| |
DB8AS > VIRUS 05.03.15 18:05l 200 Lines 9901 Bytes #999 (0) @ DL
BID : 535DB0EAM001
Read: DG1FI GUEST DK3UZ
Subj: BSI Newsletter 150305
Path: DB0FHN<OE2XZR<OE6XPE<DB0RES<DB0EAM
Sent: 150305/1537z @:DB0EAM.#HES.DEU.EU [Kassel DB8AS] DB19c1 $:535DB0EAM001
From: DB8AS @ DB0EAM.#HES.DEU.EU (Jochen)
To: VIRUS @ DL
SICHER o INFORMIERT
-------------------
Der Newsletter des Bürger-CERT
Ausgabe vom 05.03.2015
Nummer: NL-T15/0005
Die Themen dieses Newsletters:
1. D-Link und Trendnet: Schutzbedürftige Router
2. Apple und Android: "Freak" erzwingt schwächere Verschlüsselung
3. Android: Aggressive Adware im Google Play Store
4. Phishing: iPhone-Hehler gehen phischen
5. Mozilla: Mehrere kritische Sicherheitslücken behoben
6. Lenovo: So entfernen Sie Superfish
7. Google: Chrome erhält Sicherheitsupdate
8. SmartTV: Viele Geräte setzen Datenschutz nur unzureichend um
9. Android: Kehrtwende bei der Verschlüsselung
10. CeBIT: Das BSI auf der CeBIT
EDITORIAL
Liebe Leserin, lieber Leser,
stellen Sie sich vor, Ihre abonnierte Zeitung nerve sie so lange mit
Werbesendungen, bis sie vom selben Verlag einen "Werbeschutz" kaufen, der
nur dazu dient, Ihnen noch mehr personalisierte Werbung zu schicken. So
ungefähr verhält es sich mit mehreren Apps, die auf Google Play gefunden
wurden.
Auf eine Vermarktung von Daten setzt wohl auch manch Hersteller von
SmartTV-Geräten. Der Betrieb vieler dieser Geräte lässt sich offenbar mit
Datenschutzrichtlinien so wenig vereinbaren, dass der bayerische
Chef-Datenschützer sogar mutmaßt, der Verkauf persönlicher Informationen
solle die Herstellung der Geräte subventionieren.
Diese und weitere Meldungen rund um die Sicherheit im WWW finden Sie wie
immer in unserem Newsletter. Spannende Lektüre und sichere Stunden im
globalen Netz wünscht Ihnen
Ihr Buerger-CERT-Team
STÖRENFRIEDE
1. D-Link und Trendnet: Schutzbedürftige Router
Mehrere Router der Hersteller D-Link und Trendnet enthalten
Sicherheitslücken, die im schlimmsten Fall zu einem "Kapern" des eigenen
Rechners durch Angreifer führen können. Beide Hersteller
haben mit Patches
reagiert [http://www.heise.de/newsticker/meldung/Router-Luecken-D-Link-bereitet-Patches-vor-2566720.html],
die jedoch noch keine vollständige Abhilfe bei allen Modellen schaffen.
Heise Security
beschreibt [http://www.heise.de/security/meldung/Loechrige-Router-bei-D-Link-und-Trendnet-2561211.html],
wie sich Nutzer notdürftig sichern können, bis die Lücken geschlossen
sind.
2. Apple und Android: "Freak" erzwingt schwächere Verschlüsselung
Eine seit den neunziger Jahren aufgehobene Richtlinie der US-Regierung
hat früher den Export starker Verschlüsselungstechnologien verboten.
Diese Richtlinie hatte schwache Verschlüsselungsalgorithmen zur Folge,
die sich immer noch in zahlreichen Anwendungen finden und die
Online-Kriminelle heute innerhalb weniger Stunden "knacken" können.
Eine "Freak" getaufte
Schwachstelle [http://www.zdnet.de/88220818/sicherheitsluecke-freak-bedroht-apple-und-android-geraete/]
kann Geräte unter Android oder Apples iOS zwingen, diese schwächere
Verschlüsselung zu nutzen. Dasselbe gilt für den in Blackberry 10.3.1
enthaltenen Browser. Apples Browser Safari ist auch in der Version für
Desktop-Geräte betroffen. Die Hersteller arbeiten an einem
Sicherheitsupdate. Die Browser Chrome, Firefox und Internet Explorer sind
in den aktuellen Versionen nach bisherigen Erkenntnissen nicht betroffen.
3. Android: Aggressive Adware im Google Play Store
Als Leserin oder Leser unseres Newsletters werden Sie wissen, dass längst
nicht alle Apps halten, was sie versprechen. Besserung ist offenbar nicht
in Sicht, denn Bitdefender, Anbieter von Schutz-Software, hat
auf Google Play zehn Apps
gefunden [http://www.silicon.de/41609839/bitdefender-google-play-verteilt-boesartige-adware/],
die bei jedem Klick und jedem Aufruf von Webseiten standortbezogene
Werbeanzeigen präsentieren.
Laut Bitdefender sollen Anwender auf diese Weise zum einen so weit
verunsichert werden, dass sie ein Premium-Abonnement für vermeintliche
Sicherheitsdienste abschließen, die tatsächlich aber unwirksam sind. Zum
anderen wollen die Betrüger ihre Opfer dazu bringen, als System- oder
Performance-Updates getarnte weitere Adware zu installieren.
Den Entwicklern der maliziösen Apps gelang es, Googles
Sicherheitsüberprüfung durch eine einfache Weiterleitungsadresse zu
überlisten. Eine App, nämlich die von über 130 Anwendern mit insgesamt
vier von fünf erhältlichen Sternen gelobte "What is my IP", ist momentan
weiterhin erhältlich.
Grundsätzlich sollten Sie nur notwendige Apps installieren und deren
Zugriffsberechtigungen kritisch hinterfragen.
4. Phishing: iPhone-Hehler gehen phischen
Wenn Ihnen Ihr Smartphone oder Tablet verlustig geht, sollten Sie
zusätzlich zur Sim-Karte auch das Gerät sperren. Apple-Nutzer können das
über iCloud. Der Finder oder Dieb sieht dann nur Kontaktdaten und
vielleicht die Ausschreibung eines Finderlohns. Weiterverkaufen lässt
sich das Gerät so nicht. Erhält der Eigentümer das Gerät zurück, kann er
es ebenfalls über iCloud wieder freigeben. Diese Tatsache
machen sich nun Online-Kriminelle
zunutze [http://www.heise.de/security/meldung/iPhone-Diebe-phishen-nach-iCloud-Zugangsdaten-2565380.html]:
Sie kontaktieren die Eigentümer, geben sich als Vertreter von Apple aus
und lenken die Eigentümer auf eine täuschend ähnlich nachgemachte
Login-Seite. Die Anmeldedaten, die hier eingegeben werden, gehen an die
Diebe oder Hehler, die diese dann nutzen, um auf der echten iCloud-Seite
das Gerät freizugeben und weiterzuverkaufen.
SCHUTZMASSNAHMEN
5. Mozilla: Mehrere kritische Sicherheitslücken behoben
Mozilla hat den Browsern Firefox, Firefox ESR und dem E-Mail-Programm
Thunderbird
Sicherheitsupdates [https://www.buerger-cert.de/archive?type=widtechnicalwarning&nr=TW-T15-0016]
spendiert, die Anwender von Linux, Windows und OS X betreffen.
6. Lenovo: So entfernen Sie Superfish
In der letzten
Ausgabe [https://www.buerger-cert.de/archive?type=widnewsletter&nr=NL-T15-0004]
berichteten wir über Superfish und damit über eine Adware, die auf
manchen Lenovo-Notebooks von Haus aus installiert ist und die zudem den
Schutz von HTTPS-Verbindungen aushebelt.
Nun hat Lenovo reagiert und ein Werkzeug bereitgestellt, das sowohl
Superfish als auch die in Misskredit geratenen Software-Zertifikate
löscht. Wer lieber beides manuell löschen möchte, findet
auf derselben
Seite [http://support.lenovo.com/us/en/product_security/superfish_uninstall]
auch dafür eine Anleitung in englischer Sprache.
7. Google: Chrome erhält Sicherheitsupdate
Eine Vielzahl von Sicherheitslücken im Google Chrome Browser ermöglichen
unter anderem das Ausführen beliebigen Programmcodes. Zur Behebung der
Sicherheitslücken steht ein neues stabiles Update von Google bereit,
das Sie umgehend installieren
sollten [https://www.buerger-cert.de/archive?type=widtechnicalwarning&nr=TW-T15-0017].
PRISMA
8. SmartTV: Viele Geräte setzen Datenschutz nur unzureichend um
Das Bayerische Landesamt für Datenschutzaufsicht
(BayLDA) [http://www.lda.bayern.de/lda/datenschutzaufsicht/p_archiv/2015/pm002.html]
hat SmartTV-Geräte von 13 Herstellern, die nach Angaben der Behörde etwa
90 Prozent des Marktes in Deutschland abdecken, daraufhin untersucht,
welche Daten bei Nutzung der Geräte verschickt werden.
Dabei stellten die Datenschützer fest, dass viele Geräte ohne Wissen der
Besitzer mit einerseits dem Gerätehersteller, andererseits auch mit den
Fernsehsendern kommunizieren. Der Betrieb dieser Geräte sei nicht
datenschutzkonform.
Thomas Kranig, der Präsident des BayLDA betont: "Es darf nicht sein, dass
die Unternehmen, die unrechtmäßig erhobene personenbezogene Daten zu Geld
machen, dadurch die Produktion ihrer Fernsehgeräte subventionieren und
billiger auf den Markt bringen können."
Die zuständigen Behörden kündigten an, mit den Herstellern in Kontakt zu
treten, um offene Fragen zu klären und Änderungen durchzusetzen.
9. Android: Kehrtwende bei der Verschlüsselung
Im September 2014 versprach Google, dass Smartphones und Tablets, auf
denen Android 5.0 Lollipop läuft, ab Werk verschlüsselt werden.
Daraus wird nun
nichts [http://www.zdnet.de/88220673/kehrtwende-google-verzichtet-auf-verschluesselung-ab-werk-android-5-0-lollipop/].
Stattdessen kündigte der Hersteller die Verschlüsselung für eine
"künftige Version" an. Eine Ausnahme machte Google nur für seine eigenen
Fabrikate Nexus 6 und Nexus 9. Ein Grund für den Rückzieher wurde nicht
genannt.
10. CeBIT: Das BSI auf der CeBIT
Vom 16. bis zum 20. März findet in Hannover die IT-Messe CeBIT statt, auf
der Sie auch das BSI antreffen können, nämlich in Halle 6 am Stand J 18.
Unsere Präsentationsschwerpunkte, die Themen der Vorträge und weitere
Informationen entnehmen Sie gerne unserer
Website [https://www.bsi.bund.de/SharedDocs/Termine/DE/2015/CeBIT2015.html].
Wir freuen uns auf Ihren Besuch!
-----------------------------------------------------------------------
Dieser Newsletter "SICHER o INFORMIERT" ist ein kostenloses Service-Angebot
des Bürger-CERT, http://www.buerger-cert.de. Er erscheint im Abstand von 14
Tagen. Die Informationen werden mit größter Sorgfalt recherchiert und
aufbereitet, dennoch kann eine Gewähr oder Haftung für die Vollständigkeit
und Richtigkeit nicht übernommen werden.
Unter http://www.buerger-cert.de haben Sie die Möglichkeit, diesen
Informationsdienst zu abonnieren oder abzubestellen. Fragen und Anregungen an
die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de
-----------------------------------------------------------------------
Veröffentlichung mit genehmigung vom BSI.
vy 73, Jochen
db8as@db0eam.deu.eu
Read previous mail | Read next mail
| |
