Schlagwort Archiv: IT-Sicherheit

Docker: Hinweise in puncto Sicherheit

Ist Docker wirklich Sicher?

Docker erfreut sich immer höherer Beliebtheit und gilt als sicher, doch stimmt das wirklich?

Docker dient in erster Linie dazu Anwendungen (meist Server-Anwendungen) einzukapseln und vom Rest des Betriebssystems zu entkoppeln. Dabei wird auf den Linux Kernel vom Host-System zurückgegriffen und mittels cgroups und namespaces die Möglichkeiten des Docker-Containers eingeschränkt.

Container sind dabei kein Mittel um Anwendungen sicherer zu machen, sondern dienen in erster Linie dazu skalierbare Dienste bereit zu stellen. Sie haben jedoch den Vorteil, dass Anwendungen vom Rest des Systems entkoppelt sind, mehr dazu aber später.

Das Prinzip von Containern

Ein Container ist sehr grob gesagt eine leichtgewichtige VM (virtual machine). Er enthält ebenfalls ein virtuelles Betriebssystem besitzt jedoch eine andere Virtualisierungsebene als eine VM. (mehr …)

Warum SHA-1 unsicher ist

SHA-1 ist unsicher und sollte ersetzt werden

Der Hashingalgorithmus SHA-1 gilt als unsicher und sollte ersetzt werden. Doch warum eigentlich? Hier sieht man den Grund: Unterschiedliche Nachrichten generieren den selben Hash-Wert.

Schon seit längerem gilt der Hashing-Algorithmus SHA-1 als unsicher und sollte durch SHA-2 oder SHA-3 ersetzt werden. Was macht aber SHA-1 zu einem unsicheren Hash-Verfahren und wie hat man das herausgefunden?

Das Lustige an der Sache: SHA bedeutet secure hash algorithm, was in diesem Zuge doch recht ironisch ist.

Was Hash-Verfahren sind

Hash-Verfahren erzeugen aus einer Menge an Daten eine scheinbar willkürliche Folge an Bits. So wird durch SHA-1 beispielsweise aus dem Wort curi0sity die Zeichenfolge e544b48a746e297c9a10957ff0cf433cb41073d9. Ändert man nun ein Zeichen, also Curi0sity (großes statt kleines C am Anfang), so ändert sich der Hash-Wert komplett zu 5eed9a4940371dadad8119be0f9f32d94e52296c. Kleine Änderung, große Wirkung.

Genutzt werden Hash-Werte z.B. um zu überprüfen ob eine Datei richtig übertragen wurde. Der Sender stellt die Datei und den Hash bereit und der Empfänger bildet den Hash der empfangenen Datei. Sind die Werte identisch, so war die Übertragung mit sehr hoher Wahrscheinlichkeit erfolgreich. Sind die Werte nicht identisch, so war die Übertragung definitiv nicht erfolgreich.
Auch werden von Passwörtern erst die Hash-Werte bestimmt und diese dann übertragen oder gespeichert, sodass Hacker, die den Netzwerkverkehr mitschneiden, das Passwort nicht als Klartext haben. Sie haben somit nur den Hash-Wert, aus dem sich die originale Zeichenkette nicht wieder herstellen lässt (jeden Falls nicht mit einfachen mitteln und in kurzer Zeit).

Skizze einer Hash-Funktion

Skizze einer Hash-Funktion. Die Eingaben „John Smith“ und „Sam Doe“ erzeugen hier den selben Hash-Wert – dies bezeichnet man als Kollision.

Wann ist ein Hash-Algorithmus „gebrochen“?

(mehr …)

Das Image der Ende-zu-Ende Verschlüsselung

Eine vernünftige Ende-zu-Ende-Verschlüsselung ist bei vielen Dienstleistern noch die Ausnahme.

Eine vernünftige Ende-zu-Ende-Verschlüsselung ist bei vielen Dienstleistern noch die Ausnahme.

Schon oft habe ich über das Thema Verschlüsselung und vor allem Ende-zu-Ende Verschlüsselung geschrieben. Dabei geht es nicht nur um die Mail-Verschlüsselung oder um das chatten mit IMs, sondern um generellen Datentransfer über das Internet. Wie ebenfalls oft berichtet ist dabei vielen Unternehmen die Verschlüsselung nicht wichtig oder greift ihre Ideale und Konzepte an.

Anstatt also offen an das Thema Ende-zu-Ende Verschlüsselung heran zu gehen wird an vielen Stellen das Image „Mailverschlüsselung ist tierisch kompliziert“ weiter geschürt.

Google + Ende-zu-Ende Verschlüsselung = Pleite?

Klingt irgendwie seltsam, ist aber so.
Aber wenn man mal nachdenkt: Womit verdient Google hauptsächlich Geld? Richtig, mit personalisierter Werbung aus den Daten der Nutzer von Google-Diensten (ca. 90% der Einnahmen stammen von personalisierter Werbung).

Wenn Google also vernünftig verschlüsseln würde, wären die Inhalte von Nachrichten und somit die Daten der Nutzer nicht mehr lesbar. Google könnte also keine personalisierte Werbung mehr schalten und würde deutlich weniger Profit machen. Das ist einer der Gründe, warum bei Hangouts und vielen weiteren Diensten keine Ende-zu-Ende Verschlüsselung vorliegt.

Ganz ähnlich geht es bei vielen anderen Dienstleistern zu, die Ihren Gewinn mit Nutzerdaten machen (z.B. Facebook, Microsoft mit Windows 10 und anderen Diensten, Twitter, Instagram, etc.).

Allgemein kann man sich ruhig öfters mal fragen: Warum kann ich Facebook eigentlich kostenlos nutzen? Warum kann ich kostenlos einfach so Bilder bei Instagram hochladen? Warum kann ich kostenlos einfach so die komplette Erde in HD Qualität und teilweiser 3D Ansicht mit Routenplanung und HD Straßenansichten begutachten?????

Keine technischen Hürden

(mehr …)

Alle Android Geräte von Stagefright betroffen … erneut

In Androids Stagefright Mediensystem befinden sich zwei Sicherheitslücken.

Erneut kamen zwei schwerwiegende Sicherheitslücken in Androids Mediensystem Stagefright zum Vorschein.

Wie ich bereits ziemlich genau vor zwei Monaten berichtet habe, wurde Android von der Sicherheitslücke im Mediensystem Stagefright geplagt. Dies hat sich diesen Monat wiederholt denn schon wieder ist Stagefright von Sicherheitslücken betroffen – und dabei haben die meisten Geräte zusätzlich noch die alten Lücken.

Theoretisch sind alle Geräte, die ab 2008 (Android 1.0 Release) gekauft wurden betroffen. Praktisch sind jedoch einige Android Geräte durch vorherige Updates der Hersteller abgesichert.

Lücke in Stagefright und libutils

Wieder handelt es sich um Lücken im Mediensystem Stagefright und wieder kann man durch veränderte MP3 / MP4 Dateien Code auf dem Smartphone ausführen (sog. Remote-Code-Execution).

Die zwei gefundenen Lücken liegen in den Bibliotheken libutils und libstagefright von Android. Obwohl die Lücken an unterschiedlichen Stellen sind, können sie mit dem selben Trick benutzt werden und ermöglichen auch beide eine RCE (Remote-Code-Execution).

Durch das angucken an sich wird die Lücke nicht ausgenutzt, gefährlich ist jedoch die Verarbeitung der Metadaten (z.B. Datum, Größe, Auflösung, Länge, etc.) vor dem abspielen der Datei. Diese findet in eben den Bibliotheken libstagefright, bzw. libutils statt.

Wer ist betroffen?

(mehr …)

Spionage: Überwachungs-Chip für IoT Geräte

IoT Geräte sollen Identifikations-Chip bekommen.

IoT-Geräte sollen sich eindeutig ausweisen können. Das ist jedoch wenig sinnvoll.

Dem Ministerium für Wirtschaft und Energie (kurz BMWi) wurde vom niederländischen Chiphersteller NXP ein Eckdatenpapier vorgelegt, nach dem in jedes Gerät im IoT (Internet-of-Things) ein Hardwarechip zur eindeutigen Identifikation verbaut werden soll.

Geplant ist das ganze als „Identitätssicherheitsgesetz“ und wurde bisher von NXP ins Leben gerufen und mit vielen Herstellern von IoT-Geräten besprochen (mehr dazu jedoch zum Schluss).

Chip soll Sicherheit für das IoT bringen

Laut NXP soll dieser Chip die Sicherheit von IoT-Geräten erhöhen, da zwei Geräte, die miteinander kommunizieren möchten, sich erst mal ausweisen müssen. Ein Missbrauch von Geräten soll so verhindert werden.

Bedenken wurden sowohl von der Grünen-Fraktion, also auch vom CCC (Chaos-Computer-Club) geäußert. Der Chip sei auch nur ein technisches Bauteil in einer Reihe von verwundbaren und angreifbaren Elementen des Gerätes, so die Argumente.

Kurzum gilt: Jeden Chip und jede Software lässt sich hacken, auch ein IoT-Chip.

Chip perfekt für Überwachung

(mehr …)