Schlagwort Archiv: Google

[curi0sity] > Google

Keine WebView-Updates für viele Android Geräte mehr

20. Januar 2015 1 Kommentar

Google liefert teils keine WebViewer Updates mehr.

Ohne Sicherheitsupdates für den WebViewer wird surfen mit dem Smartphone weniger sicher. Quelle: http://upload.wikimedia.org/wikipedia/commons/7/75/Internet1.jpg

Google hat entschieden, dass es keine WebView-Updates für viele Android Geräte mehr geben wird. Betroffen sind alle Versionen bis Android 4.4, also 4.3 und älter. Was das für Folgen hat und wie Benutzer und Hersteller darauf reagieren werden ist noch offen, doch so viel steht fest: Sicherheit ist was anderes.
Zu WebView: WebView ist die zentrale Komponente von Android, die Webseiten rendert (also HTML-Daten in fancy Bilder und Text umwandelt), doch dabei gibt es im Bereich Javascript einige Bugs (dazu später mehr).

Kein Support mehr: Folgen und Gründe

Fast eine Milliarde Android Geräte, was ca.60% aller Android Geräte ausmacht, werden dem zu Folge nicht mehr mit WebView-Updates beliefert, was heißt, dass in diesen Geräten eine bekannte Lücke im WebView von Android bestehen bleibt und nicht gefixt wird.

Als Grund hierfür nennt Google, dass Jelly Bean (also Android 4.1.x bis 4.3) und alle vorherigen Versionen zu alt wären. Es ist zwar oft so, dass Software, die zwei oder drei Versionen zurück liegt nicht mehr mit (allen) Updates versorgt wird, dennoch ist die Zeitspanne, im Vergleich zu Windows oder anderen Software Produkten, zwischen Android Versionen relativ kurz.

Sicherheitslücke im WebView

(mehr …)

Mobiles Internet, Sicherheitslücken

, , , , , ,

Windows Update: Wie zerstöre ich meine Infrastruktur?

13. Januar 2015 5 Kommentare

"Windows Update" Suchvorschläge.

Ich denke, diese Suchvorschläge für „Windows Update“ sind selbstredend.

Wer meinen Eintrag über trusted computing gelesen hat, wird mit Sicherheit auch diesen Beitrag über einige seltsame Windows Updates mögen, vor allem wenn man bedenkt, dass Microsoft über den TPM-Chip für unsere Sicherheit sorgen darf 😛 .
Ich beziehe mich im folgenden auf heise Security Artikel um eine gewisse Linearität beizubehalten.

Aber hier nun die Story, die sich fast schon wie ein Tagebuch ließt, vertraut mir: Es lohnt sich!

… wir schreiben den 12.11.2014 – Patchday:

(zum heise-Artikel)
Es wurden hierbei Sicherheitslücken in der SChannel (Krypto-Infrastruktur mit SSL und TLS Paketen) vorgenommen (MS14-066 – Rating: Critical). Die Lücke bestand darin, dass über spezielle Pakete Schadware auf Server 2003 SP2 bis 2012 R2 aufgespielt werden konnte.
Desktop Rechner können über präparierte Websites geschädigt werden.

17.11.2014 – Hinweis auf SChannel-Lücke:

(zum heise-Artikel)
Hier wird nochmals auf den Patch vom 12.11. hingewiesen. Wer diesen nicht installiert, der „läuft Gefahr, dass die grundlegende Krypto-Infrastruktur des Systems als Waffe gegen den eigenen Rechner eingesetzt wird“, so heise Security. Hier wird auch ein Grund für das Versagen der Sicherheitsmechanismen genannt: Bei der Überprüfung der Echtheit von Elliptischen Kurven, kommt es zum Absturz und ermöglicht so das eindringen ins System.

Und jetzt geht’s los:

(mehr …)

facepalm, Sicherheitslücken

, , , , ,