ICT Security-Sécurité PC et Internet

Russian hackers and cybercrime forums are notorious for exploiting critical infrastructure. Last month, Hackread.com exclusively reported that a Russian-speaking threat actor was selling access to a US military satellite. Now, researchers have identified macOS malware being sold for $60,000.

Résultat des courses : vous n'aurez bientôt plus besoin d'un mot de passe pour vous connecter à vos appareils, à des sites web ou à des applications.

Au lieu de cela, votre téléphone stockera un justificatif FIDO appelé "passkey", qui sera utilisé pour déverrouiller votre appareil – et l'ensemble de vos comptes en ligne. Il s'agit d'un dispositif plus sûr qu'un mot de passe, car cette clé est protégée par de la cryptographie et n'est montrée à votre compte en ligne que lorsque vous déverrouillez votre appareil. A contrario, les mots de passe nous rendent vulnérables aux tentatives d’hameçonnage et à nos propres mauvaises habitudes, comme l'utilisation du même mot de passe sur plusieurs comptes.

Learn more / En savoir plus / Mehr erfahren:

https://www.scoop.it/topic/securite-pc-et-internet

iOS 14 legte offen, dass Instagram die iPhone-Kamera unerwartet aktiviert. Die App habe in diesen Fällen nichts aufgezeichnet, so die Facebook-Tochter.

Learn more / En savoir plus / Mehr erfahren:

http://www.scoop.it/t/securite-pc-et-internet/?&tag=Instagram

Identifying tokens and random addresses, meant to create anonymity, do not change in sync on some devices — opening an attack vector.

Vulnerabilities in the way Bluetooth Low Energy is implemented on devices by manufacturers can open the door to global device tracking for the Windows 10, iOS and macOS devices that incorporate it, according to research from Boston University.

An academic team at BU uncovered the flaws, which exist in the periodically changing, randomized device addressing mechanism that many new-model Bluetooth Low Energy (BLE) devices incorporate to prevent passive tracking. A paper on the issues (PDF) was presented Wednesday at the 19th Privacy Enhancing Technologies Symposium.

Learn more / En savoir plus / Mehr erfahren:

http://www.scoop.it/t/securite-pc-et-internet/?&tag=Bluetooth

Seit mindestens 2015 weiß die US-Regierung von chinesischen Spionage-Chips auf Mainboards, die in vielen Cloud-Servern stecken, heißt es in einem Medienbericht.

Laut dem US-Wirtschaftsmagazin Bloomberg Businessweek haben Apple und Amazon bereits 2015 winzige Spionage-Chips auf den Mainboards ihrer Cloud-Server entdeckt. Diese wurden in den Fabriken chinesischer Zulieferer des Herstellers Supermicro direkt auf die Boards gelötet und können Hintertüren auf den Servern öffnen. Laut dem Bericht ist für diesen beispiellosen Lauschangriff auf tausende Cloud-Server eine Spezialabteilung der chinesischen Volksbefreiungsarmee verantwortlich. US-Geheimdienste ermitteln demnach in dem Fall.

Apple, Amazon, Supermicro und die beteiligten Regierungen bestreiten alles kategorisch, doch Bloomberg ist sich seiner Sache sehr sicher und beruft sich auf insgesamt 17 anonyme Quellen in der US-Regierung und bei den Hardware-Herstellern.

Geheimdienste ermitteln

Learn more / En savoir plus / Mehr erfahren:

https://www.scoop.it/t/securite-pc-et-internet/?&tag=Cyberespionage

Samuel Groß et Richard Zhu se sont distingués durant la première journée du Pwn2Own 2018. Samuel Groß a exploité une faille de Safari permettant une élévation de privilèges pour écrire son nom sur la barre tactile d'un MacBook Pro. Il a reçu 65 000 $ en guise de récompense et six points pour le titre tant convoité de Master of Pwn.

De son côté, Richard Zhu a quant à lui contourné les défenses de Microsoft Edge en utilisant deux vulnérabilités de type use-after-free et un dépassement d'entier dans le noyau. Il a gagné 70 000 $ et 7 points supplémentaires dans la course au titre de Maître.

Learn more / En savoir plus / Mehr erfahren:

https://www.scoop.it/t/securite-pc-et-internet/?&tag=Pwn20wn

Mängel beim Datenschutz: Neun große Anbieter von Wearables und Fitness-Apps erhalten eine Abmahnung von Verbraucherschützern. Betroffen sind Apple, Garmin, Fitbit, Jawbone, Polar, Runtastic, Striiv, UnderArmour und Withings.

Learn more / En savoir plus / Mehr erfahren:

http://www.scoop.it/t/securite-pc-et-internet/?tag=wearables

https://globaleducationandsocialmedia.wordpress.com/2014/01/21/why-is-it-a-must-to-have-basics-knowledge-of-cyber-security-in-a-connected-technology-world/

http://www.scoop.it/t/securite-pc-et-internet/?tag=SHODAN+Search+Engine

http://www.scoop.it/t/21st-century-learning-and-teaching/?tag=Internet+of+Things

http://www.scoop.it/t/securite-pc-et-internet/?tag=smart-TV

http://www.scoop.it/t/securite-pc-et-internet/?tag=Internet+of+things

http://globaleducationandsocialmedia.wordpress.com/2014/01/21/why-is-it-a-must-to-have-basics-knowledge-of-cyber-security-in-a-connected-technology-world/

http://www.scoop.it/t/securite-pc-et-internet/?tag=Cars

Pour 2017, Trend Micro prévoit que les cybercriminels intensifieront leurs attaques à partir des vulnérabilités logicielles d'Adobe et Apple.

Learn more / En savoir plus / Mehr erfahren:

http://www.scoop.it/t/securite-pc-et-internet/

macOS Sierra sowie dazugehörende Software wurde im Vorfeld der Keynote aktualisiert, nun folgen Sicherheitsupdates für Windows.

Quicktime Player für Windows sollte aus Sicherheitsgründen sofort gelöscht werden

Christoph Fröhlich

Windows-Nutzer sollten schleunigst Apples Videoabspielsoftware Quicktime von ihrem PC löschen, sofern das Programm installiert ist. Das raten die Epxerten der Abteilung für Computersicherheit (US-CERT) der US-amerikanischen Homeland Security. Der Grund: Quicktime erhöhe die Gefahr, sich einen Virus oder andere Schadsoftware wie Würmer oder Trojaner einzufangen. Quicktime für Apples Betriebssystem Mac OS X ist nicht betroffen.
Quicktime für Windows total veraltet

Durch zwei Sicherheitslücken sind Cyberkriminelle in der Lage, ganze Rechner zu übernehmen. Der einzige Schutz ist die "Deinstallation von Quick Time für Windows", wie es in der Warnung des US-Heimatschutzministeriums heißt. Die Behörde beruft sich dabei auf einen Bericht des japanischen Sicherheitsunternehmens Trend Micro. Ausgenutzt werde die Schwachstelle den Experten zufolge noch nicht, doch um sicherzugehen, sollte man die Software trotzdem löschen.

Zukünftig soll es möglich sein, sich von all seinen Geräten aus sicher und ohne Passwort bei Online-Diensten anzumelden, verspricht die Allianz für Fast IDentity Online (FIDO). Bei der Synchronisierung der FIDO-Identitäten über die Cloud zeichnet sich jetzt ein Paradigmenwechsel ab: Die könnte nämlich Ende-zu-Ende-verschlüsselt erfolgen – also, ohne dass die Cloud-Betreiber Zugriff darauf erhalten. Dazu hat sich nach Apple überraschend jetzt auch Google committet.

Die FIDO hat ein technisch ausgefeiltes Konzept zur Anmeldung bei Internet-Diensten auf Basis von asymmetrischer Kryptografie und Challenge-Response-Verfahren entworfen, das deutlich sicherer als Passwörter und noch dazu komfortabel ist. Um tatsächlich Passwörter ablösen zu können, will man, dass der Anwender zukünftig seine FIDO-Identität auf all seinen Geräten nutzen kann – auf dem Smartphone genauso wie auf dem PC. Dazu muss ein geheimer Schlüssel auf all diese Geräte verteilt werden, was gemäß FIDO über die Infrastruktur der großen Plattform-Provider – also primär Google, Apple und Microsoft geschehen soll. Alle drei haben sich auch bereits dazu bekannt, das umzusetzen.

Learn more / En savoir plus / Mehr erfahren:

https://www.scoop.it/topic/securite-pc-et-internet/?&tag=FIDO

A British security researcher has discovered today that a recent security flaw in the Sudo app also impacts the macOS operating system, and not just Linux and BSD, as initially believed.

The vulnerability, disclosed last week as CVE-2021-3156 (aka Baron Samedit) by security researchers from Qualys, impacts Sudo, an app that allows admins to delegate limited root access to other users.

Qualys researchers discovered that they could trigger a "heap overflow" bug in the Sudo app to change the current user's low-privileged access to root-level commands, granting the attacker access to the whole system.

The only condition to exploit this bug was that an attacker gain access to a system, which researchers said could be done by either planting malware on a device or brute-forcing a low-privileged service account.

Learn more / En savoir plus / Mehr erfahren:

https://www.scoop.it/t/securite-pc-et-internet/?&tag=Linux

Wie Forscher herausgefunden haben, gibt es ein massives Sicherheitsproblem bei Bluetooth. Geräte sind dadurch von Angreifern leicht zu verfolgen.

Forscher der Boston University haben einen Fehler im Kommunikationsprotokoll von Bluetooth entdeckt, durch den die meisten Geräte von Dritten getrackt werden können und Daten verloren gehen.

In dem Forschungsbericht, der unter dem Namen „Tracking Anonymized Bluetooth Devices“ erschien und von den Forschern Johannes K. Becker und David Starobinski herausgegeben wurde, wird die Sicherheitsanfälligkeit von Bluetooth-Geräten detailliert beschrieben. Betroffen sein können Geräte, die Windows 10, iOS und macOS nutzen, sowie Smartwatches von Apple und Fitbit.

Learn more / En savoir plus / Mehr erfahren:

http://www.scoop.it/t/securite-pc-et-internet/?&tag=Bluetooth

The IT security researchers at Check Point have identified a new malware called SpeakUp targeting Linux and macOS – The new findings prove that there has been a surge in malware attacks against Linux and Apple devices.

SpeakUp is a new backdoor Trojan that is being distributed by cybercriminals through a malicious new campaign designed to target servers running six different Linux versions and macOS systems. The malware manages to target multiple previously identified security flaws and can evade antivirus programs effectively.

Learn more / En savoir plus / Mehr erfahren:

https://www.scoop.it/t/apple-mac-ios4-ipad-iphone-and-in-security/

https://www.scoop.it/t/securite-pc-et-internet/?&tag=Linux

https://www.scoop.it/t/securite-pc-et-internet/?&tag=crypto+malware

Dieses Jahr haben die Pwn2Own-Veranstalter ein Preisgeld von zwei Millionen US-Dollar ausgerufen. Trotz einiger Hack-Erfolge blieb ein Großteil der Prämie jedoch im Topf.

An zwei Tagen haben sich Hacker aus vielen Teilen der Welt über verschiedene Anwendungen, Browser, virtuelle Maschinen und Windows hergemacht und einige Erfolge erzielt. Auf dem jährlich stattfindenden Wettbewerb Pwn2Own nutzen Hacker für den guten Zweck Zero-Day-Sicherheitslücken unter Zeitdruck aus. Klappt das, streichen die Teilnehmer Prämien ein. Die Entwickler der geknackten Software haben dann 90 Tage Zeit, die Lücken zu schließen.

Dieses Jahr war der Topf mit zwei Millionen US-Dollar prall gefüllt. Der Veranstalter Trend Micro schüttete aber "nur" 267.000 US-Dollar aus. Das könnte unter anderem dran liegen, dass die chinesische Regierung Sicherheitsforschern aus dem eigenen Land seit Neuestem die Teilnahme an Hacking-Wettbewerben verbietet. In der Vergangenheit haben chinesische Sicherheitsforscher den Wettbewerb oft dominiert.

Jacke als Auszeichnung
Gewonnen hat dieses Jahr mit Abstand der Sicherheitsforscher Richard Zhu. Er hat Microsofts Edge und Mozillas Firefox erfolgreich attackiert und übernommen. Dafür hat Zhu 120.000 US-Dollar eingestrichen. Klappt ein Hack, kann der Teilnehmer das gehackte Gerät behalten. Der Hauptgewinner darf sich zudem mit der Master-of-Pwn-Jacke schmücken.

Insgesamt nutzten die diesjährigen Pwn2Own-Hacker fünf Apple-Bugs, vier Microsoft-Lücken, zwei Oracle-Schwachstellen und einen Mozilla-Bug erfolgreich aus. Mit 250.000 US-Dollar war das höchste Preisgeld für einen Ausbruch aus der Sandbox von Microsofts Virtualisierungslösung Hyper-V ausgeschrieben. Das hat dieses Jahr jedoch nicht geklappt.

Learn more / En savoir plus / Mehr erfahren:

https://www.scoop.it/t/securite-pc-et-internet/?&tag=Pwn20wn

Am Beispiel der Gesichtserkennung im neuen iPhone X illustriert der Whistleblower Edward Snowden die Gefahren, denen wir uns schon in naher Zukunft stellen müssen.

Im Rahmen einer Keynote auf der JBFOne, dem IT-Kongress der Fiducia & GAD, warnte Edward Snowden davor, dass Firmen immer mehr Daten anhäufen und ganz offensichtlich nicht in der Lage sind, diese zu schützen. Das zeige gerade aktuell das Beispiel des Fahrdienstes Uber, der erst jetzt zugab, dass ihm 2016 Kundendaten geklaut wurden. Auf der anderen Seite geben Endanwender immer mehr Daten über sich preis. Sie nutzen ganz freiwillig Überwachungs-Gerätschaften, wie sie sich selbst Orwell nicht hätte vorstellen können.

Als Beispiel führte der live aus seinem russischen Exil zugeschaltete Whistleblower das neue iPhone X an. Apples neues Smartphone verfügt über eine eingebaute Gesichtserkennung, die unter anderem zur Authentifizierung des Anwenders genutzt wird. Die sei zwar bereits umgangen worden, aber das sei gar nicht das eigentliche Problem. Das liege vielmehr darin, dass Apple auch Entwicklern von Fremd-Apps Zugriff auf die Daten der intelligenten Gesichtserfassung gewähren will. Und diese werden das missbrauchen, malt Snowden den Teufel an die Wand.

Werbung beobachtet den Anwender

Learn more / En savoir plus / Mehr erfahren:

https://www.scoop.it/t/securite-pc-et-internet/?&tag=Cyberespionage

https://www.scoop.it/t/securite-pc-et-internet/?&tag=Privacy

https://gustmees.wordpress.com/2013/12/21/privacy-in-the-digital-world-shouldnt-we-talk-about-it/

https://www.scoop.it/t/securite-pc-et-internet/?&tag=tracking

Mit einem einfachen Trick greift der MacDownloader Passwörter ab. Die Malware soll es auf Mitarbeiter von US-Rüstungsfirmen und Menschenrechtler abgesehen haben.

Zwei Tage lang demonstrierten Hacker in Seoul auf dem "PwnFest" diverse Schwachstellen verbreiteter Software, darunter der Browser Edge und Safari. Auch VMWare Workstations und das Google Pixel wurden geknackt.

Im Rahmen des Hacker-Events "PwnFest 2016" haben Teilnehmer am vergangenen Donnerstag jeweils gleich zweimal Sicherheitsprobleme bei Microsoft Edge unter Windows 10 (Red Stone 1) und von VMWare Workstation 12.5.1 demonstriert. Am Freitag knackte ein chinesisches Hacker-Team dann auch Googles Smartphone Pixel mit Android 7/Nougat und zeigten Sicherheitslücken in Apples Browser Safari unter macOS Sierra auf. Das zweitägige Hackerfestival PwnFest fand im Rahmen der "Power of Community"-Sicherheitskonferenz in Seoul statt.

Learn more / En savoir plus / Mehr erfahren:

http://www.scoop.it/t/securite-pc-et-internet