Webtracking erlaubt die langfristige Beobachtung des Nutzungsverhaltens von Website-Besuchern. Dafür ist eine individuelle Identifizierung und Verfolgung der Besucher nötig. Anhand von Merkmalen wie Cookies, Zählpixeln, der IP-Adresse und dem „User-Agent“-String, der Browser- und Betriebssystemversion enthält, lassen sich die meisten Nutzer verfolgen.
Mit diesem Beitrag zu unserer Reihe zur OWASP Top Ten, den zehn häufigsten Sicherheitslücken in Webapplikationen, sind wir auf Platz 10 angekommen. Dabei geht es um ungeprüfte Um- und Weiterleitungen. Um- und Weiterleitungen werden in Webapplikationen häufig eingesetzt, um den Nutzer automatisch auf die gewünschte Zieladresse zu navigieren.
Dieser Beitrag aus unserer Reihe zur OWASP Top Ten, den häufigsten Sicherheitslücken in Webapplikationen, beschäftigt sich mit Platz 9: Nutzung von Komponenten mit bekannten Schwachstellen. Webapplikationen wie Onlineshops, Portale oder Content Management Systeme haben mittlerweile einen großen Funktionsumfang und damit eine hohe Komplexität.
Zur Einführung von Amazons Dash Button in Deutschland hatten wir bereits zu Aspekten des Daten- und Verbraucherschutzes des Produkts berichtet. Mit der Sicherheit und der “Hackability” des kleinen Geräts hat sich der Hardware-Hacker hunz beschäftigt und in seinem Vortrag “Shining some light on the Amazon Dash Button” im Rahmen des 33. Chaos Communication Congress seine Ergebnisse präsentiert.
Neben Autos, Kaffemaschinen und Glühbirnen hat das Internet of Things auch in Schlösser Einzug gehalten. Schlösser mit Bluetooth Smart (auch Bluetooth LE genannt) ermöglichen bequemes Schließen per Smartphone-App. Aber nicht nur das – über einen vom Hersteller angebotenen Internetdienst kann ein Schloss mit Freunden kurz- oder langfristig „geteilt“ werden – sehr praktisch z.B.
Zum neunten Mal hat der Kommunikationskonzern Verizon seinen jährlichen Bericht über Datenlecks und deren Untersuchung herausgegeben. Der knapp 80-seitige „2016 Data Breach Investigations Report“ (DBIR) analysiert Untersuchungsergebnisse zu über 100.000 Sicherheitsvorfällen, darunter 2.260 bestätigte Datenlecks.
Sie gehen über einen Parkplatz, als Ihnen in einer Parklücke ein USB-Stick auffällt, der auf dem Boden liegt. Sie heben ihn auf. Auf ihm klebt ein kleines Etikett mit der Aufschrift „VERTRAULICH“. Was tun Sie? Was viele Finder eines solchen Datenträgers tun, haben Sicherheitsforscher der Universitäten Illinois und Michigan in einer Peer-Review-Studie ermittelt: Ihn in den Computer stecken.
Das iOS Update auf Version 9.3 ist seit 21. März 2016 verfügbar und bringt neue Funktionen im Bereich des Mobile Device Management (MDM) mit. Was ist Mobile Device Management? Unter MDM versteht man die Verwaltung von mobiler Hardware (z.B. Notebooks, Smartphones, Tablets) in der IT-Infrastruktur eines Unternehmens.
Unabhängig voneinander haben Sicherheitsexperten von Red Hat und Google eine Schwachstelle in der Standardbibliothek glibc gefunden, die das Ausführen von Schadcode ermöglichen kann. „glibc“ steht für die „Gnu C Library“ und ist die im Unix-Bereich am weitesten verbreitete Standardbibliothek für die Programmiersprache C.
Dieser Blogbeitrag zu unserer Reihe zur OWASP Top Ten, den häufigsten Sicherheitslücken in Webapplikationen, behandelt sicherheitsrelevante Fehlkonfigurationen. Sicherheitsrelevante Fehlkonfigurationen umfassen einen großen Bereich an Sicherheitslücken, die sowohl bei der Installation und Konfiguration als auch bei Administration und Wartung einer Webapplikation entstehen können.
In diesem Beitrag zu unserer Reihe zur OWASP Top Ten, den häufigsten Sicherheitslücken in Webapplikationen, erklären wir das Gefahrenpotential von sogenannten direkten Objektreferenzen (engl. „Insecure direct object references“). Dabei handelt es sich um eine simple, häufig übersehene Sicherheitslücke mit großen Auswirkungen.
Die Sicherheitsforscher Clémentine Maurice und Daniel Gruss haben auf dem 32. Chaos Communication Congress in ihrem Vortrag „Rowhammer.js – Root privileges for web apps?“ ihre JavaScript-Umsetzung des Rowhammer-Angriffs vorgestellt. Rowhammer? Rowhammer ist eine Hardware-Sicherheitslücke, die es erlaubt, im Arbeitsspeicher eines Computers bestimmte Speicherstellen zu manipulieren.
In ihrem Vortrag „Hardware-Trojaner in Security-Chips“ auf dem 32. Chaos Communication Congress in Hamburg richteten die Sicherheitsforscher Peter Laackmann und Markus Janke die Aufmerksamkeit auf bösartige Hardwaremanipulationen und mögliche Gegenmaßnahmen. Während Softwaretrojaner weithin bekannt, einfach zu entwickeln und relativ leicht aufzudecken und zu bekämpfen sind, si …
In diesem Beitrag zu unserer Reihe zur OWASP Top Ten, den häufigsten Sicherheitslücken in Webapplikationen, wird das sogenannte Cross-Site-Scripting (kurz XSS) näher erläutert. XSS bezeichnet eine Angriffsmethode, bei der eine Webapplikation Benutzereingaben wiedergibt, ohne diese zu überprüfen. Dadurch kann ein Angreifer Schadcode an den Browser eines Benutzers übermitteln, w …
Dieser Beitrag unserer Reihe zur OWASP Top Ten, den häufigsten Sicherheitslücken in Webapplikationen, beschäftigt sich mit Fehlern in der Authentifizierung und dem Session-Management. Webapplikationen, die benutzerbezogene Dienste anbieten (z.B. Social-Media-Webseiten) sind darauf angewiesen, dass sich der Benutzer gegenüber der Webapplikation authentifiziert.
In diesem Beitrag aus unserer Reihe zur OWASP Top Ten, den häufigsten Sicherheitslücken in Webapplikationen, beschäftigen wir uns mit Injections, also „Injektionen“. Injection-Sicherheitslücken nutzen eine ungesicherte Verarbeitung von Nutzereingaben aus, z.B. in Eingabefeldern für Namen und Adressen. Statt die vorgesehenen Daten einzugeben, kann ein Angreifer z.B.
Webapplikationen sind allgegenwärtig: Online-Banking und -Shopping, soziale Netzwerke und Mails, aber auch spezielle Anwendungen wie Vereinsverwaltung, Foren oder kollaborative Dokumentenbearbeitung finden hauptsächlich im Webbrowser statt. Wie jede andere Software müssen auch Webapplikationen programmiert werden.
In der IT-Sicherheit ist die Vergabe von Nutzerkonten mit unterschiedlichen Zugriffsrechten unerlässlich. Dadurch wird der Zugriff auf Dateien eingeschränkt und Systemdateien vor den Nutzern eines Systems geschützt. Die Systemadministration ist dann nur als Superuser möglich. Nur dieser hat Zugriff auf alle Dateien des Systems.
Verschlüsselte Kommunikation im Internet, z.B. beim Online-Banking oder –shopping, ist für viele mit dem kleinen Schloss verbunden, das der Browser in der Adresszeile einblendet: Die Kommunikation ist sicher und verschlüsselt. Dass das keineswegs der Fall sein muss haben zwei Sicherheitslücken gezeigt, die im März und Mai 2015 bekannt wurden.
