Coffee Break: Apple TV schwächelt | Chrome auf der Touch Bar | Neustart für Clipfish
…
Category: sicherheitslücke
Microsoft bietet bis zu 250.000 Dollar für gefundene Sicherheitslücken in Windows 10
…
Microsoft hat gestern ein Bug Bounty Programm angekündigt, welches Entwickler dafür belohnen soll, dass sie Fehler, welche die Sicherheit betreffen, im Windows-Betriebssystem an Microsoft melden. Je nach Komplexität des gefundenen Bugs gibt es zwischen 500 und 250.000 US-Dollar als Belohnung.
Jede kritische Remote Code Execution, jede Rechteausweitung und jeder Fehler im Design, welcher die Privatsphäre oder die Sicherheit eines Nutzer gefährdet, erhält eine Prämie. Wenn ein Fehler bereits intern von Microsoft gefunden wurde, erhält der erste Finder dennoch 10 Prozent der höchstmöglichen Auszahlung der jeweiligen Kategorie. Sämtliche gefundenen Sicherheitslücken müssen dabei über [email protected] an das Unternehmen gemeldet werden unter Einhaltung der Coordinated Vulnerability Disclosure Policy.
Es gibt fünf unterschiedliche Kategorien, die entscheiden, in welcher Höhe eine Belohnung ausgezahlt wird. Für Sicherheitslücken in Hyper-V in Windows Server und Windows 10 gibt es zwischen 5.000 und 250.000 US-Dollar. Für gefundene Sicherheitsfehler in Windows 10 gibt es 500 bis 200.000 US-Dollar, womit Microsoft in der Kategorie „Mitigation bypass and Bounty for defense“ nun das Doppelte bezahlt. Für Fehler im Windows Defender Application Guard im Slow Ring gibt es bis zu 30.000 US-Dollar, für kritische Bugs in Edge bis zu 15.000 US-Dollar und der Fund von generellen sicherheitsrelevanten Bugs in der Windows Insider Preview wird ebenfalls mit bis zu 15.000 US-Dollar belohnt.
Microsoft hat in den letzten Jahren mehrere Sicherheitsfunktionen in Windows 10 implementiert und mit der Einführung neuer und Aufstockung bisheriger Programme will man diese absichern.
via mspu
Der Beitrag Microsoft bietet bis zu 250.000 Dollar für gefundene Sicherheitslücken in Windows 10 erschien zuerst auf WindowsArea.de.
Hacker-Abwehr: Apple stopft kritische Löcher in OS X Yosemite
…
Der iKonzern hat sich eine Frischzellenkur in Sachen OS-Sicherheit verpasst: Silicon-Valley-Riese Apple hat zahlreiche gefährliche Sicherheitslücken in seinem Betriebssystem OS X Yosemite geschlossen. Mit dem Sicherheitsupdate auf die Version 10.10.5 sowie Sicherheitsaktualisierungen für die Versionen 10.9.5 und 10.8.5 werden die Lücken geschlossen, die es einem Angreifer aus dem Netz ermöglichen, Daten auszuspähen sowie beliebigen Programmcode auszuführen – so zumindest teilt es das Bundesamt für Sicherheit in der Informationstechnik (BSI) soeben mit. Continue reading “Hacker-Abwehr: Apple stopft kritische Löcher in OS X Yosemite”
Mozilla blockt Flash-Inhalte standardmäßig
…
Flash – schon oft ein Kandidat dafür, wenn es um Sicherheitslücken ging. Der Hack der IT-Firma „Hacking Team“ brachte viele Schwachstellen in Adobes Web-Lösung ans Licht. Adobe reagierte und machte die Lücken öffentlich und kündigte Updates an. Viele Nutzer sprechen sich seit langem für einen Tod von Adobe Flash aus, jüngst ergriff Facebooks Sicherheitschef Alex Stamos das Wort und forderte das Ende von Flash. Nun zieht Mozilla nach und blockt ab sofort alle Versionen des Flash Players von Adobe standardmäßig.
Flash wird so automatisch blockiert und der Nutzer kann selber entscheiden, ob er sich etwaige Flash-Inhalte anschauen möchte – oder ob er Flash generell weiterhin nutzen möchte. 400 Gigabyte Daten sind beim Hack der Firma Hacking Team ans Licht gekommen, 400 Gigabyte an Daten, die jetzt von Sicherheitsfirmen und natürlich auch Bösewichten gesichtet werden. Das Material ist heikel, nicht nur Flash ein bekanntes Einfallstor, auch bestimmte Android-Smartphones und andere Systeme können angegriffen und / oder übernommen werden. Wir werden leider noch jede Menge davon hören.
BIG NEWS!! All versions of Flash are blocked by default in Firefox as of now. https://t.co/4SjVoqKPrR #tech #infosec pic.twitter.com/VRws3L0CBW
— Mark Schmidt (@MarkSchmidty) July 14, 2015
Sicherheitslücke aus den 90ern macht Safari und den Stock-Android Browser anfällig für Hacker-Angriffe
…
Ein Kryptographen-Team hat eine Sicherheitslücke entdeckt, die Nutzer von Apples Browser Safari für Mac und iOS sowie Googles Stock-Browser für Android anfällig für Hacks macht. Der Knackpunkt bei der Sicherheitslücke ist, dass sie seit den 1990er Jahren besteht.
Die Sicherheitslücke wurde von den Kryptographen “Factoring attack on RSA-EXPORT Key” oder kurz “FREAK-Attack” getauft. Diese soll Safari für den Mac und iOS und den Stock-Browser für Android auf bestimmten Seiten anfällig für fremde Zugriffe machen. Auf einer dedizierten Seite der FREAK-Studie werden die betroffenen Seiten aufgelistet, unter denen sich eine Handvoll deutsche Seiten wie Giga.de, Testberichte.de, Filmstarts.de usw. befinden.
Grund für die Anfälligkeit ist eine Verschlüsselungsmethode der US-amerikanischen Regierung aus den 90er Jahren, die damals Webseitenbetreibern vorschrieb, dass Besucher aus Übersee nur mit einer schwachen 512-bit Verschlüsselung auf die Seiten zugreifen dürfen, wohingegen Amerikaner mit einer sichereren Verschlüsselung Seiten besuchen konnten. Damals gab es noch keine SSL-Verschlüsselung, bzw. befand sie sich damals noch in der Entwicklungsphase.
Doch die SSL-Entwickler hatten damals einen Mechanismus entwickelt, der beide Verschlüsselungen bewerkstelligen konnte. Als die US-Regierung die Vorschrift wieder einstampfte, war es schon zu spät und der Mechanismus wurde bereits in unzähliger Software genutzt.
Das Kryptographen-Team war laut eigener Aussage demnach in der Lage besagten Browser die schwache 512-bit Verschlüsselung aufzuzwingen, die schlussendlich nach sieben Stunden mithilfe von 75 Computern gehackt waren. Zum Vergleich: Mit einer 1024-bit Verschlüsselung würde das Team ein paar Millionen Computer und rund ein Jahr benötigen, um einen der Browser zu hacken.
Als ob dies nicht schon schlimm genug wäre, meldete sich Professor Matthew Green, seines Zeichens Forscher am Johns Hopkins Institute zu Wort. Er meint, dass diese zweigleisige Verschlüsselungsmethode in der Theorie dazu dienen konnte, der NSA Zugriff auf die Kommunikation von ausländischen Besuchern zu ermöglichen. Dies lässt natürlich Fragen offen, inwieweit die NSA dies in den letzten 20 Jahren bereits für sich genutzt hat, um Hintertüren in Software oder Webseiten einzubauen.
Jedenfalls sind sich sowohl Apple als auch Google der Sicherheitslücke bewusst und versprachen ein Sicherheitsupdate. Apple will ein Update für Safari für iOS und Mac bereits in der kommenden Woche ausrollen. Auch Google arbeitet an einem Patch, jedoch hängt der Rollout zeitlich von den jeweiligen Mobilfunkanbietern und Herstellern ab, da diese final den Patch an die Geräte ausliefern müssen. Wer nun verunsichert ist, könnte in der Zwischenzeit zum Chrome Browser für PC, Mac oder Mobile überwechseln. Dieser ist offenbar nicht für die Sicherheitslücke anfällig.