Sammelartikel zum Thema Sicherheit kann ich hier zwischenzeitlich fast täglich schreiben. Wir steuern diesbezüglich (zumindest gefühlt) auf den Abgrund zu. Heute: Neue Details zum FBI-Angriff auf das Tor-Netzwerk, russische Kriminelle haben wohl 1 Milliarde Nutzerdaten (E-Mail, Passwort) erbeutet, Gefahr durch Drive-by Infektionen und Fitness-Tracker sind unsicher.
Anzeige
Fitness-Apps und Tracker: Offen wie ein Scheunentor
Fitness-Tracker sind ja der letzte Schrei – auch im Blog thematisiere ich diese Teile schon mal. In Punkte Funktionalität wird den Wearables schon mal Bullshitarmband-Qualität zugestanden. Das fettere Problem, wenn man das so sehen mag, ist aber, dass all diese Wearables so gut wie keine Sicherung gegen eine Datenabfrage durch unbefugte Dritte haben. Jeder kann da quasi mit Bluetooth koppeln und die Daten auslesen. Bei Interesse könnt ihr z.B. diesen Spiegel Online-Artikel lesen, der die Ergebnisse einer Studie einer Sicherheitsfirma thematisiert.
Russische Bande erbeutet 1,2 Milliarden Benutzerdaten erbeutet haben
Der nächste GAU kommt schon um die Ecke – nach einem Bericht der New York Times ist es russischen Kriminellen wohl gelungen, Benutzerdaten und Kennwörter von über 420.000 Webseiten über Sicherheitslücken abzufischen. Behauptet jedenfalls Hold Security, ein Sicherheitsdienstleister in Milwaukee. Dabei seien wohl ca. 1,2 Millarden Benutzerdatensätze, bestehend aus Benutzernamen, E-Mail-Adressen und Kennwörtern erbeutet worden. Für deutschsprachige Leser verweise ich auf diesen Spiegel Online-Artikel, der es ebenfalls thematisiert.
Dazu passt wohl auch, dass die Firma ganz fix ein 120 $-Kit anbietet, mit dem man herausfinden kann, ob man betroffen ist. [Update: Spiegel Online hat das hier ebenfalls thematisiert (hat ein Geschmäckle). Und falls euch GAU zu groß vorkommt oder ihr Langeweile habt, hier ein paar Blog-Beiträge der letzten Wochen aus dem Horror-Kabinett – dabei habe ich noch längst nicht alle Meldungen hier im Blog gesammelt. Update: Sicherheitsforscher Krebs bestätigt in einem Q&A-Artikel, dass die Angaben der Firma wohl echt seien, er habe die Daten selbst gesehen. Aber es gibt auch diesen Blog-Beitrag, wo das Ganze irgendwie angezweifelt wird.
Leute, ändert euer eBay Kennwort
Neuer Daten-GAU: 18 Millionen geklauter E-Mail-Adressen samt Passwörtern aufgetaucht
Sicherheit: Backdoor in einigen Routern?
Bitly gehackt–aktualisiert eure Anmeldedaten
Australische iOS & OS X-Nutzer per Apple ID durch Hack blockiert
Avast-Forum gehackt–Benutzerdaten sind betroffen
BSI-Warnung: 200.000 Passwörter für FTP-Zugänge gestohlen
iCloud doch nicht sicher? Tool soll Backups laden können
Datenschutz-Info-Splitter zum Freitag
Website der EZB gehackt, Hacker erbeuten Daten
FRITZ!Box-Anwender sollten VoIP-Kennwort ändern
Tor durch FBI angegriffen – neue Details
Der Anonymisierungsdienst Tor gilt ja seit der Aufdeckung der Heartbleed-Lücke als kompromittiert (siehe Datenzugriff auf Tor-Exit-Server durch Heartbleet-Lücke). Kürzlich ging die Story durchs Internet, dass das FBI Tor-Exit-Server infiltriert hatte. Die Redaktion von heise.de hat es im Artikel Erfolgreicher Angriff auf Tor-Anonymisierung vor einer Woche thematisiert. Und auf der jetzt stattgefundenen Black Hat-Konferenz wurde ein Vortrag über Tor-Schwachstellen auf Grund von juristischen Eingaben sogar abgesagt. Wired hat nun aufgedeckt, wie das FBI die Tor-Anonymisierung zur Überwachung verschiedener Verdächtiger kompromittiert hat. Ganz unspektakulär hat man im Rahmen der Operation "Torpedo" Webseiten infiltriert und dort über drive-by-downloads Malware auf die Rechner der Verdächtigen installiert und Tor-Server katalogisiert. So und durch einen kennwortlosen Administrator-Account auf einem Tor-Server ließ sich dann die IP-Adresse eines Verdächtigen herausfinden. Herausgekommen ist dies durch Gerichtsdokumente in einem laufenden Prozess. Update: Bei Spiegel Online gibt es zwischenzeitlich einen deutschsprachigen Artikel mit Details.
Terminals im Handel Ziel von Exploit-Kits
Bargeldloses zahlen im Handel ist populär. Wer aber die Kassensysteme kompromittieren kann, erhält u.U. Zugriff auf die Konten von hunderttausenden Bankkunden. Hier bei ZDNet.com gibt es noch einen netten Artikel über die aktuelle Situation im Hinblick auf Exploit-Kits. Kassenterminals (als point-of-sales systems bezeichnet) sind wohl ein neues Ziel der Cyberkriminellen. Und JAVA ist wohl die Software, die am häufigsten durch Exploits angegriffen wird. Erst gestern hatte ich den Artikel JAVA 7 Update 67 freigegeben freigegeben, möchte aber nicht wissen, wie viele Systeme mit alten JAVA-Versionen laufen.
Es macht irgendwie alles keinen Spass mehr – und da wollen die Marketing-Strategen uns gerade das Internet der Dinge oder Industrie 4.0 andrehen – oder wie seht ihr das? Panikmache und alles halb so schlimm – oder sitzen wir sicherheitstechnisch auf einer schiefen Ebene und rutschen immer schneller?
2015
