Intel: Sechste vPro-Generation enthält Authentifizierungstechnik

von Florian Kalenda

Authenticate steht einer Vielzahl von Identifikationstechniken offen - von der PIN bis zu Biometrie. Der Abgleich mit Verzeichnissen und Richtlinien - etwa Active Directory - erfolgt durch die Firmware, innerhalb der Chip-Hardware. Eine breite Einführung erfolgt noch 2016. weiter

Phishing-Lücke in Passwort-Manager LastPass entdeckt

von Stefan Beiersmann

Sie erlaubt unter Umständen den Diebstahl aller Passwörter eines Nutzers. Voraussetzung dafür ist jedoch, dass er seinen Passworttresor auch auf den Servern von LastPass abgelegt hat. Einen Patch des Unternehmens hält der Entdecker der Lücke für unzureichend. weiter

Mozilla löscht im November Daten von Authentifizierungsdienst Persona

von Florian Kalenda

Das Interesse ist gering und seit zwei Jahren kein Wachtum zu sehen. Nun will Mozilla die nötigen Server nicht mehr bereitstellen: "Einen Dienst mit dem für ein Authentifizierungssystem notwendigen Level an Sicherheit und Verfügbarkeit zu hosten, ist keine kleine Sache." weiter

Lücke im O2-DSL-Netz erlaubt unbefugte Nutzung von Telefonanschlüssen

von Björn Greif

Dritte könnten durch Ausnutzen der vom Sicherheitsforscher Hanno Heinrichs entdeckten Schwachstelle auf Kosten von O2-Kunden mit VoIP-Anschlüssen telefonieren. O2 sind aber bislang keine solche Fälle bekannt. Es will die Lücke bis Ende des ersten Quartals vollständig schließen. weiter

Paypal-Konto von Sicherheitsblogger Brian Krebs gehackt

von Bernd Kling

Der Täter versuchte, Geld an eine mit der Terrormiliz Islamischer Staat verbundene Hackergruppe zu überweisen. Trotz aktiver 2-Faktor-Authentifizierung konnte er das Konto durch einen Anruf beim Paypal-Support übernehmen. Für die Passwort-Rücksetzung genügte die Beantwortung weniger Fragen mit leicht zugänglichen Antworten. weiter

32C3: PushTAN-App der Sparkasse erneut ausgehebelt

von Florian Kalenda

Sie enthält nach erster Kritik im Oktober eine Root-Erkennung und sucht nach installierten Frameworks wie Xposed. Beides lässt sich aber durch Umbenennungen umgehen. Das Hauptproblem ist laut Vincent Haupert die Zusammenführung zweier Faktoren auf einem Smartphone. weiter

Panne: Steam-Daten waren für Fremde einsehbar

von Florian Kalenda

Etwa eine Stunde lang bekamen manche Anwender Kontodaten von Fremden zu sehen. Steam-Betreiber Valve zufolge handelte es sich um ein Cache-Problem nach einer Konfigurationsänderung. Anwender müssen ihm zufolge keine Maßnahmen ergreifen. weiter

Kein Passwort mehr nötig: Google testet Anmeldung mit Smartphone

von Bernd Kling

Der Internetkonzern will Passwörter entbehrlich machen für die Anmeldung bei seinen Diensten. Die Anwender müssen auf PC oder Tablet nur ihre E-Mail-Adresse eingeben und die Anmeldung mit einem Button-Klick auf ihrem Smartphone bestätigen. Das neue Verfahren ist mit Android-Smartphones sowie iPhones möglich. weiter

Authentifizierungslücke in Linux-Bootloader entdeckt

von Florian Kalenda

Um die Authentifizierung von GRUB2 zu umgehen, muss man nur 28-mal die Rücktaste drücken. Anschließend sind Booten etwa von einem USB-Stick oder ein Export der kompletten Festplatte möglich. Der Anwender benötigt physischen Zugriff aufs Gerät. Die meisten Linux-Distributionen sind angeblich anfällig. weiter

Tobii-Eyetracker unterstützen Log-in mit Windows Hello

von Florian Kalenda

Dies gilt sowohl für die Notebook-Nachrüst-Lösung EyeX wie auch das für Integratoren gedachte Modul IS4. Sie erkennen das Gesicht des Anwenders und erlauben zusätzlich Maussteuerung mit den Augen. Auch kann sich der Bildschirm automatisch abdunkeln, sobald der Nutzer wegsieht. weiter

Microsoft warnt vor „versehentlich offengelegtem“ Xbox-Live-Zertifikat

von Florian Kalenda

Mit dem Private Key könnten Kriminelle sich als die Domain xboxlive.com ausgeben und etwa Zugangs- oder Zahlungsdaten stehlen. Das scheint Microsoft zufolge nicht der Fall. Es hat dem Zertifikat das Vertrauen entzogen. Sicherheitsforscher sind jedoch irritiert, wie es zu dem Vorfall kommen konnte. weiter

Symantec will Passwörter durch biometrische Sicherheitsfunktionen ersetzen

von Björn Greif

Innerhalb des nächsten Jahres sollen Sicherheitslösungen erscheinen, die Biometrie, dynamische Schlüssel oder Geolokalisierung zur Authentifizierung verwenden. Mit VIP Everywhere will Symantec beispielsweise sein Produkt Validation and ID Protection um Ende-zu-Ende-Authentifizierung erweitern. weiter

Amazon fordert einige Nutzer zur Passwortänderung auf

von Stefan Beiersmann

Sie erhalten eine E-Mail sowie eine Nachricht in ihrem Message Center. Amazon zufolge wurden die Passwörter einiger Kunden "unsachgemäß" gespeichert und möglicherweise gegenüber Dritten offengelegt. Konkrete Hinweise darauf findet das Unternehmen jedoch nicht. weiter

Google kann Android-Passwörter aus der Ferne zurücksetzen

von Stefan Beiersmann

Einem New Yorker Bezirksstaatsanwalt zufolge unterstützt Google so auf Anordnung eines Gerichts die Ermittler bei ihrer Arbeit. Die "Hintertür" gilt allerdings nur für ältere Android-Versionen. Auf Daten von Android 5 und 6 hat Google, falls die Geräteverschlüsselung aktiv ist, keinen Zugriff. weiter

Amazon führt Zwei-Faktor-Authentifizierung ein

von Stefan Beiersmann

Die Anmeldung in zwei Schritten soll die Sicherheit des Amazon-Kontos bei einem Passwortverlust gewährleisten. Den benötigten Code verschickt Amazon per SMS. Er lässt sich aber auch mit einer App wie Google Authenticator oder Sophos Authenticator generieren. weiter

Account Key: Yahoo ermöglicht Anmeldung ohne Passwort

von Stefan Beiersmann

Nutzer müssen dafür allerdings ein Smartphone bei Yahoo registrieren. Auf diesem Gerät erhalten sie bei jedem Anmeldeversuch eine Push-Benachrichtigung, mit der sie die Anmeldung auf einem anderen Computer bestätigen. Account Key funktioniert anfänglich nur mit Yahoo Mail. weiter

Outlook Web Access mit Sicherheitslücken

von Bernd Kling

Bei einem gezielten Angriff wurden die Anmeldedaten von über 11.000 Mitarbeitern einer großen Organisation erbeutet. Auf dem OWA-Server lief eine manipulierte DLL-Datei, die zugleich eine Hintertür einrichtete. Open Web Access ist ein interessantes Ziel für Angreifer, da es als Vermittler zwischen dem öffentlichen Internet und internen Ressourcen hinter der Firewall einer Firma fungiert. weiter