Archives: Sicherheit

Sicherheitslücke in iTunes und iPhone

2009-09-24 | By Marc | No Comments | Filed in: Mobile Kommunikation, Sicherheit.

Eine Sicherheitslücke in Apples iTunes, sowie dem iPhone, ermöglicht es, beliebigen Code auf dem Gerät auszuführen. Verantwortlich hierfür ist ein Buffer Overflow, der beim Abspielen manipulierter MP3- und AAC-Dateien auftritt. In der jeweils neuesten Software-Version soll die Schwachstelle beseeitigt sein. Unterdessen meldet Secunia, dass iTunes ebenfalls mit Playlistdateien angreifbar ist. Auch hier kann beliebiger Code • Read More »

Tags: , ,

Sicherheitslücke in wget

2009-09-02 | By Marc | No Comments | Filed in: Sicherheit.

Nachdem die von Moxie Marlinspike entdeckte SSL-Sicherheitslücke in allen gängigen Browsern gepatcht wurde, hat nun Secunia eben diese Lücke auch in wget gefunden. Auch hier werden Teile von Domainnamen hinter einem Null-Zeichen ignoriert. Ein Update von wget ist bisher nicht erschienen, soll aber in Arbeit sein.

Tags: ,

WPA-Verschlüsselung angreifbar

2009-08-28 | By Marc | No Comments | Filed in: Netzwerke, Sicherheit.

Forschern der Universtität von Kobe in Japan soll es gelungen sein, die in WLAN häufig eingesetzte WPA-Verschlüsselung zu brechen. Der Angriff auf ein WLAN, welches mittels WPA mit TKIP-Algorithmus gesichert ist, soll nur rund eine Minute dauern. An der Universität von Hiroshima sollen im Rahmen einer Konferenz am 25. September weitere Details bekannt gegeben werden. • Read More »

Tags: , , ,

DKIM mit Postfix und Spamassassin

2009-08-20 | By Marc | 3 Comments | Filed in: Sicherheit.

DKIM als Authentifizierungsmechanismus für E-Mails ist ein Zusammenspiel von DNS, MTA und Spam-Filter. Der versendende Mailserver versieht den Header ausgehender Mails mit einer Signatur (Private Key), welche der empfangende MTA anhand eines speziellen DNS TXT-RR (Public Key) verifizieren kann. Mag kompliziert klingen, ist aber eigentlich ganz einfach umzusetzen, wie das folgende Beispiel auf einem Debian • Read More »

Tags: , , ,

SSL-Zertifikate bei vielen CA manipulierbar

2009-07-30 | By Marc | No Comments | Filed in: Sicherheit.

Moxie Marlinspike hat in seinem Vortrag auf der Black Hat in Las Vegas eine Möglichkeit aufgezeigt, SSL-Zertifikate für beliebige Domains zu fälschen. Viele Certificate Authorities lassen es demnach zu, vor dem gültigen Domainnamen das Null-Zeichen ‚\0‘ und wiederum davor einen beliebigen anderen Doaminnamen zu setzen, welcher dann als Subdomain behandelt wird. Im genannten Beispiel mit • Read More »

Tags: , ,

Slowloris fail2ban

2009-06-21 | By Marc | No Comments | Filed in: Netzwerke, Sicherheit.

Wie bereits beschrieben, existiert bisher keine wirksame Möglichkeit, einen Apache-Server vor einem Angriff mit Slowloris zu schützen. Ein Ansatz ist sicherlich, die IP des Angreifers zu sperren. Also im Prinzip die Funktionsweise des Tools fail2ban. Ich habe ein kleines Script gebastelt, welches den Apache-Errorlog auf Einträge durchsucht, die auf einen Angriff mit Slowloris hindeuten und • Read More »

Tags: , , ,

DNSSEC mit BIND9

2009-06-11 | By Marc | No Comments | Filed in: Netzwerke, Sicherheit.

Da die Verwendung von DNSSEC für die Root-Zone ja momentan heiß diskutiert wird, habe ich mir mal angesehen, wie ich denn meinem DNS-Resolver (BIND9) DNSSEC beibringe. DNSSEC funktioniert, um es mal ganz grob zu umschreiben, mit zwei Schlüsselpaaren. Einem zone-signing-keypair (ZSK) und einem key-signing-keypair (KSK). Hiervon wird jeweils der öffentliche Schlüssel dem Resolver (aka Client) • Read More »

Tags: , , ,

Apache2 mit mehreren SSL-VirtualHosts

2009-02-06 | By Marc | 4 Comments | Filed in: Netzwerke, Sicherheit.

Wer mehrere Domains auf einem Webserver betreibt, wird möglicherweise den Wunsch haben, hier verschiedene SSL-Zertifikate für die jeweiligen Domains zu installieren. Allerdings kann der Server erst nach dem SSL-Handshake entscheiden, welchen Host der Browser angefragt hat. Abhilfe schafft das die TSL-Erweiterung SNI (Server Name Indication). Unterstützt wird diese doch recht sinnvolle Neuerung aber bisher nur • Read More »

Tags: , , ,

Mails verschlüsseln mit GnuPG

2008-12-10 | By Marc | 1 Comment | Filed in: Linux, Sicherheit.

Zwar gehe ich nicht unbedingt davon aus, dass das BKA oder sonstirgendwer bewusst meine Mails mitliest, aber man weiß ja nicht, ob der Empfänger einer Mail nicht möglicherweise von solchen Maßnahmen betroffen ist. Und aus diesem Grund habe ich mich nun ein wenig mit dem Ver- und Entschlüsseln von Mails per GnuPG beschäftigt. Zu aller • Read More »

Tags: , ,

SSL-Zertifikate in Symbian

2008-12-09 | By Marc | 3 Comments | Filed in: Mobile Kommunikation, Sicherheit.

Die Aktualisierung meiner SSL-Zertifikate auf dem Mailserver stand an. Mithilfe von CAcert war dies auch schnell erledigt. Zu besagtem Anbieter lassen sich im Internet eigentlich alle notwendigen Informationen finden, darum gehe ich hier nicht weiter auf die Prozedur ein. Eher wenige Informationen finden sich dagegen zum Import von Root-Zertifikaten auf Geräten mit Symbian-Betriebssystem. Dies ist • Read More »

Tags: , , , ,