Nach einer Heise-Meldung werfen Sicherheitsforscher ausgerechnet den Herstellern von Antiviren-Software grobe Fahrlässigkeit bei der Verarbeitung von https-Verbindungen vor: Fast die Hälfte der untersuchten Programme mischten sich in die dafür notwendige TLS-Verbindung ein, mit dem Effekt, das fast ausschließlich eine erhebliche Verschlechterung der TLS-Sicherheit "erreicht" wurde. Hintergrund hierfür ist natürlich der Drang der Antiviren-Hersteller, ihre Kunden auch vor Schadprogrammen auf verschlüsselt ausgelieferten Webseiten zu schützen – nur im eigentlichen ist der https/TLS-Schutz gar nicht dafür gedacht, irgendwo (auch zu legalen Zwecken) aufgebrochen zu werden. In jedem Fall sind die dafür eingesetzten Methoden der Antiviren-Hersteller teilweise so absurd, das eben eine klare Sicherheits-Verschlechterung erreicht wird – sprich, die Antiviren-Software selber macht das System unsicherer. Konkret werden durch die verringerte TLS-Sicherheit "Man-in-the-Middle"-Attacken begünstigt, welche jetzt weniger denn typischen Viren weiterhilft, worüber sich allerdings die "Anbieter" von gefälschten Banken-Webseiten freuen werden.

Derzeit grassiert in besonderem Maße der Erpressungstrojaner "Locky", welcher nach einer Verschlüsselung der persönlichen Daten des Computernutzers Geld in Form von Bitcoins für deren Entschlüsselung verlangt. In der heutigen Zeit kann einen ein solcher Angriff hart treffen, viele Dokumente liegen nur noch elektronisch vor und in ihrer Gesamtheit sind die vorhandenen Datensammelungen sowieso unersetzbar. Neben dem allgemeinen Hinweis, immer Backups (auf einem externen Datenträger, der nicht ständig mitläuft!) anzulegen, sowie den üblichen Tipps wie aktuelle Windows- und Software-Updates zeitnah einzuspielen, gibt es allerdings auch für den konkreten Fall wirklich ziehende Schutzmaßnahmen, mit denen man speziell Locky aushebeln kann ... zum Artikel.

Eine Umfrage von Anfang Juni fragte – aus Anlaß der Meldungen um TrueCrypt natürlich – welche Festplatten- und Datei-Verschlüsselungen derzeit eingesetzt werden. Es handelt sich hierbei natürlich um kein Massenthema, demzufolge setzen auch nur 39,9% der Umfrage-Teilnehmer eine Verschlüsselungs-Software ein – und demzufolge mit 60,1% die Mehrheit nicht. Interessanterweise ist jedoch eine klare Mehrheit der aktuellen Nichtnutzer durchaus interessiert an Verschlüsselungs-Software.

Wie der umfangreichen Medien-Berichterstattung zum Fall zu entnehmen, wurde das TrueCrypt-Projekt unvermittelt eingestellt, die Projekt-Webseite vollständig entfernt und durch einen eher seltsamen Warnhinweis auf (angeblich) unbehobene Sicherheitslücken samt einer Anleitung für den Umstieg auf Microsofts Bitlocker ersetzt. Seitdem räselt man darüber, was hier wirklich passiert ist – ein Hack der Webseite, ein Eingreifen der NSA oder aber schlicht Unlust seitens der Programmierer. Mangels weitergehender Informationen kann dies leider derzeit nicht geklärt werden. Abseits der Spekulationen darüber muß aber dennoch die Sicherheit von TrueCrypt neu eingeschätzt werden, trotz derzeit nur mangelhaft vorliegenden Informationen.

Angesichts von in der letzten Zeit vielen neuen Windows-7-Systemen fällt auf, das zum Thema der Diensteverwaltung von Windows 7 so etwas wie eine "Anleitung für Paranoiker" fehlt. Es gibt zwar gute allgemeine Erklärungen und auch Anleitungen zur Konfiguration leistungsschwacher Systeme, aber der Ansatz, alles was irgendwie gefährlich nach "Netzwerk" und "Remote-Zugriff" klingt, zu deaktivieren, dafür aber möglichst keine anderen Funktionen mit zu erwischen, wurde bislang noch nicht so richtig verfolgt – was wir hiermit nachholen wollen ... zum Artikel.

Da die (berechtigte) Frage nach den wirklich von der "Heartbleed"-Lücke betroffenen Diensten aufgekommen ist, wollen wir dafür auch eine Antwort geben. Die nachfolgende Liste ist natürlich unvollständig – maßgeblich wegen der unzureichenden Informationspolitik der Anbieter – gibt aber wenigstens teilweise eine Antwort darauf, ob die Anbieter diverser Internet-Dienste, Betriebssysteme und Programme betroffen sind. Mit notiert wurden auch Dienste, Betriebssysteme & Programme, welche nicht betroffen sind – da auch diese Information wertvoll ist.

Die am Wochenanfang gemeldete Heartbleed-Lücke in OpenSSL entwickelte sich im Laufe der letzten Tage immer mehr zum IT-Sicherheits-Super-GAU, welcher nun auch die normalen Anwender ultimativ zum Handeln zwingt. OpenSSL wird als Kryptographie-Lösung in vielen Programmen verwendet, hauptsächlicher Einsatzzweck besteht in der Verarbeitung von verschlüsselten https-Verbindungen, beispielsweise zu Online-Diensten, Mail-Servern, Online-Banken, usw.

Der Guardian und die New York Times präsentieren die neueste Edward-Snowden-Enthüllung: Die Geheimdienste NSA (USA) und GCHQ (Großbritannien) geben erhebliche Ressourcen dafür aus, um Internet-Verschlüsselung zu umgehen oder zu knacken. Das NSA-Programm "Bullrun" ist dabei finanziell sogar weitaus besser ausgestattet als die Datensammel-Maschine "PRISM", beim GCHQ läuft als britisches Gegenstück das Programm "Edgehill".

So richtig eingeschlagen haben am Freitag die Meldungen über das PRISM-Überwachungsprogramm des US-Geheimdienstes NSA, ausgehend von Meldungen des britischen Guardians sowie der Washington Post. Grundaussage ist dabei, daß die NSA angeblich direkten und weitgehend unlimitierten Zugriff auf die Daten von Microsoft, Yahoo, Google, Facebook, PalTalk, YouTube, Skype (im übrigen schon etwas vor der Übernahme durch Microsoft), AOL und Apple hat.

Gemäß dem Heise Newsticker warnt das Bundesamts für Sicherheit in der Informationstechnik (BSI) derzeit vor einer neuen Welle an infizierten Anzeigen-Servern, welche anstatt Werbung dann eben Schadcode ausgeliefert haben – darunter auch bei großen Webseiten wie dem Spiegel. Der Schadcode zielte dann auf eigentlich behobene Sicherheitslücken in Java, Flash sowie anderen Programmen ab und nutzt damit in erster Linie die Bequemlichkeit vieler Internetsurfer beim Aktualisieren ihrer installierten Programme sowie des Betriebssystems aus.