12.11.2012
Sicherheit
Sicherheitslücke im Tor-Client erlaubt Spionage
Autor: Thorsten Eggeling
Ein Fehler im Client des Anonymisierers Tor kann dazu führen, dass vertrauliche Daten im Speicher zurückbleiben. Andere Personen können dann beispielsweise Passwörter oder IP-Adressen auslesen.
Das Tor-Projekt ist ein Anonymisierungsdienst, der die Identität der Nutzer im Internet verschleiert. Personen, die den Netzwerkverkehr beobachten, können nur verschlüsselte Daten abfangen und diese nicht eindeutig einer IP-Adresse zuordnen. Auch auf dem PC, auf dem der Tor-Client installiert ist, sollten eigentlich keine Benutzerspuren zurückbleiben.
Der Sicherheitsexperte Andrey Karpov hat sich den Tor-Quellcode genauer angesehen und dabei einige Sicherheitslücken entdeckt. Der Fehler steckt in der mehrfach verwendeten Funktion memset(). Darüber lassen sich zwischengespeicherte Daten löschen, während das Programm läuft oder bevor es beendet wird. Das Problem dabei: Bei der Code-Optimierung durch den Compiler - etwa bei Visual C++ 2010 mit dem Schalter "/O2" - wird der Code entfernt und ist damit nicht wirksam. In der Folge verbleiben vertrauliche Daten wie Passwörter oder IP-Adressen im Speicher, auch wenn das Programm beendet wurde. Bei einem privat genutzten PC ergibt sich dadurch in der Regel kein besonderes Sicherheitsrisiko. Anders sieht es bei frei zugänglichen Computern beispielsweise im Internetcafé aus. Hier könnte der nächste Benutzer oder eine Überwachungssoftware die Daten auslesen. Das lässt sich aber vermeiden, wenn der PC nach der Benutzung neu gestartet wird.
Zurzeit ist nicht klar, welche Tor-Versionen von der Sicherheitslücke betroffen sind. Es hängt unter anderem davon ab, mit welchem Compiler sie erstellt wurden. Die Entwickler haben aber inzwischen reagiert und die Fehler im Quellcode der Version 0.2.4.x des Tor-Clients beseitigt. Ein Update für die derzeit aktuelle Version Tor Browser Bundle for Windows 2.2.39-5 wurde aber noch nicht herausgegeben.
Swisscom
Neue Cyberbedrohungen auf dem Radar
Der neue Cyber Security Threat Radar von Swisscom zeigt die Angriffsmethoden und das Vorgehen von Cyberkriminellen. Er beleuchtet neu auch die Entwicklungen in den Bereichen "Disinformation & Destabilisation", "Manipulated Generative AI" und "Unsecure IoT/OT-Devices".
>>
Zum Welt-Passwort-Tag
"95 % der Cyber-Sicherheitsprobleme sind auf menschliche Fehler zurückzuführen"
Am 2. Mai ist Welt-Passwort-Tag. Ein guter Anlass für den Frühlingsputz bei alten Logins und ein grundsätzliches Überdenken der eigenen Cybersecurity. Miro Mitrovic von Proofpoint gibt dazu einige konkrete Tipps.
>>
Schellerer Ausbau
Hessen, OXG und Vodafone schließen Partnerschaft für Glasfaser
Vodafone und OXG starten gemeinsam mit dem Land Hessen eine umfangreiche Ausbau-Offensive für schnelles Internet. Bis 2030 wollen die Unternehmen Glasfaser-Anschlüsse für bis zu 520.000 Haushalte bauen.
>>
Cyberbedrohungen überall
IT-Sicherheit unter der Lupe
Cybersecurity ist essentiell in der IT-Planung, doch Prioritätenkonflikte und die Vielfalt der Aufgaben limitieren oft die Umsetzung. Das größte Sicherheitsrisiko bleibt der Mensch.
>>