50
Anzahl der Newsfeeds

Newsfeed bereitgestellt von ZDNet.de: http://www.zdnet.de

Avast und Emsisoft veröffentlichen Entschlüsselungstool für BigBobRoss-Ransomware

Die Erpressersoftware ist seit rund zwei Monaten im Umlauf. Sie versieht die Dateien ihrer Opfer mit einer 128-Bit-AES-Verschlüsselung. Avast und Emisoft knacken das individuelle Passwort durch den Vergleich einer verschlüsselten Datei mit ihrem unverschlüsselten Original.
Quelle: ZDNet.de – Avast und Emsisoft veröffentlichen Entschlüsselungstool für BigBobRoss-Ransomware

Studie: Programmierer schlampen bei der Passwortsicherheit

Eine Studie (PDF) des Instituts für Informatik 4 der Universität Bonn hat ergeben, dass freiberufliche Programmierer von sich aus nicht immer Regeln für das sichere Speichern von Passwörtern befolgen. Bei einem Test mit 43 Entwicklern gingen viele den einfachen Weg und speicherten Kennwörter ohne eine ausreichenden Schutz vor Diebstahl und unberechtigten Zugriffen. Für die Studie baten die Forscherinnen Alena Naiakshina, Anastasia Danilova und Eva Gerlitz sowie Emanuel Zezschwitz und Matthew Smith vom Fraunhofer FKIE 260 freie Java-Programmierer über die Plattform Freelancer.com, ein Registrierungssystem für Nutzer eines angeblichen Sozialen Netzwerks zu erstellen. 43 Freiberufler nahmen den Auftrag an und entwickelten auf Basis von Java, JSF, Hibernate und PostgreSQL eine Registrierungssystem. Die Hälfte der Auftragnehmer sollte den Job für 100 Euro erledigen – der anderen Hälfte boten die Forscher 200 Euro. Ziel war es, herauszufinden, ob die Höhe der Bezahlung Einfluss auf die Implementierung von Sicherheitsfunktionen hat. Darüber hinaus forderten sie wieder jeweils die Hälfte jeder Gruppe auf, die Passwörter sicher zu speichern. Die andere Hälfte erhielt indes keine Vorgaben zur Passwortsicherheit. Ihren Code lieferten die Entwickler nach ein bis fünf Tagen ab. 18 Programmierer mussten den Code jedoch überarbeiten, da er eine Speicherung von Passwörtern im Klartext vorsah. Von diesen 18 Programmierern hatten 15 den Auftrag ohne Sicherheitsvorgaben erhalten. Drei Entwickler ignorierten zudem die Anforderungen der Forscher. Daraus leiten sie nun ab, dass freiberufliche Entwickler nicht automatisch auch an die Sicherheit denken, wenn sie Code schreiben. Auch beim Verständnis, was als sicher eingestuft werden kann, gibt es der Studie zufolge unterschiedliche Auffassungen. Von den schließlich 43 Registrierungssystemen basierten lediglich zwölf auf Verschlüsselungstechniken, die allgemein als sicher angesehen werden. Der Code der anderen 31 Entwickler nutzte indes Verfahren wie Base64, MD5, SHA-1, 3DES oder AES. „Viele Teilnehmer nutzten Hashing und Verschlüsselung als Synonyme“, heißt es in dem Forschungsbericht. Drei Entwickler hätten Base64 gar als Verschlüsselungsalgorithmus angesehen, obwohl es lediglich ein Kodierungsverfahren sei. Zehn Teilnehmer verließen sich indes auf die Hashfunktion MD5, die ebenfalls nicht der vorgegebenen Verschlüsselung entspricht. Die Forscher fanden zudem heraus, dass 17 der 43 Entwickler von anderen Websites kopierten Code verwendeten. Daraus folgern sie, dass diesen Programmierern das notwendige Wissen für die Erstellung eines sicheren Passwortsystems fehlte. Die Studie ergab außerdem, dass die höhere Bezahlung nur einen sehr geringen Einfluss auf die Qualität der abgelieferten Arbeit hatte. Ähnliche Studien wurden bereits 2017 und 2018 durchgeführt, jedoch mit Studenten und nicht mit selbstständigen Programmierern. Erste schnitten in den vergangenen Jahren jedoch nicht besser ab als aktuelle Entwickler.
Quelle: ZDNet.de – Studie: Programmierer schlampen bei der Passwortsicherheit

Protest gegen Artikel 13: Wikipedia Deutschland geht am 21. März offline

Eine deutliche Mehrheit der Initiatoren und Unterstützer des Online-Lexikons stimmen für den Protest. Wikipedia Deutschland kritisiert mögliche Einschränkungen für Kunst-, Meinungs- und Pressefreiheit. Die Enzyklopädie selbst profitiert von im Gesetz festgelegten Ausnahmen.
Quelle: ZDNet.de – Protest gegen Artikel 13: Wikipedia Deutschland geht am 21. März offline


50
Anzahl der Feeds in »IT-Security«

Newsfeed bereitgestellt von ZDNet.de: http://www.zdnet.de

IT-Sicherheit 2015: BSI sieht zugespitzte Bedrohungslage durch APT-Angriffe

Der 52-seitige Lagebericht des Bundesamts führt eine hohe Zahl von Schwachstellen und Verwundbarkeiten in IT-Systemen an. Er wirft IT-Herstellern vor, die Gefährdung durch nachlässiges Update-Verhalten unnötig zu verschärfen. Ein Schwerpunktthema ist der Schutz der zunehmend von IT abhängigen Kritischen Infrastrukturen.
Source: IT-Security News

Amazon führt Zwei-Faktor-Authentifizierung ein

Die Anmeldung in zwei Schritten soll die Sicherheit des Amazon-Kontos bei einem Passwortverlust gewährleisten. Den benötigten Code verschickt Amazon per SMS. Er lässt sich aber auch mit einer App wie Google Authenticator oder Sophos Authenticator generieren.
Source: IT-Security News

Microsoft gründet Cyber Defense Operation Center

Es bündelt Microsofts Bemühungen im Bereich Cybersicherheit. Ziel ist es, Bedrohungen in Echtzeit auszuwerten und darauf zu reagieren. Im Fiskaljahr 2015 gab Microsoft nach eigenen Angaben eine Milliarde Dollar für Sicherheitsforschung aus.
Source: IT-Security News

Sicherheitsbedenken von Unternehmen bremsen Industrie 4.0

Das geht aus dem von der Deutschen Telekom durchgeführten Cyber Security Report 2015 hervor. Demnach fürchten 84 Prozent der Führungskräfte, dass mit der zunehmenden Vernetzung von Maschinen auch das Risiko für Angriffe wächst. Neun von zehn Firmen verzeichneten sogar schon Attacken auf die eigene Infrastruktur.
Source: IT-Security News

Microsoft schließt Sicherheitslücken in Office für Mac

Schwerwiegende Anfälligkeiten ermöglichen Remotecodeausführung mit den Rechten des Nutzers. Eine Spoofing-Schwachstelle in der Outlook-App legt Informationen offen und erlaubt die Weiterleitung zu einer schädlichen Website. Die Updates stehen für Office für Mac 2016 und 2011 bereit.
Source: IT-Security News

Adobe schließt 17 kritische Lücken in Flash Player und AIR

Sie erlauben es Angreifern, die Kontrolle über ein anfälliges System zu übernehmen. Die Schwachstellen umfassen Use-after-free-Bugs, ein Type-Confusion-Leck und das Umgehen von Sicherheitsfunktionen. Google und Microsoft stellen Patches für die Flash-Plug-ins ihrer Browser bereit.
Source: IT-Security News

Microsoft schließt kritische Lücken in allen Windows-Versionen

Das gilt für die Patches MS15-112 und MS15-115. Insgesmat gibt es diesem Monat zwölf Updates, die insgesamt 53 Schwachstellen beseitigen. Vier Aktualisierungen sind als kritisch eingestuft, weil sie Remotecodeausführung ermöglichen. Die übrigen gelten als wichtig.
Source: IT-Security News

Malware im App Store: Apple löscht InstaAgent

Die App liefert angeblich Details zu Besuchern des eigenen Instagram-Profils. Tatsächlich stiehlt sie aber Nutzernamen und Passwörter. Entdeckt wurde schädliche Verhalten der App vom deutschen Softwareentwickler Peppersoft.
Source: IT-Security News

Kaspersky stellt virtuelle Appliance Secure Mail Gateway vor

Sie kombiniert Malwareschutz für E-Mail-Kommunikation mit einem cloudbasierten Filter für schadhafte URLs. So sollen auch Mails blockiert werden, die Links auf infizierte Websites und Schaddateien enthalten. Ein Spam- und Phishing-Schutz ist ebenfalls integriert.
Source: IT-Security News

Neue Crypto-Ransomware zielt auf Linux-Rechner

Linux.Encoder.1 verschlüsselt Dateien auf Linux-Systemen. Für die Entschlüsselung fordern die Hintermänner 1 Bitcoin, was derzeit etwa 350 Dollar entspricht. Die Malware-Entwickler machten jedoch einen Fehler, der Sicherheitsforschern die Schaffung eines kostenlosen Entschlüsselungstools erlaubte.
Source: IT-Security News

SAP schließt Sicherheitslücken in In-Memory-Plattform HANA

Von den insgesamt 21 Schwachstellen lassen sich einige nur durch eine Neukonfiguration beseitigen. Die meisten erlauben Fernzugriff ohne Authentifizierung. Sechs Lecks sind als kritisch eingestuft, von den restlichen geht ein hohes oder mittleres Risiko aus.
Source: IT-Security News

Neue Cryptowall-Variante verschleiert Dateinamen

Die Erpressersoftware löscht nun außerdem alle Systemwiederherstellungspunkte. Seine Opfer begrüßt Cryptowall 4 als Teil einer „großen Gemeinschaft“. Bitdefender stellt ein Gratis-Tool zur Verfügung, das vor einer Infektion mit der neuen Variante schützen soll.
Source: IT-Security News

ProtonMail will Forderungen von DDoS-Erpressern nicht mehr erfüllen

Die kürzlich nach einem Erpressungsversuch geleistete Lösegeldzahlung bezeichnet das Schweizer Unternehmen jetzt als „falsche Entscheidung“. Zudem stellt es fest: „ProtonMail wird niemals ein weiteres Lösegeld bezahlen.“ Dieselbe Haltung nehmen auch die ebenfalls mit DDoS-Angriffen bedrohten Dienste Runbox und Neomailbox ein.
Source: IT-Security News

Lücke in Apache-Commons-Bibliothek gefährdet Java-Anwendungen

Sie lässt sich zum Einschleusen und Ausführen von Schadcode ausnutzen. Der Fehler besteht in einer unsicheren Methode, mit der Java Objekte deserialisiert. Betroffen sind Anwendungen wie JBoss, Jenkins, OpenNMS, WebSphere oder WebLogic. Erste Projekte haben bereits Patches angekündigt.
Source: IT-Security News