht zum Thema), weshalb ich mich hier nicht wiederhole. Dennoch möchte ich an die Frauen und Herren Politiker zur Erinnerung folgendes anmerken:
So what?
Tutorial zu TrueCrypt bzgl. Punkt “Verstecktes Betriebssystem” überarbeitet (05.11.2010) Unsere sehr nachgefragte Anleitung zu TrueCrypt wurde zum Punkt 9.1 “Verschlüsselung eines versteckten Betriebsystems” überarbeitet und an die Gegebenheiten zur aktuellen Version “TrueCrypt 7.0a” angepasst.
Zero-Day-Lücke im Internet-Explorer von Microsoft (04.11.2010) Microsoft warnt vor einer Zero-Day-Sicherheitslücke in ihrem Webbrowser “Internet-Explorer” (Versionen 6, 7 und 8), die sich zum Einschleusen von Schadcode auf ein Windows-Betriebssystem ausnutzen lässt. Die Ursache des Lecks ist beim fehlerhaften Parsen bestimmter Kombinationen von Cascading Style Sheets (CSS) in HTML-Code zu finden. Bis zum Vorliegen eines Patches empfehlen die Redmonder die Datenausführungsverhinderung (kurz DEP) für den IE zu aktivieren. Bei einem installierten IE 8 sollte dies standardmässig bereits eingestellt sein. Die DEP lässt sich beim IE 7 nachträglich über das Fix-it-Tool von Microsoft aktivieren oder deaktivieren. Für den IE 6, der dies nicht unterstützt, bleibt nur, benutzerdefieniertes CSS zu unterbinden, um Angriffe zu vereiteln. Auch hierfür steht ein Fix-it-Tool von MS bereit, welches benutzerdefiniertes CSS für den IE ab- und anschalten kann. Anwender des IE sollten den Workaround unbedingt durchführen, denn es reicht, eine entsprechend manipulierte Website zu besuchen, um sich mit einem Zero-Day-Exploit zu infizieren (siehe Beitrag “Der Weg und Werdegang eines Schädlings”). Deshalb sollte man sehr vorsichtig mit Links in eMails sein; vor allem, wenn der Absender nicht absolut vertrauenswürdig ist bzw. nicht sichergestellt ist, ob die (vertrauenwürdige) Absenderadresse nicht etwa in Spam-Manier gefälscht wurde.
Tutorial zu OpenVPN wurde ergänzt (05.10.2010) Im Hinblick auf die nachträgliche Erzeugung von OpenVPN-Client-Zertifikaten zu einem bestehenden OpenVPN-Master-CA-Server-Zertifikat habe ich mein Tutorial zu OpenVPN (Bridged-Modus) um ein paar erklärende Anmerkungen (in rot) ergänzt. Die Rückfragen per eMail zu diesem Punkt sollten somit überflüssig werden.
Ausserplanmässiger Patch schliesst Windows LNK-/PIF-Lücke (02.08.2010) Seit heute abend steht das ausserplanmässige Update von Microsoft bereit, welches den möglichen Missbrauch von Icons zum Starten eines beliebigen Programms unterbindet. Mit dem Notfall-Patch für die Betriebssysteme Windows XP (SP3) bis Windows 7 sowie Server 2008 R2 hat Microsoft sehr schnell auf diese gefährliche Sicherheitslücke reagiert. Anwender sollten nicht zögern und das Update zügig installieren (z.B. über die automatische Update-Funktion von Windows). Wer zuvor das Fix-It-Tool von MS als Interimslösung verwendet hat, um sich bis zum Vorliegen des Patches zu schützen, muss dieses rückgängig machen (disable workaround), um alle Icons wieder in ihrem normalen Zustand zu sehen. Dies kann entweder unmittelbar vor oder nach Installation des Patches erfolgen.
Fehler in Windows-Hilfecenter behoben (14.07.2010) Gestern lieferte Microsoft einen Patch für die kritische Sicherheitslücke im Hilfecenter von Windows XP aus. Das Update sollte zügig installiert werden, da die Lücke bereits über manipulierte Webseiten aktiv ausgenutzt wird, um Schadcode ins System einzuschleusen. Nähere Infos erhalten Sie bei Microsoft.
Ungepatchte Sicherheitslücke in Windows XP und Server 2003 (11.06.2010) Die neue Lücke betrifft das Hilfe- und Supportcenter von Windows XP (SP 2 und 3) sowie Windows Server 2003 (SP2) und lässt sich von einem Angreifer aus der Ferne zum Einschleusen von Schadcode (Remote Code Execution) ausnutzen. Dazu muss er nur eine Webseite entsprechend manipulieren, die das Opfer dann mit dem Internet-Explorer aufruft. Aktuell ist von Microsoft noch kein Patch vorhanden, weshalb man sich bis zum Vorliegen desselbigen temporär wie folgt schützen sollte: Den hcp-Handler aus der Registry löschen. Dies kann direkt im Registrierungs-Editor (regedit) oder über eine reg-Importdatei geschehen. Letztere legt man einfach mit einem Texteditor mit folgendem Inhalt an und benennt diese z.b. <delete_hcp.reg> (alternativ können Sie die delete_hcp.reg hier downloaden): Windows Registry Editor Version 5.00 Anschliessend kann die Verarbeitung von Hilfedokumenten mit einem Doppelklick deaktiviert werden und die Lücke lässt sich fortan nicht mehr ausnutzen. Siehe nähere Details im Microsoft Security Advisory (2219475).
Facebook greift private Adressbücher ab (02.06.2010) Soziale Netzwerke nehmen es nicht so ernst mit dem Datenschutz Ihrer Mitglieder, die den dubiosen Umgang mit ihren Daten ohnehin weitestgehend ignorieren. Aber wenn´s Dritte trifft, die nichts damit zu tun haben, hört der “Spass” eindeutig auf: Wer ein iPhone besitzt sowie die angebotene, offizielle Facebook-Anwendung geladen hat und auf den Schalter “Synchronisieren” in der Freundesliste tippt, wird überrascht sein, was passiert. Nach einem kurzen Hinweis, den man bestätigen muss, werden ALLE Kontakte (Namen, eMail-Adressen, Telefonnummern) - auch solche, die vielleicht besser niemals nach aussen hätten dringen dürfen (Geheimnummern, private eMail-Adressen...) - aus dem Telefonbuch an Facebook übertragen sowie dort DAUERHAFT GESPEICHERT und unterliegen fortan den dürftigen Facebook-Datenschutzrichtlinien. Die Daten können seltsamerweise nicht mehr gelöscht werden, weder vom iPhone-Besitzer noch von denen, deren Kontakt-Daten dort gespeichert sind. Die Facebook-Betreiber behaupten aber sehr gerne und häufig, man könne immer alle Details des Dienstes kontrollieren. Im Klartext heisst das: Ein US-Unternehmen speichert (OHNE Löschfunktion) auch Daten von Menschen, die gar nicht Facebook-Mitglied sind und den dubiosen Bedingungen NICHT zugestimmt haben. In den Datenschutzrichtlinien ist zudem kein einziger Hinweis zu finden, der eine Beschreibung zur Verfahrensweise der Speicherung von Handy-Adressbüchern beschreibt. So werden jetzt Unbeteiligte, die sich mit Hirn 2.0 von sozialen Netzwerken fern gehalten haben, von den Ignoranten mit in den Datenstrudel von Web 2.0 gerissen. Toll :-> Siehe auch Beitrag: Gefahren sozialer Netzwerke
Schwere iPhone-Sicherheits-Lücke in 3G- und 3GS-Systemen (01.06.2010) Gerade die Fa. Apple vermarktet ihre Produkte gerne als sicher, um nicht zu sagen sicherer als andere, was gänzlicher Unsinn ist und erst jüngst vom Sicherheitsexperten Marc Maiffret kritisiert wurde, da Apple Sicherheitsthemen lange verschlafen habe und diesbzgl. der Konkurrenz schwer hinterherhinke. Das aktuelle Sicherheitsleck im iPhone untermauert diesen Vorwurf. Laut Apple sind alle Daten auf dem iPhone automatisch mit 256-BIT-AES verschlüsselt. Der Zugang zu den iPhone-Daten ist normalerweise auf Rechner beschränkt, mit welchen das iPhone bereits eine Verbindung aufgebaut hat, d.h. erst dann können die Schlüssel für die Entschlüsselung zwischen Computer und iPhone ausgetauscht werden. Im gesperrten Zustand sollte dagegen keinesfalls eine Übertragung der Schlüssel stattfinden. Auch nicht, nach dem erneuten Anschalten. Und genau das ist der Fall, wenn das iPhone <update>im entsperrten Zustand</update> ausgeschaltet und beim erneuten Anschalten angesprochen wird. Dann ist es möglich, ein komplettes Backup* des iPhones über eine verbotene bzw. nicht freigegebene Verbindung zu erstellen und in den Besitz von gespeicherten Passwörter (im Klartext!), SMS, Adressbuchdaten u.s.w. zu gelangen. Offenbar ist zum Zeitpunkt der Verbindungsanfrage eine verantwortliche Systemkomponente, welche das verhindern soll, noch nicht betriebsbereit, weshalb das Pairing mit dem FREMDEN Rechner automatisch erfolgt. Und zwar nicht nur unter Mac OS X und Windows*, sondern auch unter (von Apple geschasstem) Linux*. Der Fehler wurde nämlich ausgerechnet unter einem Linux-Ubuntu-10.04-System durch Zufall von LINX-Mitarbeiter Bernd Marienfeldt entdeckt! :-) *Während unter Linux nur einige Ordner per auto-mount-Funktion eingebunden werden, ist über Windows der komplette Zugriff möglich, z.B. kann per iTunes ein vollständiges Backup erstellt werden. Ergo: Hat ein Angreifer physischen Zugriff auf das iPhone (weil z.B. verloren oder geklaut), kommt er somit ohne Probleme bzw. Cracker-Aufwand an die kompletten Daten heran! iPhone ausschalten, anschliessen, einschalten genügt! <update>Die einzige sichere Vorsichtsmassnahme: Das iPhone, vor dem Ausschalten, zu sperren!</update> Von Apple gibt es bisher keine Stellungnahme zu diesem Leck, obwohl bereits seit dem 17.05.2010 bekannt! Da scheinen die Verantwortlichen aus Cupertino eher kleinlaut, anstatt wie gewohnt vor Selbstbewusstsein strotzend (wie ein Tiger oder [Snow]Leopard :-) zu brüllen. <update>Die Bekanntgabe, dass das Phänomen nur auftritt, wenn das Gerät im entsperrten Zustand ausgeschaltet und wieder angeschaltet wird, ist ausgerechnet dem Linux-Pakete-Entwickler Hector Martin zu verdanken, der das Problem näher untersuchte.</update> Nicht zuletzt deshalb: Lassen Sie sich nicht veräppeln und steigen auf ein Smartphone eines anderen Herstellers um (Alternativen gibt es vielzählig), denn dies wird bestimmt nicht die letzte der vielen, schweren (nicht gepatchten) Sicherheitslücken im iPhone sein! Ganz zu schweigen von der zu kritisierenden Unternehmenspolitik, siehe dazu den Beitrag “Wehret den Anfängen. Wendet Euch von Apple ab” auf heise Developer. Sicherheitsexperten warnten bereits - lange vor Bekanntwerden dieses Sicherheitslecks - vor dem Gebrauch des iPhone in Unternehmens- oder Regierungsumgebungen (denn es gab schon so viele sicherheitsrelevante Auffälligkeiten). Siehe dazu die Website http://www.iphoneinsecurity.com, welche sich dem Thema ausgiebig widmet (um an alle Infos zu kommen, ist aus Sicherheitsgründen eine Registrierung auf der der dortigen Website notwendig). Last but not least:
Kritische Lücke in 64-Bit-Version von Windows 7 und Server 2008 R2 (20.05.2010) Ist der Aero-Desktop aktiv (unter Windows 7 als Standard eingestellt), kann das System durch einen Angreifer kompromittiert werden. Davor warnt Microsoft in der Security Advisory (2028859) vom 18.05.2010 und beschreibt den Fehler im Canonical Display Driver (CDD). Demnach kann der Besuch einer manipulierten Website mit einem präparierten Bild ausreichen, um Opfer von schädlichem Code zu werden. Die Redmonder arbeiten an einem Patch zur Beseitigung der Lücke. Bis zum Vorliegen des Updates sollte der Aero-Desktop unter den 64-Bit-Versionen von Windows 7 sowie Windows Server 2008 R2 (wenn dort installiert) wie nachstehend beschrieben deaktiviert werden, da mit dem schnellen Auftauchen entsprechender Exploits zu rechnen ist! --> Start--> Systemsteuerung --> Darstellung und Anpassung --> Design ändern:
Sicherheitslücken in Outlook Express sowie Windows Mail geschlossen (12.05.2010) Microsoft liefert zwei Updates aus, die zum einen kritische Lücken im POP3- sowie IMAP-Protokoll in den eMail-Clients Outlook Express (5.5 und 6) und Windows Mail (Live-Essentials) schliessen. Die Lecks ermöglichen einem Angreifer Schadcode in das System einzubringen sowie mit den Rechten des angemeldeten Anwenders auszuführen, indem durch manipulierte Antworten des Mailservers ein BufferOverflow (Überlauf) provoziert wird. Dazu muss der Angreifer nicht einmal direkten Zugriff auf den wirklichen Mailserver haben, sondern kann sich z.B. per man-in-the-middle-attack dazwischen hängen; auch DNS-Umleitungen der Clients sind über Manipulationen denkbar. Betroffen sind die Betriebssysteme Windows 7, Vista, XP, Server 2003 sowie Server 2008. Zum anderen wurde ein Update beigelegt, welches eine VBA-Lücke in Bezug auf ActiveX-Controls schliesst. Dies betrifft Microsoft Office 2007, Office 2003, Office XP sowie die dazugehörigen Entwicklertools Visual Basic for Applications mit Software-Development-Kit. Die Aktualisierung der Systeme sollte von Anwendern zügig vorgenommen werden. Nähere Infos: Microsoft Security Bulletin Summary for May 2010
Viel Wirbel um Googles Erfassung von WLAN-Hotspots (24.04.2010) Die umstrittenen Google-Street-View-Autos erfassen nebenbei im Vorbeifahren die jeweilige SSID (Shared System ID - der WLAN-Netzwerkname) und die MAC-Adresse (einmalige Geräte-Nr.) des Access-Points eines empfangbaren kabellosen Netzwerks. Die Aufregung ist nun gross, weil es sich um personenbezogene Daten (?) handeln könne und der Kartografie-Export in die USA datenschutzrechtliche Bedenken aufwirft. Dem ganzen Wirbel kann ich nicht ganz folgen. Wer hat sich denn bisher für WLAN-Scans interessiert ? Z.B. fand die Erfassung von Hotspots bei OpenSource-Projekten zur WLAN-Navigation (z.B. Standortbestimmung mit dem Handy) niemand bedenklich. Jetzt nur, weil es Google ist und das gut ins Datenkraken-Bild passt? Aus meiner Sicht ist die Diskussion zur Erfassung der WLAN-Daten überflüssig und lenkt von den eigentlichen Skandalen ab, denn Google ist in anderen Gebieten* zu kritisieren, weil dort die Datenschutzprobleme wirklich relevant sind (*siehe Anmerkung und Links im Anschluss an diesen Beitrag)! Zur technischen Relevanz der erfassten Daten: Ferner ist der Schutz des eigenen kabellosen Netzwerks vor Erfassung durch Google (und andere) ohne grossen Aufwand möglich, indem (neben anderen Massnahmen) erstens die SSID vom Access-Point nicht öffentlich gesendet wird und zweitens die SSID aus zufällig gewählten Zeichen besteht (und nicht aus Familien- oder Firmennamen o.ä.). Auf unserer Website gibt es eine umfangreiche Aufstellung der notwendigen Sicherheitsmassnahmen zum Betrieb eines WLAN-Netzwerks. Wer die Möglichkeiten nicht nutzt, braucht sich nicht zu wundern...Das Auto schliesst man selbstverständlich ab - also warum nicht auch das eigene (Funk-)Netzwerk? *Wer sich über die Google-Machenschaften näher informieren will, empfehlen wir das Buch “Die Google-Falle” (Autor Gerald Reischl), die Google-Studie der TU Graz (PDF-Datei 7,08 MB) und den 88-Minuten-Film “Wer hat Angst vor Google” oder den 28-Minuten-Film “Google - Die Macht einer Suchmaschine” (ironischerweise sind beide Filme hosted auf Google-Servern [subdomain: video.google.de] :-)
Fehlerhafte Signatur von McAfee bringt Windows-XP mit SP3 zum Absturz (22.04.2010) Es ist das gestrige Virensignatur-Update “DAT 5958” des Antivirenscanners von McAfee, welches unter Win XP SP3 die - mit vielen Aufgaben “betraute*” - Systemdatei “SVCHOSTS.exe”* fehlerhaft als Schädling identifiziert und löscht bzw. in Quarantäne verschiebt. Die Folge ist ein automatischer Reboot des Systems nach 30 Sekunden, der dann aufgrund der fehlenden Datei fehlschlägt (Boot-Endlosschleife). Es bleibt nur noch, den PC im Safe Mode (Abgesicherter Modus) hochzufahren und die fehlerhafte Virensignatur-Datei des Virenscanners mit DAT 5959 oder Nachfolger zu ersetzen. Dann muss noch die “SVCHOSTS.exe” aus der Quarantäne oder anderweitigen Sicherung (!) wiederhergestellt oder im Zweifelsfall manuell restauriert werden. Einen Workaround dazu gibt´s von McAfee. Es sind neben vielen Privatanwendern auch zahlreiche Unternehmen betroffen.
Apples Sicherheitsvorkehrungen? Welche Sicherheitsvorkehrungen? (21.04.2010) Mehrere Elite-Unis in den USA (u.a. die Princeton University, George Washington University, Cornell University) verbannen das iPad (neuer Tablet-Rechner aus dem Hause Apple), wegen Sicherheitsbedenken und übermässiger Belastung des Netzwerks (siehe Wall-Street-Journal). Auch der Staat Israel denkt über das komplette Verbot des iPad nach und es wurden bereits Geräte am Zoll konfisziert bzw. ein Importverbot* verhängt. Peinlich für Steve Jobs und sein Gefolge...vor allem, nachdem das iPhone als unsicher gebrandmarkt wurde (der Betrieb in Unternehmens- und Regierungsumgebungen wird von Sicherheitsexperten ausdrücklich NICHT empfohlen) und quasi der “Alfasud” (wer das Auto noch kennt) unter den Handys bzw. Smartphones ist. *Update 26.04.2010: Seit Sonntag (25.04.2010) dürfen wieder einzelne iPads nach Israel eingeführt werden. Allerdings nur mit der Regionseinstellung “Hebräisch (Israel)”. Während Microsoft mittlerweile, was die Sicherung Ihrer Programme betrifft, mustergültig arbeitet, wird dies im Hause Apple nach wie vor vernachlässigt. Das sagt Marc Maiffret (Sicherheitsberater und - ausgerechnet - Entdecker der Microsoft-Lücken zum “Code-Red”-Wurm in 2001) gegenüber cnet.com. Laut ihm würde es bei Apple viel PR- und Marketinggetöse zum Thema Sicherheit geben aber in Wirklichkeit habe das Unternehmen Sicherheitsthemen lange verschlafen, denn eine wirkliche Sicherheitsarchitektur habe es nicht gegeben. Die Apple-Community sei sich über die Risiken und die Verwundbarkeit der Systeme völlig im Unklaren. Zitat Maiffret: “Apple vermarktet sich gerne als sicherer als der PC und dass Du dich nicht um Viren sorgen musst. Jedesmal, wenn irgendwo ein Hacker-Wettbewerb stattfindet, hat einer innerhalb weniger Stunden eine neue Apple-Schwachstelle gefunden....Die Apple Gemeinde ignoriert die Risiken weitestgehend”. Die aktuelle US-Universitäts-Situation zeigt, dass es nach wie vor in Cupertino nicht so Ernst mit der Sicherheit genommen wird, denn die gängigen Apple-Produkte (iPad, iPhone, iPod touch..) genügen schlicht nicht den Anforderungen an die Campus-IT (z.B. der George Washington University), genauer das WLAN betreffend. Die Seton Hill University lässt das iPad zwar zu und sogar kostenlos verteilen, verlangt aber gleichzeitig rd. 800 US-$ pro Jahr für den fälligen Ausbau der Netzwerk-Infrastruktur, was die Freude über das Gratisgerät wieder etwas trüben dürfte. Spätestens dieser Image-Schaden müsste Apple zu einem Angleichen ihrer Produkte an die heutigen (Sicherheits-)Standards veranlassen. Das sollte ein, ohnehin über das gewöhnliche Maß vom Hersteller gegängelter und “App”-zensierter, Apfelanwender erwarten können. Denn was nützt ein schickes aber unsicheres Gerät - gutes Design allein reicht nicht!
zum Archiv26 (09.01.2010-20.04.2010) |
Archiv 27 (IT-Blog von Thomas Murr)
|
|
|
Home | Angebot | IT-Forensik | IT-Risiken | WWW | Sicherheit | Tipps | Aktuelles | Kontakt | Links | Newsletter | AGB | Impressum | Sitemap | |