PHUTiLiTY » Sicherheit

Datenbank mit SSL Private Keys veröffentlicht

speaker — Tue, 21 Dec 2010 06:34:57 +0000

Wie man auf /. lesen kann, ist ein Projekt mit dem Namen LittleBlackBox gestartet, das eine Datenbank mit bekannten SSL Private Keys von Embedded Devices wie beispielsweise Routern zur Verfügung stellt. Da in viele Firmwares diese privaten Schlüssel hardcodet werden, benötigt ein Angreifer lediglich Kenntnis über Hersteller, Modell und Firmware-Version des Geräts, um nun mithilfe des Projekts SSL-Traffic belauschen zu können.

LittleBlackBox bietet die Möglichkeit, anhand eines Public-Key-Zertifikats den entsprechenden privaten Schlüssel in einer Datenbank, die mittlerweile mehr als 2000 Schlüssel umfaßt, nachzuschlagen. Als Input können dabei dienen:

Pfad zum Zertifikat
SHA1-Hash des Zertifikats
Hostname des Geräts, von dem dann das Zertifikat geholt wird
pcap-Datei, die auf Zertifikatsübertragungen durchsucht wird
Netzwerk-Interface, auf dem nach Zertifikatsübertragungen gelauscht wird

Hier geht’s zum dazugehörigen Blog-Eintrag.

Ähnliche Artikel:

WebDAV mit SSL unter Windows 7

speaker — Thu, 11 Mar 2010 16:57:10 +0000

Windows sträubt sich seit Vista/7 ziemlich gegen WebDAV, vor allem dann, wenn es mit SSL abgesichert ist und beispielsweise auf einem Standard-Apache läuft. Nun bin ich endlich auf eine funktionierende Lösung gestoßen:

Um eine Verbindung zum WebDAV-Server unter Windows 7 aufbauen zu können, muß das SSL-Zertifikat des Servers, das im Übrigen exakt auf den Host lauten muß, zunächst heruntergeladen werden, beispielsweise mit Firefox durch

Zertifikat anzeigen > Details > Exportieren…

Anschließend muß das Zertifikat direkt in den Zertifikatsspeicher von Windows (certmgr.msc) unter

Vertrauenswürdige Stammzertifizierungsstellen\Zertifikate

importiert werden.

Danach klappt das Erstellen einer SSL-gesicherten WebDAV-Verbindung fehlerfrei und man kann endlich wieder im Explorer per Drag & Drop Dateien hin- und herschieben.

Und falls doch noch irgendetwas klemmt, kann evtl. dieser KB-Artikel von Microsoft helfen.

Ähnliche Artikel:

Zeitgeist: Rette deine Freiheit

speaker — Mon, 14 Sep 2009 17:12:38 +0000

Und wieder ein sehr schönes Video, ebenfalls vom Macher von Du bist Terrorist:

Click here to view the embedded video.

(via)

Ähnliche Artikel:

Alternativen zum Cisco VPN Client

speaker — Mon, 13 Jul 2009 17:12:09 +0000

Fast jeder, der schon einmal einen VPN-Zugang verwendet hat, ist bereits mit dem Cisco VPN Client in Berührung gekommen. Und auch fast jeder, der eben häufiger auf VPNs angewiesen ist, sei es durch Uni oder Arbeitgeber, wird schon einmal über die Software geflucht haben, wenn zB. LAN-Access nicht mehr klappte, obwohl die Konfiguration stimmte oder nach Login überhaupt keine Kommunikation mehr möglich war. Cisco besserte seither ständig nach, immer neue Versionen des Clients schwirren auf unzähligen Uni-Seiten herum. Trotzdem existiert zB. noch keine Version für Windows Vista 64bit. Auch ist der Verschlüsselungsalgorithmus, den der Client zum Speichern von Gruppen-Paßwörtern im Profil verwendet, längst gebrochen.

Eine komplett freie und vollwertige Alternative stellt der Shrew Soft VPN Client dar. Dieser ist für Windows und Linux/BSD verfügbar und bietet eine Vielzahl von Einstellungsmöglichkeiten und Funktionen.

Des Weiteren hilft ein mitgeliefertes Log Trace Utility mit einstellbarer Genauigkeit dabei, zB. Probleme bei der Kommunikation mit dem VPN-Server zu identifizieren und zu beheben. Seit dem ersten Release Candidate von Version 2.1.5 wird außerdem der Import von Cisco-Profilen unterstützt, was die ansonsten etwas fummelige Konfiguration, die allerdings sehr gut dokumentiert ist, stark vereinfacht.

Auch wenn die zu installierenden Treiber nicht WHQL-zertifiziert sind, sei dieser VPN-Client hiermit also wärmstens empfohlen. Für Benutzer von Windows Vista 64bit (ja, die soll’s wirklich geben) besteht momentan sowieso kaum eine andere Möglichkeit.

Und wer sich wirklich nicht von Cisco trennen kann, dem sei wenigstens der Evil Client ans Herz gelegt: dieser arbeitet on top und stellt dabei einen sicheren Paßwortspeicher zur Verfügung. Außerdem bietet er zusätzliche Funktionen wie zB. den automatischen Wiederaufbau der Verbindung nach ungewolltem Abbruch.

Weitere Clients für Windows:

Comodo EasyVPN (kostenlos, WinXP/Vista 32/64bit)
DrayTek Smart VPN Client (kostenlos, WinXP/Vista)
NCP Secure Entry Client (ca. 90 Euro, Win2k-7, 32/64bit)
TheGreenBow IPSec VPN Client (ca. 70 Euro, Win2k-7, 32/64bit)

Und für Mac OS X:

DigiTunnel (ca. 42 Euro)
IPSecuritas (kostenlos)
Shimo (kein eigenständiger Client, ca. 13 Euro)
VPN Tracker (ab ca. 90 Euro)

Ähnliche Artikel:

Expl0ited: FireStats (WP Plugin)

speaker — Mon, 15 Jun 2009 15:58:34 +0000

Für das Web-Statistik-System FireStats, das unter anderem auch als WordPress Plugin verwendet werden kann, gibt es seit Samstag ein Security Fix Release, das zwei Schwachstellen (Remote File Inclusion, SQL Injection) schließt.

(Exploit)

Ähnliche Artikel:

Zeitgeist: Du bist Terrorist

speaker — Tue, 19 May 2009 19:51:15 +0000

Hier ein sehr gut gemachtes Video zur gleichnamigen Webseite:

Dazu eine kleine Auswahl an Artikeln bei Golem:

Ähnliche Artikel:

Bruce Schneier Facts

speaker — Mon, 23 Feb 2009 06:35:59 +0000

Ein älterer Slashdot-Artikel über Skein, den von Bruce Schneier & Co. eingereichten Kandidaten in der SHA3-Competition, hat mich auf diese hervorragende Seite in bester Chuck Norris Facts Manier gebracht. Damit ist schonmal der Start in die Woche gelungen.

Bruce Schneier can decrypt your PKI message with the public key.

Ähnliche Artikel:

Kein Witz: Online SSH Key Generator

speaker — Fri, 05 Dec 2008 11:48:00 +0000

Unglaublich, aber wahr: Denjenigen, die sich nicht mit kryptischen Linux-Commands in der Shell herumschlagen möchten, bietet sich auf http://www.sshkeygen.com/ (BÖSE!) die überaus komfortable Möglichkeit, per Web-Frontend SSH Key Pairs zu generieren.

Wer diesen “Service” wirklich nutzt (oder nutzen wollte), sollte sich hinsetzen, ein paar Bücher über Grundlagen der IT-Sicherheit durchlesen und anschließend in Peinlichkeit versinken.

Man kann nur hoffen, daß das Ganze doch ein Witz ist.

Ähnliche Artikel:

TrueCrypt 6.1 erschienen

speaker — Mon, 03 Nov 2008 15:41:15 +0000

Seit dem diesjährigen Fest zur Begünstigung von Karies bei Kleinkindern steht die neueste Version von TrueCrypt zum Download bereit.

Unter Windows Vista und 2008 lassen sich nun auch Nicht-Systempartitionen ohne Datenverlust verschlüsseln, außerdem werden ab sofort Smart Cards und Security Tokens unterstützt (Changelog).

Quelle: Golem

Ähnliche Artikel:

TrueCrypt 6.0 ist da

speaker — Sat, 05 Jul 2008 15:28:27 +0000

Auch die Entwickler der TrueCrypt Foundation liegen nicht auf der faulen Haut und haben gestern pünktlich zum amerikanischen Unabhängigkeitstag Version 6.0 ihrer Software veröffentlicht.

Als Hauptfeature kann wohl die neu hinzugekommene Unterstützung für Multi-Core-CPUs bezeichnet werden, was einen Anstieg der Geschwindigkeit direkt proportional zur Anzahl der Cores ermöglicht. Außerdem ist es nun unter Windows möglich, ein weiteres, komplett verstecktes OS zu nutzen, während unter Linux und Mac OS X allgemein versteckte TrueCrypt-Partitionen erstellt werden können.

Zur gesamten Liste aller neuen Funktionen, Verbesserungen und Bugfixes geht’s wie immer hier.

Update:

Auf Golem ist seit heute morgen nun auch eine entsprechende Meldung zu lesen.

Ähnliche Artikel: