7 Schwachstellen bei Mega gefunden nach Ankündigung von Belohnung

Nach Ankündigung von bis zu 10 000 Euro Belohnung für das finden einer Sicherheitslücke beim neuen, verschlüsselten Filehostingservice Mega, gibt es nun erste Resultate dieses Aufrufs, der ja Bekanntlich als Antwort auf die weit verbreitete Kritik an der Sicherheit des Services veröffentlicht wurde. Wie Mega in ihre Blog berichteten wurden bisher 7 Schwachstellen in ihrem Webservice entdeckt und sogleich geschlossen.

Auf ihrer eigens erschaffenen Skala von 1 bis 6, wobei 1 eine unbedeutende Lücke und 6 eine systemkritische Lücke ist, wurden nur Sicherheitsprobleme im Bereich 1 bis 4 entdeckt.

Wobei nur eine im Bereich 4 war, drei im Bereich 3, eine im Bereich 2 und zwei im Bereich 1.
Laut Mega also nicht wirklich gravierende Sicherheitsprobleme.

Hier noch die exakten Angaben von Mega:

Schweregrad der Klasse VI: Fundamentale und allgemein nutzbare kryptographische Konstruktionsfehler

Schweregrad der Klasse V: Remote Code-Ausführung auf MEGA Servern (API / DB / root Cluster) oder größere Zutrittskontrollen Verstöße

Schweregrad der Klasse IV: Kryptographie Konstruktionsfehler, die erst nach Kompromittierung der Server-Infrastruktur (live oder post-mortem) ausgenutzt werden können

Schweregrad III: Remotecodeausführungen Allgemein  auf Client-Browser (Cross-Site Scripting)

Schweregrad II: Cross-Site-Scripting, die erst nach Beeinträchtigung der API-Server-Cluster oder erfolgreich Montage eines Man-in-the-Middle-Angriff (z. B. durch die Ausgabe eines gefälschten SSL-Zertifikat + DNS / BGP Manipulation) ausgenutzt werden können

Schweregrad der Klasse I: Alle harmloseren oder rein theoretische Szenarien


Leider wurden keine Angaben darüber gemacht wer diese Lücken gemeldet hat, und ob, und wie viel derjenige dafür bekommen hat. Ein bisschen Schade, das Mega so sparsam mit Informationen umgeht.

Auch betonen sie, dass sie glauben, dass es verfrüht wäre, um irgendwelche Schlüsse zu ziehen zu dieser Zeit - knapp drei Wochen nach ihrem Start und einer Woche seit dem Start des Belohnungsprogramms. Und das es klar sei, dass die identifizierten Schwachstellen alle gefunden wurden, nachdem nur ein paar Zeilen Code gelesen wurden, und keiner von ihnen eine Analyse auf einer höheren Ebene der Abstraktion benötigte.
Auch sei ganz klar, dass die Brute-Force-Herausforderungen (das File das man entschlüsseln soll) noch nicht geknackt sei, und das es laut ihnen auch in ein paar Milliarden Jahren noch nicht der Fall sein werde. Und sie würden sich freuen, wenn ein paar Einreichungen zu weit gefährlicheren Schwachstellen eintreffen würden.

Also los gebt euch Mühe!

Bis jetzt scheint der Beweis zu fehlen das Mega unsicher ist.

.secure TLD von Artemis soll das Internet sicherer machen

Die Firma Artemis aus England plant Domainnamen im .secure Top Level Domain Bereich zu vergeben die strengen Sicherheitsregeln entsprechen müssen. Damit will man eine sichere Zone im Internet schaffen wo zum Beispiel Gesundheitsdaten übermittelt, oder sicher E-Banking betreiben werden kann.

Bei ICANN läuft zur Zeit ein Prozess zur Vergabe von neuen TLD, und Artemis will sich nun die .secure TLD ersteigern. Die Artemis Internet Inc. ist eine Tochtergesellschaft der NCC Group plc die schon jetzt ein grosser Player im Sicherheitsmarkt ist, und schon über 9 Mio an Kapital in Artemis investiert hat. Zu ihren Kunden gehören eine lange Liste von sehr bekannten Firmen.

Wie soll .secure Funktionieren?

Zuerst muss man sich Verifizieren lassen bevor man überhaupt eine solche Domain bekommen kann. Dazu werden Handelsregistereinträge überprüft, und Markenrechtliche Abklärungen gemacht. Auch sollen die Angaben wie Adresse und andere Anmeldedaten von Mitarbeitern von Artemis genau überprüft werden.

Für den Betrieb der Domain werden dann gewisse Minimumstandards festgeschrieben. Es kann sich zwar noch ändern, aber verlangt werden u.a. DNSSEC Signaturen in allen Zonen, TLS für HTTP Sessions und DKIM und opportunistisches TLS für SMTP.

Die Vorgaben zur Vergabe von .secure TLD sollen ständig und nach Zufallprinzip überprüft werden, so das schwarze Schafe schnell entdeckt werden. Auch sollen Reports und Abuse Meldungen schnell überprüft werden.


Wer will kann sein Interesse an einer Domain schon mal Bekunden. Der Preis für diesen Service steht noch nicht fest, dürfte aber viel höher als bei "normalen" Domains sein. Auch besitzt Artemis die TLD Domain gar nicht. Die Vergabe ist wegen eines Sicherheitsproblems! zur Zeit gestoppt, wann es weitergeht steht noch nicht fest, und ob Artemis den Zuschlag kriegt auch nicht.



Ob dieses Konzept einer Gated Community Erfolg hat, wage ich ein wenig zu Bezweifeln. Eine einzige Firma als Torwächter für ein solches Szenario mit privatem Internet einzusetzen wird sicher nicht allen Gefallen. Und ob solche Domains die Sicherheit wirklich erhöhen ist auch fraglich. Einen sicherern Service anzubieten hat wenig mit der Domain zu tun als mit der allgemeinen Sicherheitskultur. Wer wirklich guten Service bietet, benutzt die Sicherheitstechniken die als Minimum definiert sind sowieso schon. Man muss eher auf Applikationslevel oder bei Server Software auf Sicherheitsprobleme achten.
Und das es in den .secure Domains keine Phishing und Malware Seiten gibt ist sicher gut, aber das ist auch kein Argument für eine Firma sich eine solche Domain zuzulegen. Im Gegenteil, es wiegt User in einer falschen Sicherheit die noch viel Gefährlicher sein kann falls dann doch mal was passiert. Eine .secure Domain haltet keinen ab in einem Spam Mail auf einen gefälschten Link zu klicken (www.bank.secure)
Auch wiederspricht es dem Grundgedanken an ein freies Internet das ein solches Sicherheits-Internet etabliert wird. Auch werden Hackern geradezu herausgefordert die Systeme zu "testen".
Ein weiterer Faktor ist das Geld und der Aufwand. Wie viel wird dieses Service kosten? Wie gross ist der Aufwand wenn plötzlich alle eine solche Domain wollen? Und können sie dann immer noch alle kontrollieren? Ist es den Firmen überhaupt wert solche Massnahmen einzuführen, oder macht sich das eh nicht bezahlt?

Aber bis die Domains registriert werden können dauert es noch eine Weile. Ob das Konzept bis dahin auch wirklich durchsetzen kann wird sich zeigen.


Viel Spass!

3 Passwort Management Tools im Überblick

Nicht erst seit die Hacker von Lulsec Millionen von Passwörtern von Usern veröffentlicht haben, ist klar das man nicht überall die gleichen Passwörter haben soll. Aber wie soll man all die Passwörter merken die man für die verschiedenen Seiten im Internet, Apps, Tools, Gadgets, Banking und was auch immer hat?

Da können Passwortmanager helfen einem den Überblick zu behalten und die Sicherheit zu wahren. Diese Passwort Organisierer sind in den letzten Jahren viel ausgereifter geworden, und haben neben einem ansprechendem Äusserem auch viele nützliche Funktionen. Ich werde euch 3 solche Tools vorstellen.

Keepass

 Keepass ist ein Open Source Programm das eure Passwörter sicher verschlüsselt in einer Datei speichert.
Es gibt für fast alle Betriebssysteme und Plattformen sowie Mobile Geräte ein Programm:
Windows, Mac OSX, Linux, Android, Iphone und Blackberry. Man kann die Passwörter weil sie so gut encyptet sind auch in der Cloud speichern oder auf einem USB- Stick rumtragen. Und es gibt eine Menge cooler Plugins für das Programm.


1password

Diese Kommerzielle Lösung sit mehr als nur ein Passwort Manager, es kann auch Registrierungen oder Kredit Karten Informationen ausfülllen und dich bei Webseiten anmelden. Und auch das Plattformübergreifend bei Windows, Mac OS X, Android und iOS (iPhone and iPad). Auch eine Windows Phone Version ist schon im Beta Stadium. Auch Dropbox Synchronisation ist schon drin. Aber das Tool hat auch einen stolzen Preis, nicht weniger als $39.90 wollen Sie für die Windows Mac oder OSX Version. https://agilebits.com/store
Weiss nicht ob es wirklich so viel Wert ist.

Lastpass

Lastpass gibt es als Gratis Variante die nur über die Populären Browser arbeitet, und die Premium Variante die auch mit Mobilen Geräten wie Iphone, Blackberry, Symbian und Android funktioniert. Diese kostet allerdings  günstige 1$ pro Monat. Die Passwörter werden automatisch und verschlüsselt auf den Servern von lastpass gespeichert und sind so von überall Aufrufbar. Auch möglich sind lokale Kopien zum Beispiel auf USB Sticks, vielleicht ist die Seite ja mal Offline.

Fazit:

Für 90% der User reicht Keepass vollkommen. Quelloffene Programme waren schon immer vertrauenswürdiger als andere Programme, da man jederzeit selber im Quellcode nachschauen kann, ob die Programme auch wirklich koscher sind. Und die ausgereifte Verschlüsselungstechnik, sowie die grosse Auswahl an Erweiterungen, machen es wertvoller als die meisten Programme für die man bezahlt.