Passwort - der Podcast von heise security

Zehnte Folge, das ging schnell! Aber statt die Korken zum Mini-Jubiläum knallen zu lassen, machen Christopher und Sylvester mit ihren Hörern einen Ausflug nach Asien, genauer gesagt nach Nordkorea. Dort arbeiten unter der Führung des Militärgeheimdiensts tausende Cybersoldaten für das Kim-Regime. Sie spionieren, infiltrieren, sabotieren - und erbeuten hunderte Millionen Dollar fürs nordkoreanische Rüstungsprogramm. Wer die Gruppen mit Namen wie Andariel, Lazarus oder BlueNorOff sind und was sie mit einer mittelmäßigen Filmsatire zu tun haben, erfahrt Ihr im Podcast. Die Killswitch-Domain von WannaCry sieht aus wie auf dem Keyboard ausgerutscht: iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com Knowbe4 von nordkoreanischem Fake-Mitarbeiter infiltriert: https://www.heise.de/news/l-f-IT-Sicherheitsunternehmen-stellt-unbeabsichtigt-Cyberkriminellen-ein-9814563.html Advisory internationaler Sicherheitsbehörden zu gefährdeten Branchen: https://www.ic3.gov/Media/News/2024/240725.pdf

In Folge 9 von Passwort reden Christopher und Sylvester über eine Reihe von Security-News der letzten Tage: Die weltgrößte Zertifizierungsstelle Let’s Encrypt will das Online Certificate Status Protocol (OCSP) loswerden und Secure Boot kämpft, mal wieder, mit Problemen und Schlampereien. Außerdem reden die Hosts über einen neuen Passwort-Check bei GMX und Web.de und die Security von Blockchain- Projekten – anlässlich eines aktuellen besonders teuren Malheurs. Das Urgestein GhostScript macht mit einen Sicherheitsproblem auf sich selbst und vor allem auf den interessanten Charakter des Formats PostScript aufmerksam. Korrekturen: Sylvester nennt das Protokoll fälschlicherweise "Open Certificate Status Protocol", richtig ist "Online Certificate Status Protocol". Und bei etwa 18:55 erzählt Sylvester, die CRLs großer CAs würden Gigebytes messen. Das stimmt so nicht, sondern ist der Worst-Case, wenn eine CA viele (oder sogar alle) ihrer Zertifikate zurückrufen müsste. Für diesen Worst-Case muss die Infrastruktur allerdings ausgelegt sein. c’t-Artikel über Zertifikatswiderrufe: https://heise.de/-9642194 Folge der c’t Auslegungssache zum Thema „Datenlecks verhindern“: https://heise.de/-9762321 c’t-Artikel zu Mailpasswörtern im neuen Outlook: https://www.heise.de/select/ct/2023/28/2331715395648017635 https://www.web3isgoinggreat.com

In der achten Folge von Passwort geht es um den aktuellen CrowdStrike- Vorfall. Christopher und Sylvester erklären, was genau eigentlich passiert ist, und diskutieren eine erste Analyse der Firma. Die offenbart gravierende Mängel und lässt die Hosts an mehreren Stellen etwas ratlos zurück. Die beiden überlegen außerdem, wie CrowdStrike, Windows und die IT-Security-Community insgesamt solche Vorfälle in Zukunft verhindern könnten. Vorläufige Analyse von CrowdStrike ("Preliminary Post Incident Review"): https://www.crowdstrike.com/falcon-content-update-remediation-and-guidance-hub/ Recovery-Anleitungen von Microsoft: https://techcommunity.microsoft.com/t5/intune-customer-success/new-recovery-tool-to-help-with-crowdstrike-issue-impacting/ba-p/4196959 Gegen Ende erwähnter Blogpost von modzero: https://modzero.com/modlog/archives/2022/08/22/ridiculous_vulnerability_disclosure_process_with_crowdstrike_falcon_sensor/index.html

In der siebten Folge von Passwort geht es um "Prompt Injections": Angriffe auf Software, deren Basis eine Sprach-KI ist. Solche Systeme sprießen in letzter Zeit allenthalben, aber ihre Sicherheit findet mitunter wenig Beachtung. Die Hosts Christopher und Sylvester erklären, was Prompt Injections eigentlich sind und welche Gefahren von ihnen ausgehen. Außerdem erörtern die beiden, wie man sich als Nutzer, als Softwareanbieter und auch als KI-Hersteller schützen kann – wenn auch nur bedingt – und warum das Problem so hartnäckig ist. Unser Schwesterpodcast zu KI-Themen: https://www.heise.de/thema/KI-Update

In Folge 6 von "Passwort" befassen Sylvester und Christopher sich mit aktuellen Geschehnissen der vergangenen Wochen. So verteilte die Domain für eine Javascript-Bibliothek plötzlich Malware, Kaspersky sieht sich mit einem umfassenden Vertriebsverbot in den USA konfrontiert und auch für die Zertifizierungsstelle Entrust läuft es nicht gut. Dass Unbekannte auf der Suche nach Internet-Ruhm mittlerweile den Linux-Kernel mißbrauchen, um Reputation zu farmen, besprechen die Hosts ebenso wie neue Bedenken gegen Telegram. Der im Podcast erwähnte International Obfuscated C Contest ist hier zu finden. https://www.ioccc.org/

In Folge 5 von Passwort geht es um eindeutige Kennzeichnungen von "Common Vulnerabilities and Exposures", also die bekannten CVE-Nummern, mit denen Sicherheitslücken identifiziert werden. Die Hosts Christopher und Sylvester besprechen, welchen Zweck CVEs haben, wie und von wem die Nummern vergeben werden und wo es hapert. Allzu rosig sieht die Zukunft von CVE-Nummern nämlich nicht aus. Es gibt diverse Probleme und Kritiker, unter anderem die Entwickler des Linux-Kernels. Die halten wenig von speziellen Kennzeichnungen für Security-Bugs und vermitteln ihre Sicht der Dinge mit dem Holzhammer. CVE-Datenbanken: CVE-Suche von Mitre: https://www.cve.org CVE-Suche der NVD: https://nvd.nist.gov/vuln/search Beispiele für Problem-CVEs Curl: https://daniel.haxx.se/blog/2023/08/26/cve-2020-19909-is-everything-that-is-wrong-with-cves/ & https://daniel.haxx.se/blog/2023/09/05/bogus-cve-follow-ups/ PostgreSQL: https://www.postgresql.org/about/news/cve-2020-21469-is-not-a-security-vulnerability-2701/ KeePassXC: https://keepassxc.org/blog/2023-06-20-cve-202335866/ Azure: https://heise.de/-9755370 CVE-Regeln Regelwerk für CNAs: https://www.cve.org/ResourcesSupport/AllResources/CNARules Vorgehen der Kernel-CNA: https://docs.kernel.org/process/cve.html Talk von Greg KH zu CVEs: https://kernel-recipes.org/en/2019/talks/cves-are-dead-long-live-the-cve/

In Folge 4 sehen sich Christopher und Sylvester eine Reihe von aktuellen Meldungen an. Die Hosts diskutieren am Beispiel Proton das beliebte Konstrukt, eine kommerzielle Firma unter das Dach einer gemeinnützigen Stiftung zu stellen. Außerdem geht es um eine vielsagende Parsing-Lücke in wget, eine Anti-Phishing-Lösung, die durch das Certificate-Transparency-Projekt funktioniert, und einen Bug in Apples visionOS, der im wahrsten Sinne des Wortes gruselig ist. Zum Schluss verzweifeln Christopher und Sylvester noch ein bisschen an der Updatedisziplin vieler Exchange- und MSSQL-Betreiber – oder besser gesagt, an der Abwesenheit dieser Disziplin. PS: Leider haben wir am Anfang der Aufnahme zwei ganz kurze Aussetzer. Es handelt sich bei den Lücken aber nicht um Sicherheitslücken ;) Gemeinnützige Stiftungen: Proton Foundation: https://proton.me/blog/proton-non-profit-foundation OpenAI-Umstrukturierung: https://heise.de/-9765565 wget: Mailthread zum Bug: https://lists.gnu.org/archive/html/bug-wget/2024-06/msg00005.html BigPhish: BigPhish-Erklärung: https://heise.de/-9774101 CT-Livestream: https://certstream.calidog.io CT-Analysetool: https://crt.sh visionOS-Spinnenbug: Bugreport: https://www.ryanpickren.com/vision-pro-hack Update-Probleme: Angreifbare Exchange-Server: https://heise.de/-9770441 Angreifbare MS-SQL-Server: https://heise.de/-9769490 Outtro: Windows Recall nur für Insider: https://archive.ph/86ekx

In Folge 3 betrachten Christopher und Sylvester im Newsteil den Rausschmiss einer CA aus den Browsern und warum das nicht nur positiv ist. Außerdem erzählen die beiden Security-Podcaster, wie sie Microsofts Recall finden. Im Hauptteil geht es um eine teure und lästige Art der Online-Attacke: Denial of Service. Die Hosts diskutieren, welche Arten von DoS es gibt, wie Angreifer mit wenig Aufwand terabiteweise Daten auf ihre Opfer schleudern und ob man sich gegen DoS-Angriffe schützen kann. News-Teil: Lockbit: https://cabforum.org/working-groups/server/baseline-requirements/ GlobalTrust: https://heise.de/-9746473, CA/B Baseline Requirements für CAs: https://cabforum.org/working-groups/server/baseline-requirements/requirements Hauptteil: Rekord-dDoS: https://blog.cloudflare.com/de-de/cloudflare-mitigates-record-breaking-71-million-request-per-second-ddos-attack-de-de/ dDoS auf die Bundesregierung: https://www.tagesschau.de/inland/cyberattacke-bundesregierung-ddos-101.html FastNetMon als Selbstbau-Lösung für Netzwerk-Admins: https://github.com/pavel-odintsov/fastnetmon

In der zweiten Folge schauen sich Christopher und Sylvester aktuelle Angriffsszenarios auf VPNs, WLANs sowie DNS-Server an und diskutieren über die Verurteilung eines Entwicklers von Tornado-Cash. Danach geht es um sichere Kommunikation, das Hauptthema der Folge: Was darf man von moderner Verschlüsselung erwarten, warum sind manche Systeme besser als andere und wieso gibt es eigentlich so wenige verschlüsselte E-Mails? Wir freuen uns über Feedback an: passwort-podcast@heise.de

In der ersten Folge schauen sich Christopher und Sylvester die Geschichte einer der bekanntesten und erfolgreichsten Ransomware-Banden an: LockBit. Was steckt hinter der Gruppe, die seit Jahren Unternehmen weltweit angreift - und bedeuten die jüngsten Polizeiaktionen ihr Aus?