Folgen

  • News von Verschlüsselungsangriffen bis Kryptodiebstahl

    News von Verschlüsselungsangriffen bis Kryptodiebstahl
    Mar 12 2025
    Passwort-Podcast ohne PKI: unvorstellbar! Daher sprechen Sylvester und Christopher in der aktuellen FOlge auch über Kritik an der automatischen Zertifikatsvergabe per ACME-Protokoll. Außerdem staunen sie ob eines Milliardendiebstahls bei der Kryptobörse Bybit, ärgern sich über verschiedene staatliche Versuche, Verschlüsselung zu schwächen und ermutigen ihre Hörer, bei der Auswahl der Testdomain umsichtig vorzugehen. - https://blog.thc.org/practical-https-interception - CertSpotter: https://github.com/SSLMate/certspotter - https://tuta.com/de/blog/france-surveillance-nacrotrafic-law - https://support.apple.com/en-us/122234 - https://www.cl.cam.ac.uk/~ah793/papers/2025police.pdf - https://www.bloomberg.com/opinion/articles/2025-03-03/citi-keeps-hitting-the-wrong-buttons - https://www.heise.de/news/BAMF-Skurrile-Testkonten-ermoeglichten-unautorisierten-Datenzugriff-10305691.html - https://github.com/jlopp/physical-bitcoin-attacks Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort
    Mehr anzeigen Weniger anzeigen
    1 Std. und 46 Min.
  • Homomorphe Verschlüsselung

    Homomorphe Verschlüsselung
    Feb 26 2025
    Mit verschlüsselten Daten zu arbeiten, ohne sie entschlüsseln zu müssen, klingt unmöglich. Und doch bietet die homomorphe Verschlüsselung genau diese Möglichkeit. Dafür ist jedoch viel Mathematik vonnöten und die lässt sich Christopher in der 26. Folge des "Passwort"-Podcasts von einem Gast mit ausgewiesener Expertise erklären. Nicht nur graue Theorie, auch apfelbunte Praxis kommt nicht zu kurz: Eine Anwendung in Apples Cloud zeigt, wie nützlich homomorphe Verschlüsselung ist. - Craig Gentry's Paper zu FHE mit ideal lattices: https://www.cs.cmu.edu/~odonnell/hits09/gentry-homomorphic-encryption.pdf - Craig Gentry's Dissertation zu FHE: https://crypto.stanford.edu/craig/craig-thesis.pdf - MS "Kryptonets" Paper von 2016: https://www.microsoft.com/en-us/research/wp-content/uploads/2016/04/CryptonetsTechReport.pdf - https://fhe.org/resources/ - https://homomorphicencryption.org - Michaels Artikel über die Apple-Usecases: https://www.heise.de/hintergrund/Wie-Apple-mit-homomorpher-Verschluesselung-Daten-schuetzen-will-10193623.html (+) Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort
    Mehr anzeigen Weniger anzeigen
    1 Std. und 27 Min.
  • Staatlich sanktionierte Spyware

    Staatlich sanktionierte Spyware
    Feb 12 2025
    In dieser Folge geht es um Methoden, mit denen Staaten - und zwar längst nicht nur autoritäre - ihre Bürger bespitzeln. Dissidenten, Journalisten, Politiker und andere Bevölkerungsgruppen waren bereits Opfer von Smartphone-Malware, die im staatlichen Auftrag installiert wurde. Die Hersteller dieser Spionagesoftware sind geheimnistuerische Unternehmen, die viel Geld für ihre Dienste nehmen. Sylvester und Christopher nehmen alle Beteiligten unter die Lupe und klären auch die Frage, ob Whatsapp die NSA verklagt hat. - [Predator-Analyse von Cisco Talos](https://blog.talosintelligence.com/mercenary-intellexa-predator/) - [Google Project Zero zu FORCEDENTRY](https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html) - https://media.ccc.de/v/38c3-from-pegasus-to-predator-the-evolution-of-commercial-spyware-on-ios - https://securitylab.amnesty.org/latest/2024/12/serbia-a-digital-prison-spyware-and-cellebrite-used-on-journalists-and-activists/ - [Details zum iOS Lockdown Mode](https://support.apple.com/de-de/105120) - https://securitylab.amnesty.org/get-help/ - https://securitylab.amnesty.org/partners-and-support/ - [Mobile Verification Toolkit (MVT)](https://docs.mvt.re/en/latest/)
    Mehr anzeigen Weniger anzeigen
    1 Std. und 30 Min.
  • Zertifikate sind schwierig, Malwarenamen auch

    Zertifikate sind schwierig, Malwarenamen auch
    Jan 29 2025
    Christopher und Sylvester kämpfen sich mal wieder durch einige Ankündigungen für Zertifikate und Vorfälle mit denselben. Außerdem werfen sie einen Blick auf eine Malwaregruppe, die auf andere Cyberkriminelle und Sicherheitsforscher abzielt, und besprechen, warum diese Gruppen oft so viele komische Namen haben. Zuletzt geht es noch um neue Tricks, wie Nutzer über ihre Browserengine nachverfolgt werden können – und wie man sich dagegen wehrt. * [Let's Encrypt-Ankündigung](https://letsencrypt.org/2024/12/11/eoy-letter-2024/) * [Bericht zu MUT-1244](https://securitylabs.datadoghq.com/articles/mut-1244-targeting-offensive-actors/) * [Threat-Actor-Naming-RFC](https://www.misp-standard.org/rfc/threat-actor-naming.html) * [CSS-Fingerprinting](https://doi.org/10.60882/cispa.27194472.v3) * [c’t-Mailclient-Übersicht](https://heise.de/-10241634) Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort
    Mehr anzeigen Weniger anzeigen
    1 Std. und 27 Min.
  • Bootkitty - Schnitzeljagd um ein Linux-Bootkit

    Bootkitty - Schnitzeljagd um ein Linux-Bootkit
    Jan 15 2025
    Ein neues Linux-Rootkit taucht plötzlich auf und wird gleich dreimal analysiert. Seine Besonderheit: Es kann über das UEFI Linuxsysteme infizieren - bis jetzt ging das nur unter Windows. Aber wer steckt dahinter und warum haben die Unbekannten das Bootkit gebastelt? Sylvester und Christopher gehen auf Spurensuche. Dieses Mal litten Christopher und Sylvester unter ausgeprägtem Hallo-Effekt, was zwischendurch zu unfreiwillig komischen Reinrede-Aktionen führte. - [Ken Thompson: Reflections on Trusting Trust](https://www.cs.cmu.edu/~rdriley/487/papers/Thompson_1984_ReflectionsonTrustingTrust.pdf) - [BlackHat-Präsentation zu LogoFAIL](https://i.blackhat.com/EU-23/Presentations/EU-23-Pagani-LogoFAIL-Security-Implications-of-Image_REV2.pdf?\_gl=1*18vnefe*\_gcl_au*MTM5NTEwMjYzLjE3MzM4OTc5OTc.*\_ga*MTY4Njg2MTc1MC4xNzMzODk3OTk3*\_ga_K4JK67TFYV*MTczMzg5Nzk5Ny4xLjEuMTczMzg5ODAxNy4wLjAuMA..&\_ga=2.47355111.1773935767.1733897998-1686861750.1733897997) - [ESET-Analyse](https://www.welivesecurity.com/en/eset-research/bootkitty-analyzing-first-uefi-bootkit-linux/) - [Humzak711' Analyse](https://humzak711.github.io/analyzing_IranuKit.html) - [Binarly-Analyse](https://www.binarly.io/blog/logofail-exploited-to-deploy-bootkitty-the-first-uefi-bootkit-for-linux)
    Mehr anzeigen Weniger anzeigen
    1 Std. und 10 Min.
  • Neues vom 38C3 von Autos über Wahlen zu Rowhammer-Forschung

    Neues vom 38C3 von Autos über Wahlen zu Rowhammer-Forschung
    Jan 1 2025
    In der ersten Folge des Jahres meldet sich Christopher aus dem Hamburger Außenstudio. Mit zwei Gästen, nämlich Linus Neumann vom CCC und Prof. Florian Adamsky von der Hochschule Hof, spricht er über vier aktuelle Themen, die auch Gegenstand von 38C3-Vorträgen sind: Die Rowhammer-Sicherheitslücke in DRAM, das Datenleck bei VW, unsichere Wahlsoftware und aus China gesteuerte Fake-Shops. - 38C3-Talk zu FlippyRAM: https://media.ccc.de/v/38c3-ten-years-of-rowhammer-a-retrospect-and-path-to-the-future - FlippyRAM: https://flippyr.am/ - 38C3-Talk zu Volkswagen-Leck: https://media.ccc.de/v/38c3-wir-wissen-wo-dein-auto-steht-volksdaten-von-volkswagen - SRLabs zu BogusBazaar: https://www.srlabs.de/blog-post/bogusbazaar - Fakeshop-Finder der Verbraucherzentrale: https://www.verbraucherzentrale.de/fakeshopfinder-71560 - 38C3-Talk zu BogusBazaar: https://media.ccc.de/v/38c3-fake-shops-von-der-stange-bogusbazaar - 38C3-Talk zum Thüring-Test: https://media.ccc.de/v/38c3-der-thring-test-fr-wahlsoftware Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort
    Mehr anzeigen Weniger anzeigen
    1 Std. und 25 Min.
  • Von Zug(p)ferden, Cyber-Gangstern und Passwort-Policies

    Von Zug(p)ferden, Cyber-Gangstern und Passwort-Policies
    Dec 18 2024
    In dieser Episode geht es um ZUGFeRD, einen Standard für die E-Rechnung, um die technischen Tricks von Darknet-Marktplätzen sowie um die Verurteilungen der Betreiber solcher Marktplätze und anderer Krimineller. Außerdem diskutieren die Hosts einen Essay zur Geschichte und den fragwürdigen Effekten von Passwort-Policies und natürlich kommen Zertifikate – beziehungsweise deren Widerrufe – zur Sprache. - Schwerpunkt zu E-Rechnungen in der c’t: https://www.heise.de/select/ct/2024/26/seite-56 - Blogpost zur Security von Darknet-Marktplätzen: https://boehs.org/node/dark-web-security - Wazawakas Steckbrief auf dem T-Shirt: https://pbs.twimg.com/media/F5AvcsjXIAAQ1vW?format=jpg&name=large - Let’s Encrypts Termine für das OSCP-Ende (https://letsencrypt.org/2024/12/05/ending-ocsp/) Passwort-Folge 9 mit Details dazu (https://passwort.podigee.io/9-news-von-ocsp-bis-hibp) und ein c’t-Artikel zur Problematik von Zertifikatswiderrufen (https://heise.de/-9642194) - Essay zu Password-Policies: https://stuartschechter.org/posts/password-history/ Bitte seht uns kleine akustische Fehler in der Aufnahme nach, offenbar war die Hardware im Vorweihnachtsstress. Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort
    Mehr anzeigen Weniger anzeigen
    1 Std. und 23 Min.
  • Pacific Rim - Hackback nach China

    Pacific Rim - Hackback nach China
    Dec 11 2024
    Immer wieder berichten wir im heise Newsticker über APT-Angriffe gegen Firewalls und Security Appliances und deren teilweise haarsträubende Sicherheitslücken. Ein großer Hersteller solcher Geräte hat nun kurzerhand den Spieß umgedreht und seine Geräte in einigigen Fällen zu Lausch-Stationen umfunktioniert. Und zwar in China, wo sie offenbar von Exploit-Herstellern als Testgeräte für deren Malware genutzt wurden. Welches jahrelange Katz-und-Maus-Spiel der Hackback-Aktion vorausging und warum sie dieses Vorgehen für nicht ganz unproblematisch halten, diskutieren Sylvester und Christopher in der zwanzigsten "Passwort"-Folge. - [Diamond Model of Intrusion Analysis](https://www.threatintel.academy/wp-content/uploads/2020/07/diamond_summary.pdf) - [Timeline Pacific Rim](https://news.sophos.com/en-us/2024/10/31/pacific-rim-timeline/) - [Sophos-CISO Ross McKerchaw im Interview](https://youtu.be/QDh5-ZL3nis?t=1352) Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort
    Mehr anzeigen Weniger anzeigen
    1 Std. und 21 Min.