#schwachstelle

[lu-zifera]

Du bist meine Schwachstelle.

[panikattacke]

Du hast gesagt, ich bin ein starkes Mädchen.

Doch du bist meine Schwachstelle.

[kaputte-weltd]

Welcher Name ist deine Schwäche?

-kaputte-weltd

[hes-my-soulmate]

Du wirst für immer meien Schwachstelle bleiben....

[aktionfsa-blog-blog]

Schwachstelle in Thunderbird Mail

Vorsicht! Das sollte nicht passieren

Auch Open Source Software ist nicht automatisch fehlerfrei. Aber ihr Code kann von Tausenden von Entwicklern geprüft werden und nun fiel auf, dass die Thunderbird Versionen Thunderbird 139.0.2 und Thunderbird 128.11.1 die Gefahr bergen, dass in HTML Mails verpackte Downloads automatisch und unaufgefordert zum Herunterladen von PDF-Dateien mißbraucht werden können.

Diese Downloads müssen dann nicht vom Empfänger bestätigt werden und können im besten Fall die Festplatte vollmüllen aber auch bösartige Software auf das System bringen. Das taten sie in den beiden genannten Versionen auch dann, wenn Auto-Speichern überhaupt nicht aktiviert ist.

Während für Linux Systeme vor allem das "Vollmüllen" als Problem genannt wird, kann in Windows Rechnern sogar durch spezielle SMB-Links die Anzeige der Mail im HTML-Modus Windows-Zugangsdaten kompromittieren. SMB (Server Message Block) ist ein Netzwerkdateifreigabeprotokoll von Windows. Auch wenn die Schwachstelle CVE-2025-5986 mit einem CVSS-Wert von 6.5 nur eine Risikoeinstufung "mittel" erhalten hat, haben sie die Mozilla-Entwickler mit dem Risiko "hoch" bewertet.

Alle Thunderbird Versionen über 128.11.1, bzw. 139.0.2 sind bereits wieder gut geschützt.

Mehr dazu bei https://www.heise.de/news/Thunderbird-HTML-Mails-koennen-Zugangsdaten-verraten-Update-verfuegbar-10441439.html

Kategorie[21]: Unsere Themen in der Presse Short-Link dieser Seite: a-fsa.de/d/3HB Link zu dieser Seite: https://www.aktion-freiheitstattangst.org/de/articles/9184-20250613-schwachstelle-in-thunderbird-mail.html

[aktionfsa-blog-blog]

Bezahlkarte mit Sicherheitslöchern und Trackern

Upps, Digitalisierung ging mal wieder daneben

Das war mal wieder nichts - erst das große Geschrei "wir müssen den Missbrauch unseres Sozialssystems stoppen" und dann kommt eine Bezahlkarte, die man besser "Datenklaukarte" nennen sollte. Nächster Punkt: "bundeseinheitlich" ging mal wieder nicht, wie unser Schulsystem, also muss man sich jetzt jede einzelne Bezahlkarte vornehmen und diese auf Schwachstellen untersuchen.

Das haben die Sicherheitsforscher Tim Philipp Schäfers und Niklas Klee jetzt bei 3 Versionen der Karte und der zugehörigen Apps zum Blick auf das Konto detailliert gemacht. Neben Datenschutzverstößen fanden Sie teils erhebliche Sicherheitslücken und Tracker.

Die Bezahlkarte der Anbieter "PayCenter GmbH" und "petaFuel GmbH" mit derzeitigem Einsatzgebiet Bayern erlaubt über eine sogenannte "XSS-Lücke" Hackern den Login von anderen Nutzern,

möglich wäre Kontostände und sensible Daten einzusehen, Geld abzubuchen, Online-Käufe vorzunehmen (damit könnten Asylleistungen zwar nicht zu Familienangehörigen im Ausland aber auf die Konten Krimineller abfließen),

in der "SecuPay-App", der Online-Banking-App der Bezahlkarte "SocialCard", fanden Sie unter anderem elf Tracker (Verstoß gegen die DSGVO).

Julia Witte vom Verein "Digitalcourage e.V." mit Sitz in Bielefeld beurteilt die Karten und ihre Schachstellen ebenfalls als höchst problematisch. Die Unternehmen der Hersteller weisen alle Vorwürfe zurück und verweisen bezüglich der Datenweitergabe an US Unternehmen auf das bei vielen Apps übliche Verhalten.

Mehr dazu bei https://www1.wdr.de/nachrichten/westfalen-lippe/sicherheitsluecke-bezahlkarte-gefluechtete-100.html

Kategorie[21]: Unsere Themen in der Presse Short-Link dieser Seite: a-fsa.de/d/3AT Link zu dieser Seite: https://www.aktion-freiheitstattangst.org/de/articles/8794-20240531-bezahlkarte-mit-sicherheitsloechern-und-trackern.html

[aktionfsa-blog-blog]

Die Zwei-Faktor-Authentifizierung aushebeln

Schwachstelle Mensch

Jahrelang wurde uns versichert, dass wir mit einer Zwei-Faktor-Authentifizierung (2FA) sicher(er) seien. Allen voran die Banken haben solche Verfahren einführen müssen. Mit der EU Banken-Richtlinie PSD2 wurden sie Standard. Bereits damals hatten wir kritisiert, das das sinnvolle Verfahren durch die Abschaffung des "2. Wegs" wieder amputiert wird. So waren für die 2. Authentifizierung anfangs SMS o.ä. üblich, inzwischen laufen oft beide Wege wieder über ein Gerät - meist das Smartphone.

Nun hat sich herausgestellt, dass beim Kampf der Cybersicherheit gegen die Hacker letztere am Aufholen sind. In 2 Artikeln beschreibt Heise.de die Vorgehensweise der Hacker. Eigentlich ist alles beim alten geblieben - beim Pishing - nur der Aufwand, den die Hacker betreiben müssen, ist größer geworden.

Social Engineering statt neuer Technik

Weiterhin ist die Taktik der Hacker das Opfer solange zu verwirren, bis es Fehler macht. Die Tricks sind

dein Handy braucht ein Update,

dein Handy ist defekt,

ein Systemfehler ist aufgetreten, drücken Sie hier oder da,

u.v.m. ...

MFA-Fatigue-Angriff

Deshalb kommt ein MFA-Fatigue Angriff meist abends oder am Wochenende, wenn man ermüdet ist und eine technische Hilfe oder KollegInnen nicht erreichbar sind. Dann wird man mit "unlogischem Verhalten" der Technik verwirrt, solange bis man seine Passworte an der falschen Stelle eingibt. Eigentlich dürfte man das nicht tun, schreibt PCspezialist.de, denn:

Eine Authentifizierungsanfrage wird nur dann abgesendet, wenn Sie zuvor das korrekte Passwort in ein System eingegeben haben. Denn genau das ist ja der Sinn der Multi-Faktor-Authentifizierung – der zusätzliche Schutz durch eine zusätzliche Sicherheitsabfrage.

Ein Einmal-Passwort (OTP) kann also vom System nie verlangt, werden, wenn man sich nicht vorher dort einloggen wollte. Passiert dies doch, so ist es mit Sicherheit ein Cyberangriff. Die Angreifer versuchen ihre Opfer jedoch durch wiederholte Abfragen und/oder Abweisungen "des Systems" zu verwirren. So eine Abfrage kann auch ein Anruf "einer technischen Abteilung" sein, die einen angeblichen "Systemfehler" zurücksetzen müsse. Die Schwachstelle der Zwei-Faktor-Authentifizierung (2FA) bleibt der Mensch.

Mehr dazu bei https://www.heise.de/ratgeber/Ausprobiert-Phishing-trotz-Zwei-Faktor-Authentifizierung-8981919.html und https://www.heise.de/ratgeber/IT-Security-Wie-Angreifer-die-Zwei-Faktor-Authentifizierung-aushebeln-8973846.html und https://www.pcspezialist.de/blog/2022/11/28/mfa-fatigue-angriff/

Kategorie[21]: Unsere Themen in der Presse Short-Link dieser Seite: a-fsa.de/d/3u1 Link zu dieser Seite: https://www.aktion-freiheitstattangst.org/de/articles/8395-20230510-die-zwei-faktor-authentifizierung-aushebeln.htm

[aktionfsa-blog-blog]

Open Source stabiler und besse

Open Source stabiler und besser

Image von Open Source Programmen in Gefahr?

📷Schon vor 3 Wochen hatten wir über die Sicherheitslücke Log4j berichtet. Diese in vielen Softwarepaketen enthaltene Funktion zum Loggen der Arbeit dieser Software ist ein Open Source Produkt, d.h. sie ist in freiwilliger Arbeit und meist ohne Bezahlung entstanden.

Birgt diese Sicherheitslücke nun die Gefahr das gute Image von Open Source Programmen zu gefährden? Diese Gefahr besteht nicht, denn  wie "Wired" bereits 2004 feststellte, erweist sich im Allgemeinen Open Source Software als viel sicherer  als kommerzielle Varianten. So werden im Quellcode des frei verfügbaren Betriebssystems Linux durchschnittlich 0,17 Fehler pro 1000 Zeilen Code gefunden aber in den kommerziellen Systemen sind es zwischen 20 und 30.

Lassen wir uns diese Zahlen mal auf der Zunge zergehen: Gut bezahlte Programmierer in den Büros der Internetgiganten Google, Apple und Microsoft machen 100 bis 200-mal mehr Fehler als Menschen, die in ihrer Freizeit und mit Lust und Laune programmieren. Hinzu kommt noch, dass die Programmierer in den Konzernen von Abteilungen der Qualitätssicherung kontrolliert werden, die es trotzdem nicht schaffen diese Fehler zu  bemerken und zu korrigieren.

Manon Bischoff stellt auf spektrum.de dazu fest:

Während angestellte Informatiker in Firmen nicht selten sechsstellige Jahresgehälter beziehen, finanzieren sich Personen, die an Open-Source-Projekten arbeiten, über Spenden. Tatsächlich hatte Ralph Goers, der Log4j in seiner Freizeit (neben seinem Vollzeitjob) verwaltet, bis vor Kurzem lediglich drei Förderer auf der Software-Plattform »GitHub«. Auch Volkan Yazıcı, der an Log4j mitarbeitet, beschwert sich auf Twitter: "Wir haben ununterbrochen an Maßnahmen gearbeitet … Doch nichts hält die Leute davon ab, uns wegen einer Arbeit zu beschimpfen, für die wir nicht einmal bezahlt werden …"

Auch ihre Recherche ergibt, dass trotz Log4j und dem Verweis auf die Heartbleed Lücke vor einigen Jahren, ebenfalls in Open Source Software, frei verfügbare Quellcodes viele Vorteile bieten, die weit über die "finanzielle Aspekte" (= die Ausbeutung der Programmierer) hinausgehen. Software, die nicht an die festen Strukturen gebunden ist, die ein Unternehmen stets vorgibt, kann Anwendungen ermöglichen, die anfangs vielleicht gar nicht angedacht waren. Auch die freie Diskussion unter den Entwicklern schafft Möglichkeiten, die im fest geschlossenen Geheimlabor eines Unternehmens nicht entstehen können.

Unser Fazit bleibt also das Gleiche, wie in dem Artikel vor 3 Wochen: ... in Deutschland könnte das BSI mit der Digitalisierungs-geilen neuen Koalition im Rücken endlich mal Position für Open Source Software beziehen - aber das geht der unternehmensfreundlichen FDP sicher wieder zu weit. Mit poliiitscher und finanzieller Unterstützung für Open Source in den letzten 20 Jahren sähe die Software-Landschaft aber auch die Digitalisierung in Europa anders aus.

Mehr dazu bei https://www.spektrum.de/news/log4j-sicherheitsluecke-und-open-source/1961080 Link zu dieser Seite: https://www.aktion-freiheitstattangst.org/de/articles/7881-20220102-open-source-stabiler-und-besser.htm