Im
PHP Magazin 4.2019
ist ein Artikel über die Sicherheit von WebAssembly (WASM) erschienen.
Worum geht es darin?
Schon wieder eine neue Technologie für aktive Inhalte, muss das denn
wirklich sein? Als hätten wir mit Flash und Java nicht schon genug
Ärger gehabt. Beides wurde wahrscheinlich öfter für
Angriffe als für wirklich nützliche Anwendungen verwendet.
"Drucksache: PHP Magazin 4.19 - WASM - Ist das sicher oder kann das weg?" vollständig lesen
Im
Windows Developer 6.19
ist der erste von zwei Artikeln über Social Engineering erschienen,
in dem die typischen Angriffe vorgestellt werden.
Worum geht es darin?
Eigentlich gilt beim Social Engineering "Business as usual".
Es sind immer noch die altbekannten Angriffe, nur werden die teilweise
verfeinert. Und dadurch erfolgreicher, da schwerer erkennbar. Aber auch
weniger geschickte Angriffe finden immer noch Opfer, die auf sie
hereinfallen.
"Drucksache: Windows Developer 6.19 - Cyberkriminelle lieben Social Engineering" vollständig lesen
Wie angekündigt geht es in dieser Folge um die von Jim
Fisher gefundene Schwachstelle:
"The dots do matter: how to scam a Gmail user".
Die hat zwar nichts mit Identitätsdiebstahl direkt zu tun, passt aber
trotzdem zum Thema.
Sind Punkte in der Mailadresse relevant oder nicht?
"Identitätsdiebstahl: Punkte in E-Mail-Adressen - Google ignoriert sie, alle anderen nicht " vollständig lesen
Beim Stichwort "Kryptowährungen" fällt einem meist
zuerst oder auch ausschließlich Bitcoin ein. Damit kann man sich
meist nichts im Laden um die Ecke kaufen, aber z. B. Lösegeld für
seine von Ransomware verschlüsselten Daten zahlen. Und spekulieren
kann man damit, einige Zeit konnte man das mit viel Erfolg tun, in letzter
Zeit allerdings eher erfolglos. Und dann verbraucht die Erzeugung der
Bitcoins jede Menge Strom. Macht das die virtuellen Münzen etwa
wertvoll? Zeit, mal einen Blick auf das Ganze zu werfen.
Das mache ich
auf entwickler.de.
Carsten Eilers
Bei der Recherche zu zwei Artikeln zum Thema Phishing für den Windows
Developer bin ich auch auf die Beschreibung einer Schwachstelle von Jim
Fisher gestoßen:
"The dots do matter: how to scam a Gmail user".
Im kürzester Kurzform ist ein Angriff möglich, weil Google Punkte in
Google-Mail-Adressen ignoriert und die meisten anderen Anbieter sie
berücksichtigen.
Auf die Schwachstelle gehe ich in der nächsten Folge ausführlich
ein, erst mal möchte ich einen tatsächlichen Angriff beschreiben
der ebenfalls nur möglich war, weil verschiedene Anbieter
unterschiedliche Vorstellungen davon hatten was wichtig war und was nicht.
Nur vier Zeichen kosteten Mat Honan 2012 seine digitale Identität
"Schon wenige Zeichen können Sie viel kosten, z.B. Ihre Identität" vollständig lesen
Sie wissen bereits
was Shims sind
und wie die
Shim-Infrastruktur
aufgebaut ist (und wie es theoretisch mit ihrer Sicherheit aussieht).
Danach haben Sie erfahren, dass Entwickler die Shims außer in einigen
Ausnahmefällen
gar nicht benötigen
und dass sie zum Umgehen von Schutzfunktionen und zum Verstecken von
Schadcode missbraucht werden können. Aber was kann schon nicht für böse
Zwecke missbraucht werden? Alles, was sich zum Guten verwenden lässt,
lässt sich immer auch irgendwie für etwas Schlechtes verwenden.
Was die Sicherheitsforscher dazu herausgefunden haben habe ich ihnen
zum Teil
bereits gezeigt, und das waren alles theoretische Gefahren. Leider gab es
auch Angriffe über die Shim-Infrastruktur "in the Wild", und
mit deren Analyse geht es weiter:
FixIt-Patches in Angreiferhand, und das "in the Wild"
"Shims unter Windows (5) - Die Ergebnisse der Sicherheitsforscher, Teil 2" vollständig lesen
SOAP war früher die Abkürzung für Simple Object Access
Protocol; heutzutage wird diese aber nicht mehr verwendet, denn SOAP ist
gar nicht so „Simple“ und auf keinen Fall nur auf
Objektzugriffe beschränkt. Wenn etwas nicht einfach ist, wird es
schnell zur Gefahrenquelle: Entweder weil die Implementierungen
Schwachstellen aufweisen oder eine sichere Nutzung unnötig erschwert
wird. Wie sieht es denn da bei SOAP aus?
Alles Relevante dazu erfahren Sie in meinem Artikel
auf entwickler.de.
Carsten Eilers
Sie wissen bereits
was Shims sind
und wie die
Shim-Infrastruktur
aufgebaut ist (und wie es theoretisch mit ihrer Sicherheit aussieht).
Danach haben Sie erfahren, dass Entwickler die Shims außer in einigen
Ausnahmefällen
gar nicht benötigen
und dass sie zum Umgehen von Schutzfunktionen und zum Verstecken von
Schadcode missbraucht werden können. Aber was kann schon nicht für böse
Zwecke missbraucht werden? Alles, was sich zum Guten verwenden lässt,
lässt sich immer auch irgendwie für etwas Schlechtes verwenden.
Leider lässt sich mit den Shims aber auch tatsächlich Schaden anrichten,
was sowohl in der Theorie als auch der Praxis bewiesen wurde. Darum geht es
in dieser Folge.
FixIt-Patches in Angreiferhand - Vom Shim zum Exploit
"Shims unter Windows (4) - Die Ergebnisse der Sicherheitsforscher, Teil 1" vollständig lesen
Im
Entwickler Magazin 3.19
ist ein Artikel über DDoS-Angriffe (Distributed Denial-of-Service) erschienen.
Worum geht es darin?
Eine
Leseprobe
des Artikels gibt es auf entwickler.de.
Update 27.5.2019:
Den Artikel gibt es jetzt auch
vollständig
auf entwickler.de zu lesen.
Ende des Update
Die DDoS-Angriffe werden immer stärker, weil die Botnets dahinter
immer größer werden und neue Angriffe ihre Schlagkraft
vervielfachen. Wie lange das wohl so weitergeht? Und was kann man dagegen
tun?
"Drucksache: Entwickler Magazin 3.19: DDoS-Angriffe und wer davon profitiert" vollständig lesen
Im
Windows Developer 5.19
ist ein Artikel über die Sicherheit von WebAssembly (WASM) erschienen.
Worum geht es darin?
Schon wieder eine neue Technologie für aktive Inhalte, muss das denn
wirklich sein? Als hätten wir mit Flash und Java nicht schon genug
Ärger gehabt. Beides wurde wahrscheinlich öfter für
Angriffe als für wirklich nützliche Anwendungen verwendet.
"Drucksache: Windows Developer 5.19 - WASM - Ist das sicher oder kann das weg?" vollständig lesen