lost+found: Was von der Woche übrig blieb
Heute unter anderem mit: Videos von interessanten Vorträgen, einer sehr offenherzigen Outlook-App, einer Hintertür zu Wordpress-Blogs, Router-Lücken, einem nachrüstbaren Panik-Button für Paranoiker und der ultimativen Truecrypt-Alternative.
- Ronald Eikenberg
Vor etwa einer Woche ging die Security-Konferenz Troopers in Heidelberg zu Ende. Die Vorträge von Felix "FX" Lindner und Co. kann man sich bei YouTube anschauen. Wer sich für iOS-Hacking interessiert, sollte auch der JailbreakCon einen virtuellen Besuch abstatten.
Die Android-App zu Outlook.com lässt sich zwar mit einer PIN schützen, vor Datenschnüfflern soll diese jedoch nur bedingt schützen: Laut Paolo Soto speichert die App alle Mails und Anhänge nicht nur unverschlüsselt, sondern auch so, dass andere Apps darauf zugreifen können.
Und täglich grüßt die Router-Lücke. Dieses Mal trifft es die D-Link-Modelle DIR-652, DIR-835, DIR-855L, DGL-5500 und DHP-1565. Allerdings ist zumindest diesmal nichts der Kategorie "kritisch" dabei; Patches gibt es angeblich bisher nicht.
(Bild: 0xPoly)
Das Login-Cookie eines auf Wordpress.com gehosteten Blogs lässt sich über eine offene WLAN-Verbindung abfangen und missbrauchen. Da es nicht verschlüsselt ist, kann sich ein Angreifer einloggen und den eigentlichen Blog-Besitzer aussperren. Die Entwickler arbeiten daran, die Lücke zu schließen. Bis dahin sollte man sich besser nicht aus öffentlichen Netzen an seinem Blog anmelden.
Mit Moscrack kann man WPA-Passwörter auf einem Cluster von Rechnern mit Gewalt knacken. Plugins erlauben außerdem Cluster-Angriffe auf Hashes der Algorithmen SHA, DES, MD5 und Blowfish.
Der Panik-Button für den Fall, dass das Sondereinsatzkommando die Tür schon aufgebrochen hat: Mit dem Tool Centry Panic kann man mit einem Knopfdruck sein RAM säubern und den Cache der Truecrypt-Platten loswerden, wenn akute Gefahr droht. Die Software ist unter einer freien Lizenz für Windows, Mac OS X und Linux erhältlich.
Die bisher plausibelste Erklärung für den Ausstieg der Truecrypt-Entwickler hat gar nichts mitz der NSA zu tun: Nervende Anwender und keine Lust, öde Aufräumarbeiten zu erledigen. Apropos Truecrypt: Jetzt wäre doch genau der richtige Zeitpunkt, auf die legendäre Vollbit-Verschlüsselung des Kryptochefs umzusteigen – not! (rei)
