Authentifizierung

In einem offenen Brief warnt die Stiftung vor Risiken für Sicherheit und Privatsphäre. Das Zertifizierungsteam der OpenID Foundation dokumentiert Abweichungen zwischen OpenID Connect und Apples Implementierung für seinen eigenen Anmeldedienst. weiter

Dazu gehören WordPress, Composr und SugarCRM. Eine sichere Hashing-Funktion ist nur bei rund 40 Prozent der Systeme voreingestellt. Ab Werk lassen WordPress und Drupal sogar einzelne Zeichen als Passwörter für Nutzerkonten zu. weiter

Ein Android-Gerät dient als zweiter Faktor bei der Anmeldung auf iPhones und iPads. Es muss zu diesem Zweck per Bluetooth mit dem iOS-Gerät verbunden sein. Eine weitere Voraussetzung ist Googles Smart-Lock-App für iOS. Sie stellt die Anmeldung anschließend für andere Google-Apps zur Verfügung. weiter

Sie lehnen einen Vorschlag des britischen Geheimdiensts GCHQ ab. Der sieht Ermittler als zusätzliche Nutzer verschlüsselter Kommunikation vor. In einem offenen Brief beschreiben Anbieter und Bürgerrechtler mögliche Folgen für die Sicherheit und das Vertrauen von Nutzern. weiter

Der Fehler wurde offenbar schon vor 14 Jahren eingeführt. Die ungehashten Kennwörter hält Google als Kopie in seiner Admin-Konsole vor. Dabei handelt es sich um ein verschlüsseltes internes System. Betroffen sind ausschließlich Enterprise-Kunden der G Suite und keine Verbraucher-Konten. weiter

Betroffen ist die Bluetooth-Version. Der Fehler tritt während der Geräte-Kopplung auf. Unbefugte können sich mit dem Schlüssel oder dem Gerät verbinden und unter Umständen die Kontrolle über ein Google-Konto übernehmen. weiter

Auslöser ist eine fehlerhafte Implementierung eines kryptografischen Algorithmus. Der Fehler steckt in der Qualcomm Secure Execution Environment und betrifft 46 Chipsätze des Unternehmens. Googles April-Patchday bringt einen Fix für die Schwachstelle. weiter

Lockbox macht alle in Firefox gespeicherten Passwörter unter Android verfügbar. Die App übergibt Anmeldedaten auch an mobile Apps von Drittanbietern. Auch eine Authentifizierung per Fingerabdruck oder Gesicht ist möglich. weiter

Die Zahl der Betroffenen liegt offenbar im Bereich zwischen 200 und 600 Millionen. Es geht auch um Kennwörter von Instagram-Nutzern. Die unverschlüsselten Passwörter sind zum Teil jahrelang für Tausende Facebook-Mitarbeiter einsehbar. Facebook will bisher keine Anzeichen für einen Missbrauch gefunden haben. weiter

Zu den Betroffenen zählt auch Apple. Forscher entwickeln ein Tool, das Vanity-URLs zu Box-Freigaben aufspürt. Auf diese Art finden sie Finanzunterlagen, Passfotos, Mitarbeiterlisten, Gesprächsprotokolle und sogar Details zu technischen Prototypen. weiter

Forscher geben ein Registrierungssystem für Nutzer eines Sozialen Netzwerks in Auftrag. 18 von 43 freiberuflichen Entwicklern speichern die Kennwörter dabei im Klartext. Insgesamt setzen nur 17 auf als sicher geltende Verschlüsselungsverfahren. weiter

Bislang galt nur die Empfehlung, das neue Anmeldeverfahren zu nutzen. WebAuthn findet bereits Unterstützung durch Webbrowser und Betriebssysteme. Zur Authentifizierung können Hardware-Security-Keys, Mobilgeräte und biometrische Verfahren dienen. weiter

Android-Geräte sollen künftig eine Anmeldung ohne Passwort bei Apps und Websites ermöglichen. Voraussetzung ist Android 7.0 und neuer sowie ein Fingerabdruckscanner oder ein integrierter Security Key. Möglicherweise wird ein Update für die Google Play Services benötigt. weiter

Password Checkup gleicht mit über vier Milliarden unsicheren Anmeldedaten aus Datenleaks der letzten Jahre ab. Die Chrome-Erweiterung überprüft die Kombination von Benutzername und Passwort bei jeder Anmeldung auf einer Webseite. weiter

Die intelligente Uhr hat gravierende Sicherheitsmängel. Ihre Android- uns iOS-App kommuniziert unverschlüsselt mit den Servern des Anbieters. Dritte können unerlaubt die Träger der Uhr – also Kinder – orten und mit ihnen kommunizieren. weiter

re:ClaimID steht als Open-Source-Software bereit. Der Dienst ist über den Standard OpenID Connect in Webseiten zu integrieren. Die dezentrale Architektur vermeidet die Risiken, die mit der Nutzung zentraler Identitätsprovider verbunden sind. weiter

Das Tool eines polnischen Sicherheitsforschers ist für Penetrationstests gedacht. Es könnte aber Phishing-Angriffe in hohem Maße automatisieren. Dagegen immun sind Hardware-Token, die auf dem Protokoll U2F basieren. weiter

Der Schutz bezieht sich auf nicht konforme Ladegeräte sowie Geräte mit gefährlicher Firmware. Die Authentifizierung soll über ein neues Standardprotokoll erfolgen, während ein Gerät angeschlossen wird. Das USB Type-C Authentication Program entwickelt das USB Implementers Forum zusammen mit DigiCert. weiter

Sie täuschen ihre Opfer mit gefälschten E-Mails. Die angeblichen Sicherheitswarnungen sollen tatsächlich die Anmeldedaten für die E-Mail-Dienste abfangen. Mit Hilfe eines versteckten Bilds werden die Hacker über eine Interaktion mit ihren Phishing-E-Mails informiert. weiter

Neben Galaxy S9 und OnePlus 6 lassen sich auch Galaxy Note 8 und LG G7 ThinQ austricksen. Auch die als sicherer geltende langsame Gesichtserkennung ist kein Hindernis. Nur Apples Gesichtserkennung Face ID lässt sich mit dem 3D-Modell nicht täuschen. weiter

Betroffen ist die Bibliothek libssh. Sie akzeptiert eine Bestätigungsmeldung für ein Login, das nie stattgefunden hat. Angreifer können also ohne Kenntnis von Nutzername und Passwort auf libssh-basierte Server zugreifen. weiter

Den Ermittlern genügt ein Hausdurchsuchungsbefehl. Der Verdächtige kommt der Aufforderung des FBI offenbar nach. Ohne Kenntnis des Passworts erhalten die Ermittler jedoch nur einen eingeschränkten Zugang zu dem mobilen Gerät. weiter

Microsoft verspricht das Ende des Passwort-Zeitalters. Enterprise-Kunden sollen mit Authenticator auf Azure AD mit allen verbundenen Diensten und Anwendungen zugreifen. Auf der Ignite-Konferenz stellt Microsoft Sicherheitsfeatures für die Cloud vor. weiter

Der Schlüssel authentifiziert den Nutzer im Fall eines Passwortverlusts. Er ist nur einmal gültig und muss vor Verlust des Kennworts erstellt werden. Der Recovery Key funktioniert ähnlich wie ein Einmal-Passwort einer Zwei-Faktor-Authentifizierung. weiter

Sie authentifizieren Apps anhand des Namens des Installationspakets. Der lässt sich jedoch leicht fälschen. Forscher tricksen bei ihren Tests unter anderem LastPass und 1Password aus. weiter

Exploits erlaubten schon lange die Umgehung des Passwortschutzes aus der Ferne. Ein Sicherheitsforscher meldete die Lücke in der My-Cloud-Serie im April 2017. Der Hersteller reagiert erst jetzt auf aktuelle Veröffentlichungen. weiter

Microsoft ermöglicht es Google-Anwendern, mit anderen Benutzern über Azure Active Directory B2B zusammenzuarbeiten, ohne dass sie ein Microsoft-Konto benötigen. weiter

Das Plug-in überwacht browserseitig die sichere Ausführung von Webprotokollen. Besonderen Schutz bietet es beim Einloggen mit Social-Media-Konten. Entwickelt wurde die Erweiterung von Forschern der TU Wien und einer italienischen Universität. weiter

Das öffnet den Dienst für die Kommunikation mit Nutzern anderer E-Mail-Services. Auch ein Umzug von einem anderen PGP-Client auf ProtonMail ist nun möglich. Die Sicherheitsfunktion Adress Verification soll indes Angriffe auf die Verschlüsselung von ProtonMail abwehren. weiter

Mit einer Authenticator App ist die Nutzung einer Zwei-Faktor-Authentifizierung auch dann möglich, wenn zum Beispiel der SMS-Dienst nicht zur Verfügung steht oder kostenpflichtig ist. weiter