Woher kommen eigentlich Zero-Days?
Schwachstelle, Zeroday

Woher kommen eigentlich Zero-Days?

Sicherheitslücken, die seit n Tage bekannt sind, nennt man „n-days“. Zero-Days sind demzufolge Lücken, die am heutigen Tage bekannt werden. Meist gibt es dann auch noch keine Patches oder Mitigationen dafür, weswegen diese Art von Lücken besonders interessant für Angreifende und Admins zugleich sind. Aber wer findet diese Lücken eigentlich? Ein prominenter Player in dem Bereich ist die Google Threat Intelligence Group (GTIG). Im Jahresbericht zu 2024 zieht sie Bilanz zu Zero-Day-Aktivität und -Attribution und was man daraus lernen kann. […]

Allgemein, Risikomanagement, Schwachstelle, Supply Chain

Drohende Abschaltung der CVE-Datenbank und mögliche Alternativen

CVE ist für viele zum Synonym für “Sicherheitslücke” geworden. Daher war der Schreck groß, als vor Ostern ein Finanzierungsstopp für das CVE-Programms im Raum stand. Viele bereits bestehende und neu erdachte Ideen für Alternativen wurden deshalb lebhaft diskutiert. Inzwischen steht die Finanzierung wieder, aber erstmal nur für ein Jahr. Daher schauen wir uns mit etwas Abstand noch einmal die diskutierten Alternativen an. Wir gleichen sie mit typischen Anwendungsfällen bei uns sowie bei unseren Kunden ab und überlegen, was man vorbereiten kann, falls in einem Jahr das CVE-Programm erneut in Frage gestellt wird.

Titel Signalgate
Schwachstelle

Signalgate

Die sogenannte Signal-Affäre hat in den letzten Wochen für erhebliche Aufregung in Washington gesorgt. Ein angesehener US-Journalist, Jeffrey Goldberg, wurde versehentlich in einen vertraulichen Signal-Chat der US-Regierung eingeladen, in dem hochrangige Regierungsvertreter militärische Operationen im Jemen diskutierten. Die Frage, die sich in diesem Zusammenhang stellt, ist, wie es zu diesem sicherheitsrelevanten Fauxpas kommen konnte. Wir können guten Gewissens ausschließen, dass es sich um einen Hack oder eine schadhafte Funktion in der Signal-App gehandelt hat, wie es von Seiten der amerikanischen […]

Kryptographie

BSI zertifiziert quantensichere Smartcard

Unter der schwebenden Gefahr der Entwicklung eines kryptografisch relevanten Quantencomputers treiben unter anderem das BSI (Bundesamt für Sicherheit in der Informationstechnik) und auch das NIST (National Institute of Standards and Technology) seit geraumer Zeit die Ablösung der altbewährten asymmetrischen Verschlüsselungsalgorithmen (RSA, ECDSA, EdDSA, DH und ECDH) durch neue quantensichere Algorithmen voran.

Schwachstelle

Freigiebiger Datenreichtum bei VW

Die Frage der Datenhoheit, die sich aus der Erfassung und Nutzung von Daten durch Fahrzeuge ergibt, ist Gegenstand kontroverser Diskussionen. Fahrzeughersteller vertreten die Auffassung, dass diese Daten als ihr Eigentum zu betrachten sind, während Halter von Fahrzeugen der Meinung sind, dass es sich um personenbezogene Daten handelt, was die Anwendung der DSGVO impliziert. https://www.adac.de/rund-ums-fahrzeug/ausstattung-technik-zubehoer/assistenzsysteme/daten-im-auto-eu-data-act Der ADAC hat bereits 2016 festgestellt, dass sich aus Daten der Autosensoren und der Bewegungsdaten Rückschlüsse auf das Nutzungsprofil ziehen lassen. Im Januar 2024 wies der […]

Allgemein, Forensics

Wie funktioniert eigentlich Malware auf Handys?

Dass einige Staaten unliebsame Journalisten und Oppositionelle über Mobilgeräte überwachen, ist mittlerweile keine große Neuigkeit mehr. Oftmals wird die israelische Firma Cellebrite in dem Kontext genannt. Wie genau dieser Prozess abläuft, wird von Amnestys SecurityLab [1] am Beispiel NoviSpy beschrieben. Neben den technischen Details, die natürlich für die IT-Security Community spannend sind, ist insbesondere die Art der initialen Kompromittierung fundamental für die Entwicklung des eigenen Threat Models. Werden Mobilgeräte (oder überhaupt technische Geräte) durch einen Dritten in einen anderen Raum […]