LN-Waschpress

Kategorie: Security

  • NSA gibt Hacker-Tool als Open Source frei

    Der US-amerikanische Geheimdienst NSA hat auf seiner derzeit abgehaltenen Jahreskonferenz RSA Conference 2019 die Freigabe des Hacker-Tools GHIDRA als Open Source bekannt gegeben

    Binärpakete analysieren

    GHIDRA ist ein Java-basiertes Reverse-Engineering-Framework mit einer grafischen Benutzeroberfläche (GUI), das für die Ausführung auf einer Vielzahl von Plattformen wie Linux, Windows und macOS entwickelt wurde. Das Framework enthält eine Reihe mächtiger High-End-Softwareanalyse-Tools, die es Anwendern ermöglichen, kompilierten Code zu analysieren.

    Gut oder böse?

    Offiziell setzt die NSA das selbst entwickelte Software-Reverse-Engineering-Tool bereits seit über einem Jahrzehnt intern ein, um Sicherheitsprobleme in Software zu beheben. Genausogut kann das Werkzeug aber auch dazu dienen, Backdoors in Binärsoftware zu platzieren.

    Keine Backdoor!

    Bei der Vorstellung des Werkzeugs auf der RSA betonte Rob Joyce, Referent für Cybersicherheit bei der NSA, GHIDRA habe keine Backdoor: »Dies ist die letzte Community, in die du etwas mit einer installierten Hintertür freigeben möchtest, für Leute, die nach diesem Zeug suchen, um es auseinanderzunehmen.«

    Keine Backdoor?

    Der britische Sicherheitsforscher Matthew Hickey vom Unternehmen Hacker House fand laut The Register einen zunächst verdächtigen Port, wenn das Tool im Debug-Modus läuft. Dann öffnet es den Port 18001 für das lokale Netzwerk und akzeptiert und führt Remote-Befehle von jeder Maschine aus, die sich verbinden dahin kann. Der Debug-Modus ist standardmäßig aber nicht aktiviert und kann auch auf Verbindungen des Host-Rechners beschränkt werden. Also eher keine Backdoor.

    Reverse-Enginiering-Tools

    Zu den Funktionen gehören Disassemblierung, Montage, Dekompilierung, und Skripting sowie Hunderte von weiteren Funktionen. GHIDRA unterstützt eine Vielzahl von Prozessanweisungen und ausführbaren Formaten und kann sowohl im interaktiven als auch im automatisierten Modus ausgeführt werden. Benutzer können auch ihre eigenen GHIDRA-Plugins oder Skripte mit Java oder Python entwickeln.

    InfoSec-Community hoch erfreut

    Die InfoSec-Community wartete bereits seit der ersten Ankündigung im Januar auf das mächtige Werkzeug zum Aufspüren von Viren und Malware, das nun in Version 9.0 auf der Webseite des Projekts zur Verfügung steht. Bisher standen in dieser Qualität lediglich teure kommerzielle Werkzeuge wie IDA-Pro, Radare, Capstone oder Hopper zur Verfügung.

    GHIDRA soll in nächster Zeit komplett auf GitHub zur Verfügung stehen, eine Installallationsanleitung steht auf der Projektseite bereit.

  • Hybrid-Trojaner bedroht Linux

    Hybrid-Trojaner
    Foto: Markus Spiske auf Unsplash

    Die Zeiten, in denen Linux nicht interessant für Viren und Trojaner war, scheinen vorbei. Der Hybrid-Trojaner Linux.BtcMine.174 bedroht Linux-Installationen gleich auf mehreren Ebenen. Neben Monero-Crypto-Mining tritt er als Keylogger auf, kann Passwörter stehlen, ein Rootkit installieren und DDoS-Attacken fahren.

    Schädlinge nachgeladen

    Entdeckt wurde Linux.BtcMine.174 von den russischen Sicherheitsforschern des Antivirus-Herstellers Dr. Web. Die Forscher stellten fest, dass nach der Infektion über die Server der Cyber-Kriminellen verschiedene weitere Schad-Software nachgeladen wird. 

    Crypto-Währung minen

    Der Trojaner ist ein Shell-Script mit rund 1.000 Zeilen. Hauptaufgabe des Schädlings ist das Mining der Crypto-Währung Monero auf den befallenen Rechnern.  Nach der Infektion, bei der versucht wird, das Script in ein Verzeichnis mit Schreib- und Leserechten zu installieren prüft es zunächst, ob der Server der Trojaner-Entwickler erreichbar ist, um zusätzliche Module nachladen zu können.

    Die schmutzige Kuh herausgeholt

    Reichen die bei der Infektion erlangten Rechte nicht aus, versucht die Schad-Software, die beiden bereits seit Jahren geschlossenen Sicherheitslücken CVE-2013-2094 und CVE-2016-5195, auch als Dirty Cow bekannt, auszunutzen, um höhere Rechte zu erlangen.

    Nach der Installation des Monero-Miners prüft das Script den Rechner auf das Vorhandensein weiterer Mining-Software, um diese zu deaktivieren. Dann wird der Bill Gates Trojaner (PDF) nachgeladen, der DDoS-Attacken mit einem selbst erstellten Botnet durchführen kann.

    Rootkit inklusive

    Laut Dr.Web fügt sich der Trojaner dann als Autorun-Eintrag in Dateien wie /etc/rc.local, /etc/rc.d/.. und /etc/cron.hourly ein und lädt anschließend ein Rootkit herunter und startet es. Das Rootkit hat unter anderem die Fähigkeit, benutzerdefinierte Passwörter für den su-Befehl zu entwenden und Dateien im Dateisystem, in Netzwerkverbindungen und laufenden Prozessen zu verstecken.

    Weiterverbreitet

    Doch damit noch nicht genug, der Trojaner versucht, weitere Rechner zu infizieren und sammelt dazu Informationen über alle entfernten Server, die der infizierte Rechner per SSH kontaktiert hat. Dann werden, wenn möglich, die zugehörigen Anmeldeinformationen gestohlen. Daher vermuten die Forscher, dass die Weiterverbreitung per SSH der Hautptverteilungsweg des Trojaners ist. 

    Derzeit wenig Gefahr

    Insgesamt wird die Gefahr die von diesem Trojaner ausgeht, derzeit von Fachleuten trotzt seiner Komplexität als relativ gering angesehen. In letzter Zeit werden häufiger Schadsoftware und Sicherheitslücken aus unterschiedlichen Gründen hochgespielt. Hier könnte es der Wunsch von Dr. Web sein, seinen Absatz von Antivuren-Software zu erhöhen. Die Hashes zur Überprüfung, ob eine Infektion vorliegt, finden sich jedenfalls auf GitHub. Ein aktueller Kernel der Reihe 4.19 reicht aber bereits zur Abwehr aus.

  • PortSmash: Erneut Sicherheitslücke bei Intel

    PortSmash
    Bild: Hacker | Quelle: The Presier Project | Lizenz: CC BY 2.0

     

    Forscher an Universitäten in Finnland und Kuba haben unter der Leitung von Billy Brumley eine neue Sicherheitslücke entdeckt, die auf den Namen PortSmash getauft wurde. Die neue Lücke ist, wie auch schon Meltdown und Spectre zu Jahresbeginn, eine Seitenkanalattacke.

    PortSmash erlaubt es einem versierten Angreifer, verschlüsselte Daten wie etwa kryptografische Schlüssel oder andere privilegierte Informationen von internen CPU-Prozessen auszulesen. Die Lücke wurde bisher für CPUs der Baureihen Skylake und Kaby Lake bestätigt. PortSmash ist zudem das erste Ergebnis einer auf fünf Jahre ausgelegten Forschungsreihe in Sachen Seitenkanalattacken, die vom Europäischen Forschungsrat finanziell ausgestattet ist.

    Seitenkanalattacke

    Eine Seitenkanalattacke stellt eine Technik dar, die verwendet wird, um verschlüsselte Daten aus dem Speicher oder der CPU eines Computers auszulesen. Von den verschiedenen Formen der Seitenkanalattacke bedient sich PortSmash der Timing Attack.

    Dazu werden minimale Diskrepanzen bei den Laufzeiten eines Algorithmus, des Energieverbrauchs des Prozessors während der Berechnungen oder der elektromagnetischen Ausstrahlung beobachtet und analysiert, um zusätzliche Informationen zu erhalten, die helfen können, Verschlüsselungsalgorithmen zu brechen und die verarbeiteten Daten der CPU wiederherzustellen.

    Hyper-Threading ermöglicht Angriff

    Anders als Meltdown und Spectre nutzt PortSmash nicht das Speicher-Subsystem oder die Caching-Mechanismen der CPUs aus. Die Forscher fanden heraus, dass PortSmash CPUs betrifft, die die SMT-Architektur verwenden, die es ermöglicht, mehrere Threads in der Form von Multithreading gleichzeitig auf einem CPU-Kern auszuführen. Intel setzt  SMT als Hyper-Threading (HT) um.

    PoC auf GitHub

    Gelingt es einem Angreifer, einen präparierten Prozess im Rahmen von SMT neben einem legitimen Prozess laufen zu lassen, so kann er kleine Mengen an Daten des legitimen Prozesses auslesen, die dann bei der Rekonstruktion der verschlüsselten Daten hilfreich sein können. Ein Proof-of-Concept (PoC) des keinesfalls trivialen Angriffs ist von den Forschern auf GitHub eingestellt worden. Dabei werden OpenSSL-Schlüssel von einem TLS-Server entwendet. Ein ausführliches Papier soll in den nächsten Tagen folgen.

    Intel arbeitet an Patch

    Intel ist die Lücke vor rund einem Monat bekannt gemacht worden, bisher liegt noch kein Patch dagegen vor. Intel teilte gestern abwiegelnd mit, die Lücke habe nichts mit Spectre, Meltdown oder L1 Terminal Fault gemeinsam. Man werde weiter »mit Kunden, Partnern und Forschern zusammenarbeiten, um die identifizierten Schwachstellen zu verstehen und zu beheben«.

    Vermutlich auch AMD betroffen

    Die Forscher gehen davon aus, dass auch CPUs von AMD, die SMT verwenden, von PortSmash betroffen sind. Bereits letztes Jahr war mit TLBleed eine ähnliche Lücke entdeckt worden, die ebenfalls HT ausnutzt und die das OpenBSD-Projekt veranlasste, die Unterstützung für Intels HT-Technologie in ihren Kerneln zu deaktivieren.

     

  • Nextcloud kooperiert mit HackerOne

    Nextcloud kooperiert mit HackerOne

    Nextcloud kooperiert mit HackerOne
    Quelle: Nextcloud

     

    Sicherheit ist in einem Unternehmen wie Nextcloud, das in Europa die sensitiven Datenbestände seiner Kunden mit einer cloudbasierten Open-Source-Softwearelösung absichert, nicht erst seit dem Inkrafttreten der DSGVO das A und O. In diesem Sinne setzt Nextcloud, die Client-Server-Software für File-Hosting unter eigener Kontrolle, bereits seit 2016 auf die Zusammenarbeit mit der Bug-Bounty-Plattform HackerOne.

    Mehr Augen sehen mehr

    Dahinter steht die Erkenntnis, dass ein Team von über 100 qualifizierten Hackern Probleme früher entdeckt und schnellere Lösungen  für Sicherheitsprobleme anbieten kann als die im Unternehmen angestellten Sicherheitsexperten eines kleinen Teams. In der Praxis sieht das so aus, das die Hacker prämienbasiert für die Entdeckung und Behebung von im Bounty-Programm definierten Sicherheitslücken entlohnt werden.

    Given enough eyeballs, all bugs are shallow


    Linus Torvalds

    Damit kann Nextcloud bei Sicherheitsproblemen eine Reaktionszeit von unter einer Stunde aufweisen, kann aber andererseits das Budget schonen, indem Sicherheitsexpertise »on demand« zugekauft wird.

    Diese Lösung hat bereits zur Behebung von rund 120 spezifischen Sicherheitsproblemen beigetragen. Dafür hat Nextcloud rund 8.500 US-Dollar Prämien gezahlt, deren Höhe im Durchschnitt bei 100 – 150 US-Dollar lagen und deren höchste 750 US-Dollar betrug.

    Illustre Kundschaft

    Viele großen Unternehmen wie General Motors, Google, Twitter, GitHub, aber auch mit Regierungsstellen wie das US-Verteidigungsministerium arbeiten mit HackerOne zusammen. Dabei konnten bisher über 72.000 Schwachstellen behoben werden, wobei mehr als 32 Millionen US-Dollar an Prämien gezahlt wurden.

    We might not be a 1,000-person company but we have expertise that challenges companies many times our size and this is one way it shows.


    Jos Poortvliet, Head of Marketing

    Jetzt hat Nextcloud zusammen mit HackerOne eine Fallstudie veröffentlicht, die die Zusammenarbeit zwischen dem kleinen Sicherheitsteam bei Nextcloud und den Experten bei HackerOne detailliert.

    Nextcloud-Konferenz 2018

    Nextcloud wird unter anderem die Ergebnisse des letztjährigen HackerOne-Programms auf der heute beginnenden Nextcloud-Konferenz  am 25. August 2018 an der Technischen Universität in Berlin vorstellen. Durch das Bug-Bounty-Programm mit HackerOne schützt Nextcloud nicht nur seine Kunden, sondern auch das Unternehmen selbst im Fall von gerichtlichen Auseinandersetzungen in Sachen DSGVO. Die Zusammenarbeit ist ein guter Beleg dafür, dass Nextcloud seine Möglichkeiten voll ausgeschöpft hat.

  • Chrome 67 verstärkt die Sicherheit mit Seiten-Isolierung

    Chrome 67
    Bild: google_chrome | Quelle jibunkaiwai | Lizenz: CC BY 2.0

    Mit Chrome 67 dreht Google weiter an der Sicherheitsschraube. Das neueste Feature im Kampf gegen Spectre & Co. heißt Site Isolation, zu deutsch Seiten-Isolierung. Mit der Sicherheit erhöht sich allerdings auch der RAM-Bedarf des Browsers.

    Verschärfte Trennung

    Mit Site Isolation verschärft Google die Trennung von Inhalten im Browser. Galt bisher die Maxime, dass jeder Tab in einem eigenen Prozess läuft, so verfeinert Google nun diese Aufteilung weiter. Mit der bisherigen Lösung liefen etwa Cross-Site-Iframes oder -Pop-Ups im gleichen Prozess wie die Seite, die sie erzeugt hatte. Das erlaubte einem erfolgreichen Spectre-Angriff unter Umständen, Daten wie unter anderem Cookies oder Passwörter anderer Frames oder Pop-ups zu lesen.

    Spectre-Angriffe erschweren

    An Site Isolation arbeitete Google schon lange, bevor die Spectre-Angriffe Furore machten. Dabei geht es um eine einschneidende Änderung der Chrome-Architektur, die jeden Rendering-Prozess auf Dokumente von einer einzigen Seite beschränkt. Dies bedeutet, dass alle Navigation zu Cross-Site-Inhalten den jeweiligen Tab zum Wechseln der Prozesse veranlasst. Es bedeutet auch, dass alle Cross-Site-Iframes in einen anderen Prozess als ihr übergeordnetes Frame gesetzt werden, indem out-of-process iframes verwendet werden.

    Site Isolation für (fast) alle

    Mit Chrome 67 ist Site Isolation für 99 Prozent der Nutzer auf allen Betriebssystemen aktiviert, das verbleibende eine Prozent dient als Kontrollgruppe. Mit der Aktivierung reduziert sich die Datenmenge, die ein Angreifer stehlen könnte, und »reduziert die Bedrohung durch Spectre erheblich«, so Google.

    Kehrseite der Medaille

    Google plant, die Site Isolation auf Chrome für Android auszudehnen und arbeitet an der Lösung bekannter Probleme. Mit Chrome 68 kann die Seiten-Isolierung sowohl manuell auf dem Handy über ein Flag als auch über Unternehmensrichtlinien aktiviert werden. Wie so oft, hat aber auch diese Verbesserung einen Pferdefuß: Dadurch, dass mehr Rendering-Prozesse erzeugt werden, erhöht sich der RAM-Verbrauch des beliebtesten Browsers weiter. Google-Entwickler Charlie Reis führte das im Sicherheitsblog des Unternehmens aus:

    Site Isolation führt dazu, dass Chrome mehr Rendering-Prozesse erstellt, was mit Leistungseinbußen verbunden ist: Auf der positiven Seite ist jeder Rendering-Prozess kleiner, kurzlebiger und hat intern weniger Konkurrenz, aber es gibt aufgrund der größeren Anzahl von Prozessen etwa 10-13 Prozent Gesamtspeicher-Overhead in realen Workloads. Unser Team arbeitet weiterhin hart daran, dieses Verhalten zu optimieren, um Chrome schnell und sicher zu halten.

  • Ubuntu-Fehler: Sperrbildschirm kann umgangen werden

    Ubuntu-Fehler
    Bild: Security | Quelle GotCredit | Lizenz: CC BY-2.0

     

    Hacker können Zugriff auf laufende Anwendungen auf einem Ubuntu-Rechner erhalten, wenn Sie physischen Zugriff auf dessen Festplatte haben. Dieser bereits am 18. Juni gemeldete und erst  jetzt bekannt gewordene Ubuntu-Fehler betrifft alle Versionen seit Ubuntu 14.04 LTS »Trusty Tahr«.

    Vermutlich sind aber auch die Derivate der Ubuntu-Familie (bestätigt für 18.04 MATE) als auch Ableger wie Linux Mint und andere betroffen. Dabei besteht Zugriff auf offene Anwendungen des Anwenders, bevor dieser das Gerät in den Ruhemodus schickt.

    Kritischer Ubuntu-Fehler

    Wenn der Angreifer die Festplatte, auf der sich die Installation befindet, während des Ruhemodus (suspend) entfernt und dann das Gerät aufweckt, gibt es mehrere Möglichkeiten: Der Sperrbildschirm erscheint und die Eingabe eines beliebigen Passworts erlaubt den Zugriff. Wenn das beliebige Passwort nicht angenommen wird, kann der Ausschaltknopf der Hardware betätigt und dadurch der Zugriff erreicht werden. Bleibt der Bildschirm dunkel, kann der Vorgang, beginnend mit dem Ruhemodus des Rechners wiederholt werden.

    Die erste Stellungname eines Canonical-Security-Ingenieurs liest sich nicht gerade beruhigend:

    [su_quote style=“modern-light“ cite=“Marc Deslauriers“]Es ist unwahrscheinlich, dass wir dies beheben werden, da ein Angreifer mit einem physischen Zugriff einfach direkt auf die Festplatte zugreifen oder das Passwort auf der Festplatte ersetzen und den Computer entsperren kann.[/su_quote]

    Auch wenn dies so richtig ist, das Entfernen der Festplatte eines Rechners erfordert lediglich mechanisches Geschick und kein Wissen wie man das Passwort ersetzt. Es ist ein einfach klingender Hack und er funktioniert, indem er einen Fehler in der Art und Weise ausnutzt, wie das System Daten speichert, wenn Ubuntu im Ruhezustand ist.

    Ein weiterer in diesem Zusammenhang aufgetauchter Fehler erlaubt manchmal das Umgehen des Sperrbildschirms durch Anschließen eines HDMI-Monitors, sobald der Sperrbildschirm auftaucht.

    AMD-Microcode zurückgezogen

    Erst gestern wurde ein anderes Sicherheitsproblem bei Ubuntu 14.04 LTS »Trusty Tahr« beseitigt, indem der vorherige unsichere Zustand wieder hergestellt wurde. Der am 20. Juni ausgelieferte AMD-Microcode musste zurückgezogen werden, da er durch eine Regression vereinzelt den Bootvorgang von Rechnern unterbrach und diese somit nutzlos machte.

    Der AMD-Microcode sollte eigentlich den Auswirkungen der Anfang Januar bekannt gewordenen Spectre-Lücke (CVE-2017-5715) entgegenzuwirken. Nun zog Canonical den Microcode zurück, indem das Paket amd64-microcode 3.20180524.1~ubuntu0.14.04.2+really20130710.1 an seine Stelle rückte.

  • Einbruch bei Gentoo durch Achtlosigkeit ermöglicht

    Einbruch bei Gentoo
    Photo by Anas Alshanti on Unsplash

     

    Die Analyse des Einbruchs und der Übernahme des GitHub-Repositories der Linux-Distribution Gentoo ist abgeschlossen. Aus dem jetzt vorliegenden schriftlichen Report lassen sich zwei Kernaussagen ableiten.

    Vorbildliche Reaktion

    Zum einen haben die Entwickler vorbildlich reagiert und sind sofort nach der Entdeckung an die Öffentlichkeit gegangen. Zweitens wurde der Einbruch durch ein kompromittiertes Passwort auf einer anderen Webseite erst ermöglicht. Wie die Entwickler feststellten, konnte das Passwort für den Hack von dem kompromittierten Passwort abgeleitet werden. Einer der Entwickler verwendete ähnliche Passwörter auf verschiedenen Webseiten und Diensten.

    Drei Repositories betroffen

    Der oder die Einbrecher hatten nach dem Eindringen zunächst alle legitimen Accounts entfernt und dann versucht, durch das Hinzufügen von rm -rf-Kommandos in verschiedenen Repositories Daten auf den Rechnern der Nutzer zu löschen, die per git pull diese Repositories auf ihre Rechner ziehen. An dieser Stelle waren allerdings Sicherheitsmaßnahmen eingebaut, die das Ausführen dieser Befehle verhinderten. Betroffen von den Änderungen der Einbrecher waren die Repositories gentoo/gentoo, gentoo/musl und gentoo/systemd. Kopien dieser Repositorien aus dem betroffenen Zeitraum sollten auf keinen Fall genutzt werden.

    Schwachstellen identifiziert

    Die Analyse hat einige Schwachstellen in der Handhabung der GitHub-Repositories seitens der Gentoo-Entwickler aufgezeigt. So sei unter anderem die Kommunikation mit Anwendern der betroffenen Repositories nicht ideal gewesen. Zudem war der Mechanismus zum Widerruf der Zugangsdaten schlecht implementiert. Es gab darüber hinaus kein Backup der Details der Gentoo-Organisation auf GitHub. Systemd, eines der drei betroffenen Repositories, war kein Spiegel eines Gentoo-Repository, sondern direkt auf Github gespeichert.

    Auswirkungen

    Die Gentoo-Organisation auf GitHub war als Folge des Einbruchs für fünf Tage gesperrt. Eine unangenehme Folge des Einbruchs war zudem, dass alle früheren Pull Requests  von den zugehörigen Commits getrennt und geschlossen wurden. Das konnte von GitHub nicht rückgängig gemacht werden, sodass Anwender ihre Pull Requests erneut öffnen müssen.

    Laute Einbrecher

    Die Attacke verlief relativ laut, was zur schnellen Entdeckung beitrug. Einerseits wurden durch das Entfernen aller Konten die Entwickler per E-Mail informiert. Zum anderen erzwangen der oder die Täter ihre Änderungen mit dem Kommando git push –force. Damit hatten die Einbrecher selbst verhindert, dass ihre Änderungen lautlos von Anwendern mit einem git pull auf ihre Rechner gezogen werden konnten.

    Lehren gezogen

    Der Originalcode von Gentoo war zu keinem Zeitpunkt gefährdet, da er sich auf Servern der Organisation befindet, auf GitHub liegt lediglich eine Kopie. Die Entwickler selbst arbeiten fast ausschließlich mit dem Originalcode, während Beiträge aus der Community auch über die Gentoo-GitHub-Organisation vorgenommen werden. Als eine der Lehren aus dem Vorfall forciert Gentoo jetzt die Verwendung von Zwei-Faktor-Authentifizierung (2FA) für Konten auf GitHub. Viele Anwender nutzten diese doppelte Absicherung bereits vor dem Vorfall, aber nicht alle.

  • Stellungnahme der PGP-Entwickler zu EFAIL

     

    PGP-Entwickler zu EFAIL
    Quelle: StockSnap Lizenz: CC0 1.0

    Die Berichterstattung um die Lücken in E-Mail-Clients, die Angreifer nutzen können, um verschlüsselte E-Mails zu entschlüsseln und zu entwenden, rief viel Kritik bei Entwicklern und Sicherheitsexperten hervor. So hatte sich Werner Koch, der Erfinder von GNU Privacy Guard (GnuPG) auf der GnuPG-Mailingliste dahingehend geäußert, in Sachen OpenPGP sei die Panikmache vor allem der EFF übertrieben. Jetzt haben sich auch die PGP-Entwickler in einer gemeinsamen Erklärung zur Ehrenrettung ihrer Software entschieden. Es äußern sich Andy Yen, der Gründer von ProtonMail, Phillip Zimmermann als Erfinder von Pretty Good Privacy (PGP), Patrick Brunschwig als Entwickler von Enigmail sowie der Mailvelope-Gründer Thomas Oberndörfer.

    Unnötig aufgebauscht

    Die Kritik richtet sich auch hier gegen die Berichterstattung der Electronic Frontier Foundation (EFF), die ein Papier der Entdecker der Lücken aufgegriffen hatte und damit ein weltweites Medienecho bis hin zur Tagesschau ausgelöst hatten. Die PGP-Entwickler richten sich gegen einige Aussagen in der Presseberichterstattung und stellen klar:

    [su_quote style=“modern-light“ cite=“PGP-Entwickler“ url=“https://protonmail.com/blog/pgp-efail-statement/“]»Diese Aussagen sind höchst irreführend und potenziell gefährlich. PGP ist nicht defekt. Die von EFail identifizierten Schwachstellen sind keine Fehler des OpenPGP-Protokolls selbst, sondern Fehler in bestimmten Implementierungen von PGP, darunter in Apple Mail, Mozilla Thunderbird und Microsoft Outlook. Viele andere häufig verwendete Software, die auf PGP basiert, sind von der EFail-Schwachstelle in keiner Weise betroffen, wie die Forscher selbst in ihrem Beitrag betonen. Als offener Standard kann jeder PGP implementiere und es überrascht nicht, dass einige Implementierungen Sicherheitslücken aufweisen. Dies bedeutet jedoch nicht, dass PGP selbst defekt ist.«[/su_quote]

    Empfehlung für Anwender

    Die Empfehlung der Verfasser der Stellungnahme geht dahin, stets aktuelle Versionen der jeweiligen Software zu verwenden. So wurde beispielsweise der E-Mail-Client Thunderbird bereits aktualisiert und größtenteils gegen die Lücken immunisiert. Die Entwickler bitten darum, dass jeder auch seine Kommunikationspartner informiert und zur Aktualisierung der Software animiert.

    Software, die auf  PGP, GnuPG, Mailvelope und ProtonMail basiert, war nie gegen EFAIL anfällig. Enigmail und GPGtools waren verwundbar, jedoch ließ sich ein Angriff relativ leicht verhindern. Bei der Verwendung von Enigmail muss Version 2.05 verwendet werden und nur einfaches HTML ohne Nachladen externer Inhalte oder noch besser, reine Textansicht in Thunderbird. Bei GPGTools muss ebenfalls das Nachladen externer Inhalte deaktiviert werden.

    Empfehlung der EFF zu rigide

    Die EFF empfahl Benutzern, PGP-Plugins zu deaktivieren oder die Verwendung von PGP ganz einzustellen. Das sei so ähnlich wie zu sagen: »Einige Schlösser könnten aufgebrochen werden, deshalb müssen wir alle Türen entfernen.« Das sei besonders gefährlich, da es Personen gefährden kann, die sich aus Sicherheitsgründen auf PGP-Verschlüsselung verlassen, so die Entwickler. Somit ist nach EFAIL die Benutzung von E-Mail genauso (un)-sicher wie eh und je.

     

     

  • Intel nennt neue Lücken Spectre 3a und 4

    Spectre 3a und 4
    Bild: Public Domain

     

    Die Anfang des Monats entdeckten acht neuen Sicherheitslücken in Intel-CPUs, die unter dem Sammelbegriff Spectre-NG eingeführt wurden, wurden von Intel damals bestätigt. Bei den von mehreren Forscherteams entdeckten Lücken schätzt der Hersteller die Hälfte als »hochriskant« und den Rest mit der Gefährlichkeitsstufe »mittel« ein. Jetzt wurden zwei der Lücken offiziell mit Spectre 3a und 4 bezeichnet. Die US-Sicherheitsbehörde US-Cert bezeichnet sie offiziell als Side-Channel Vulnerability Variants 3a und 4, nachdem Intel sie am Pfingstmontag öffentlich gemacht hatte. Die neuen Verwundbarkeiten ähneln denen von Spectre, indem sie auch durch Lücken in der spekulativen Ausführung ausgenutzt werden können.

    Nicht nur Intel

    Bei Variante 3a handelt es sich um die als CVE-2018-3640 kategorisierte und in ihrer Gefählichkeit als »moderate« eingestufte »Rogue System Register Read«-Lücke (RSRE). Variante 4, auch »Speculative Store Bypass« (SSB) genannt, trägt die Kennung CVE-2018-3639 und ist als »important« gekennzeichnet. Intel kündigte Updates an und erklärte, die beiden Lücken beträfen wiederum fast alle CPUs des Herstellers aus den letzten zehn Jahren. Damit nicht genug, sind auch Prozessoren von AMD, ARM und IBMs Power8, Power9 und System Z betroffen. Intel hat inzwischen eine Liste seiner betroffenen Prozessoren veröffentlicht. Auch AMD und ARM haben Stellung bezogen.

    Microcode-Updates in der Erprobung

    Wann die Updates verfügbar sind, hat Intel bisher ebenso wenig verraten wie die anderen Hersteller. Es ist lediglich bekannt, dass Microcode-Updates in Beta-Versionen vorliegen, die in den nächsten Monaten stabil verfügbar werden sollen. Die Linux-Kernel-Entwickler haben bereits gestern Patches für Kernel 4.17 eingereicht. So reichte Thomas Gleixner Patches gegen SSB ein. Über Nacht folgten Patches für die PowerPC-Plattform. Die Patches sollen nun auf die weiteren unterstützten Kernel-Versionen rückportiert werden. Allerdings wird eine weitestgehende Entschärfung der Lücken auch diesmal nicht ohne neue Microcodes gehen.

  • Thunderbird 52.8.0 dämmt EFAIL ein

    Bild: Efail | Lizenz: Lizenz: CC0 1.0

     

    Am 18. Mai stellte Mozilla eine neue Version des E-Mail-Clients Thunderbird bereit. Thunderbird 52.8.0 beseitigt mehrere Sicherheitslücken, unter anderem auch in Bezug auf das Auslesen verschlüsselter E-Mails durch EFAIL. Ein Bug, der erst in der nächsten Version behoben werden wird, ist das weiterhin mögliche Darstellen mehrerer Teile einer Mail in einem einzigen HTML-Kontext. Damit besteht weiterhin die Gefahr einer direkten Exfiltration, bei der sich ein Angreifer durch Manipulation recht einfach den Inhalt verschlüsselter Mails übersenden lassen kann.

    Direkte Exfiltration

    Um einen Exfiltrations-Rückkanal zu erstellen, benötigt der Angreifer zunächst Zugriff auf die verschlüsselten E-Mails, etwa durch Abhören des Netzwerkverkehrs, durch Eindringen in E-Mail-Konten, E-Mail-Server oder Client-Computer. Der Angreifer manipuliert eine verschlüsselte E-Mail in einer bestimmten Weise und sendet diese geänderte verschlüsselte E-Mail an das Opfer. Der E-Mail-Client des Opfers entschlüsselt die E-Mail und lädt die manipulativ eingefügten externen Inhalte, wodurch der Klartext an den Angreifer weitergegeben wird.

    Externe Inhalte derzeit meiden

    Das funktioniert bei Thunderbird aber nur, wenn der Anwender selbst die Funktion zum Nachladen externer Inhalte aktiviert hat. Die ist bei Thunderbird von Hause aus deaktiviert. So rät Mozilla dann auch, falls verschlüsselte Mails nachfragen, ob sie externe Inhalte nachladen sollen, dies zurzeit unbedingt zu verneinen. In jedem Fall sollte möglichst zeitnah Thunderbird 52.8.0 installiert werden. Bis zur nächsten Thunderbird-Version 52.8.1 sollten Anwender  auf alle Fälle Vorsicht walten lassen, falls Mail-Verschlüsselung per PGP oder S/MIME verwendet wird. Wann mit Entwarnung durch Thunderbird 52.8.1 zu rechnen ist, hat Mozilla noch nicht erklärt. Standardmäßig wäre das nächste Release erst am 26.6.