WE ARE ROOT

Es gibt Befehle, die man nicht oft genug nutzt, um sie aus dem Kopf zu wissen, aber doch in schöner Regelmäßigkeit nutzen muss.

Dazu gehört es für Testzwecke oder interne Systeme auch das Erstellen von selbstsignierten SSL-Zertifikaten. Damit geschützte Systeme sind genau so gesichert wie welche mit gekauften Zertifikaten, nur dass der Browser eine Fehlermeldung anzeigt, weil der Aussteller unbekannt ist. Für interne Zwecke also meistens durchaus ausreichend.

weiterlesen…

Dass Festplatten nicht ungesäubert an fremde Personen weitergegeben werden sollten, hat sich ja nun bei fast allen rumgesprochen. Lange hielt und hält sich die Meinung, dass das Überschreiben nur ausreichend ist, wenn man es mehrfach durchführt. Es gibt sogar Standards mit festgelegten Reihenfolgen und Häufigkeiten.

Da der Forensikexperte Craig Wright dies nicht so recht glauben wollte, fertigte er im letzten Jahr dazu eine Studie an. Das Ergebnis: Bereits einfaches (aber komplettes) Überschreiben genügt, um die Wiederherstellung der Daten zu verhindern.
weiterlesen…

Wie die iX berichtet ist eine Entscheidung bezüglich der Betreuung des DNSSEC-Systems gefallen. Das amerikanische Privatunternehmen VeriSign, das bereits als Verwalter der Top-Level-Domains .com und .net sowie als SSL-Zertifizierungsstelle bekannt ist, soll nun auch die Verwaltung der Einzelschlüssel sowie des Root-Schlüssels übernehmen. Ohne die Signierung durch diesen Key ist eine Signierung von Subzonen nicht möglich.

Die Entscheidung fiel entgegen der Bedenken der ICANN sowie zahlreicher Experten, die u.a. eine zu große Einflussmöglichkeit der US-amerikanischen Regierung kritisierten.

weiterlesen…

Ein dringendes Update sei allen Nutzern von Virenscanner-Produkten von CA empfohlen.

Wie heise Security berichtet, schließt das Update mehrere bisher unveröffentlichte Sicherheitslücken, die es ermöglichten, infizierte Dateien an dem Scanner vorbeizuschleusen.

weiterlesen…

“Gerade gestern hatte ich die Adresse doch aufgerufen, warum finde ich sie nicht mehr in der History?”

“Ach ja, ich hab das ja am Notebook gemacht!”

Kommt das Dir bekannt vor? Also mir passiert das öfter, da ich zwei bis drei Systeme regelmäßig nutze. Laut Opera sollen diese Zeiten nun vorbei sein, dank Opera Link.

weiterlesen…

Die Jungs (und Mädels ?) auf dem 25. Chaos Communication Congress haben mal sich mal wieder etwas einfallen lassen: Das Defacement von Webseiten der NPD und das Hacken der damit verbundenen Datenbankserver.

Die Sprecher des CCC stellen diese Aktionen als “über die Stränge schlangendes Bürgerengagement” dar.

Ich bin ehrlich gesagt solchen Handlungen gegenüber zwiegespalten, wie folgt dargestellt mittels Engelchen und Teufelchen, die auf meiner Schulter sitzen:

weiterlesen…

Wie heise Netze berichtet, ist ein Angriff auf das SSL-Zertifikatsystem gelungen. Dieser ermöglicht es, für ein alle gängigen Browser gültiges Herausgeberzertifikat zu erstellen.

Dieses Herausgeberzertifikat ermöglicht es damit signierte, gültige SSL-Zertifikate zu erzeugen mit denen z.B. Man-in-the-Middle-Attacken für Bank-Websites und andere sicherheitskritische Anwendungen durchgeführt werden können.

Die betreffenden Forscher stellten das Demo-Zertifikat zur Verfügung, aber aus Sicherheitsgründen nur mit einem Ablaufdatum von 2004.

Der Angriff beruht auf einer erhöhten Kollisionswahrscheinlichkeit der MD5-Hashfunktion. Daher wird diese Hashfunktion auch nur noch von ca. 30% der sich im Umlauf befindenden Zertifikaten zur Absicherung des sog. Fingerprints verwendet.

Zur Überprüfung, ob die derzeit besuchte Seite von einem “angreifbaren” Zertifikat geschützt wird, existiert eine SSL-Blacklist. Diese wird von von dem Firefox Add-On SSL-Blacklist 4.0 verwendet, um den Benutzer zu warnen. Nach kurzem Test kam mir bisher noch kein problematisches Zertifikat unter. (Das Plugin meldet aber einen Fehler auf der Testseite: https://bad.codefromthe70s.org)

via: heise Netze: 25C3: Erfolgreicher Angriff auf das SSL-Zertifikatsystem.

Diese Version ist ein Sicherheitsrelease (Details) und behebt einen schwerwiegenden XSS-Exploit, desweiteren wurden einige kleinere Probleme behoben.

Es gibt einen Versionssprung von 2.6.3 auf 2.6.5, da eine gefakte 2.6.4 Version im Umlauf war. Eine Version 2.6.4 wurde niemals veröffentlicht.

Ein Upgrade-Paket mit den Differenzdateien von 2.6.3 zu 2.6.5 wurde wieder dankenswerterweise von WPD bereit gestellt. Das Update benötigt kein Upgrade der Datenbank ( /wp-admin/upgrade.php ).

via: WordPress Deutschland Blog – WordPress 2.6.5 veröffentlicht

Nur mal eine kleine Erinnerung: Eigentlich ist es eine Selbstverständlichkeit, jedoch selbst bei großen Hostern leider nicht die Regel: Regelmäßige Updates von Standardsoftware.

Gerade das MySQL-Verwaltungstool phpmyadmin wird fleißig weiterentwickelt und vor allem regelmäßig von Sicherheitslücken befreit. Da viele Anwendungen (wie auch dieser Blog) sich auf die MySQL-Datenbank verlassen, ist eine Sicherheitslücke an dieser Stelle extrem gefährlich.

weiterlesen…

Heimlich, still und leise hat das Wordpress-Team ca. 70 Sicherheitslücken und andere Probleme beseitigt und damit die neue Version 2.5.1 herausgebracht.

Die Version bringt wenig auffälliges Neues, da das meiste unter der Haube passierte.  So wurde z.B. der TinyMCE-Editor auf eine aktuellere Versionsnummer angehoben und eine neue kryptographische Funktion eingefügt, die Cookies besser absichern soll (siehe SECRET_KEY-Abschnitt im englischen Wordpress-Blog).

Das Upgrade ging mittels des Upgrade-Pakets von WPD problemlos und in einer Minute von statten. Danach war ein Upgrade der Datenbank mittels http://www.deinblogname.tld/wp-admin/upgrade.php nötig.

Weitere Infos und Download:

WordPress 2.5.1 veröffentlicht @ WordPress Deutschland Blog

WordPress 2.5.1@ WordPress.org (englisch)

Bei einer getarnten Befragung haben viele Leute für ein Stück Schokolade ihr Passwort verraten und in Aussicht auf einen Gewinn auch noch die notwendigen anderen Infos herausgerückt.

Sehr lesenswerte Infos, die jedem Admin den kalten Schweiß auf die Stirn zaubern (sollten). Es wird wohl Zeit, dass die Passwörter durch personalisierte USB-Dongles oder andere technische Maßnahmen ersetzt werden.

Link: Administratoren glaubt es endlich: Passwörter sind einfach nutzlos @ IT-Republik

Laut heise.de arbeiten Forscher von Microsoft an einer neuen, effektiveren Methode zur Verbreitung von Windows-Updates.

Die Idee ist, einen Wurm auszusetzen, der “infizierte” Systeme updated und sich dann in Richtung der nächsten Clients aufmacht.

Auch wenn diese Idee dem Bittorrent-Mechanismus gleichkommt und sicherlich auch die Last von Microsoft-Servern nehmen würde, kann ich mich mit damit nicht wirklich anfreunden. Schon allein die Vorstellung, dass ein Hersteller eines von mir erworbenen Softwareproduktes ungefragt meinen Rechner über eine mehr oder weniger bekannte Sicherheitslücke infiltriert behagt mir gar nicht – mal ganz abgesehen von dem Straftatbestand der Computermanipulation.

Weiterhin ist es auch im Hinblick auf den “Bundestrojaner” interessant, dass Microsoft diese Verbereitungsmethode für möglich und effektiv hält. Sind unsere Systeme doch nicht so sicher wie wir glauben?

Mehr Infos hier: Wurm statt Windows-Update – heise Security

Wie TecChannel.de berichtet wurde ein RootKit entdeckt, welches sich auf einem Vista-System als Virus im MasterBootRecord einnistete. Es war zwar nur begrenzt lauffähig, zeigt aber die Machbarkeit.

Das Gefährliche an dieser Art Schädling ist, dass das System des Nutzers beim Start in eine virtuelle Umgebung verschoben wird und somit sämtliche Hardware-Aufrufe (z.B. Virencheck auf der HDD) durch die Abstraktionsschicht des Viruses gesendet werden müssen. Der Virus hat also viel größere Chancen, sich versteckt zu halten.

Link:

Comeback der Bootsektor-Viren @ TecChannel.de