#sicherheitslücke

tom_s@friendica.ambag.es

Webex-Konferenzen der Bundeswehr waren über Monate einsehbar

Bei der Webex-Instanz der Bundeswehr gab es eine #Sicherheitslücke, die nach Angaben der #Cybertruppe CIR geschlossen ist. Der Vorfall ist ernst.

Über Monate waren die Termine, Teilnehmer und Themen von Konferenzen der #Bundeswehr, die über das Cisco-System #Webex geplant wurden, offen im Internet einsehbar. Dies berichtet Zeit Online, das den Fall zusammen mit dem Verein Netzbegrünung recherchiert hat.

https://www.heise.de/news/Webex-Konferenzen-der-Bundeswehr-waren-ueber-Monate-einsehbar-9708307.html

aktionfsa@diasp.eu

06.06.2023 Schulverwaltung über Monate untätig

Wenn LehrerInnen Software zusammenstricken

... dann sollte diese Software ab und an mal von IT-Fachleuten überprüft werden. Insbesondere dann, wenn selbst die interne Einschätzung dies fordert. So liegt dem WDR exklusiv ein internes Schreiben vor, dass feststellt, dass bereits seit 2021 keine regelmäßigen Updates und Sicherheitspatches mehr gemacht wurden. Weiter heißt es in dem Schreiben:

 "Daher ist es dringend erforderlich, das dynamisch gewachsene Internet-Angebot der QUA-LiS in ein rechtskonformes, technisch sicheres und zukunftsfähiges, den Anforderungen an Datensicherheit und Barrierefreiheit genügendes sowie zielgruppengerechtes Angebot zu transferieren."

Geschehen ist nichts, bis nun ein Hacker den Behörden über ein Datenleck berichtet hatte, durch das aus dem Landesinstitut für Schule (QUA-LiS) die Daten von Lehrkräften und Lehrpläne, Fortbildungskonzepte und Prüfungsaufgaben offen im Netz standen.

Für die Opposition fordert Jochen Ott, Chef der SPD-Landtagsfraktion nun Aufklärung. WDR.de schreibt: Wenn eine Behörde im Schulministerium um Unterstützung bittet und auf eine Schwachstelle hinweist, müsse die natürlich sofort behoben werden, sagte er, bevor die Stellungnahme des Ministeriums vorlag. Dann könne man Monate später nicht so tun, als ob man von allem nichts gewusst hätte. "Das muss die Ministerin jetzt dringend aufklären", so Ott.

Der Skandal liegt nach unserer Meinung noch tiefer. Überall wird mehr Digitalisierung gefordert, aber die Verwaltungsstellen werden in der Regel nicht vor Ort unterstützt, sondern ihnen werden Lösungen von außen aufgedrückt. Statt dessen hätte man hier frühzeitig die lobenswerte freiwillige Initative der Lehrkräfte durch IT-Fachleute unterstützen müssen.

Mehr dazu bei https://www1.wdr.de/nachrichten/landespolitik/datenleck-info-schulministerium-100.html
Kategorie[21]: Unsere Themen in der Presse Short-Link dieser Seite: a-fsa.de/d/3us
Link zu dieser Seite: https://www.aktion-freiheitstattangst.org/de/articles/8421-20230606-schulverwaltung-ueber-monate-untaetig.htm
Link im Tor-Netzwerk: http://a6pdp5vmmw4zm5tifrc3qo2pyz7mvnk4zzimpesnckvzinubzmioddad.onion/de/articles/8421-20230606-schulverwaltung-ueber-monate-untaetig.html
Tags: #Schulverwaltung #Prüfungsaufgaben #Arbeitnehmerdatenschutz #Sicherheitslücke #Verbraucherdatenschutz #Datensicherheit #Datenskandale #Hacking #NRW

aktionfsa@diasp.eu

26.09.2022 Ein Boarding Pass gibt Zugriff auf persönliche Daten

Ausgeliefert dem "digital" vorbestimmten Ablauf

... war auch der Lufthansa Chef Carsten Spohr. Wir hatten vor 2 Monaten über die "Unpässlichkeiten" beim Buchen einer Reise und beim Boarding aus der Sicht eines normalen Fluggastes berichtet. Diese "Unpässlichkeiten" kann der Chef des Unternehmens sicher umgehen, aber trotzdem wurde er zum Opfer von Datendiebstahl nachdem Unbekannte mit seinem Boarding Pass auf seine persönlichen Daten zugriffen.

Über den QR-Code auf einem seiner Boarding-Pässe wurde auf sensible Daten, wie Spohrs E-Mail-Adresse und seine Handynummer zugegriffen. Das Vorgehen ist der Lufthansa bekannt und sie will zukünftig u.a. diese Sicherheitslücke mit neuen Methoden und Industriestandards unter dem Titel "Digitaler Hangar" schließen. Solange appelliert sie an ihre Kunden selbst auf ihre Daten aufzupassen: "Wir empfehlen unseren Fluggästen, [...] [die Flugdokumente] wie Bargeld zu behandeln", zitiert Heise.de einen Lufthansa Sprecher.

Mehr dazu bei https://www.heise.de/news/IT-Sicherheitsluecke-bei-Lufthansa-Chef-der-Fluglinie-selbst-betroffen-7275048.html
Unsere Themen in der Presse Short-Link dieser Seite: a-fsa.de/d/3pU
Link zu dieser Seite: https://www.aktion-freiheitstattangst.org/de/articles/8157-20220926-ein-boarding-pass-gibt-zugriff-auf-persoenliche-daten.htm
Link im Tor-Netzwerk: http://a6pdp5vmmw4zm5tifrc3qo2pyz7mvnk4zzimpesnckvzinubzmioddad.onion/de/articles/8157-20220926-ein-boarding-pass-gibt-zugriff-auf-persoenliche-daten.htm
Tags: #LufthansaChef #Zwangsdigitalisierung #Flugbuchung #CheckIn #BoardingPass #Sicherheitslücke #Verbraucherdatenschutz #Datenschutz #Datensicherheit #Ergonomie #Datenpannen #QRcodes #Fehler #Abhängigkeit #Verhaltensänderung #Smartphone #Handy

aixzellent@diasporaix.de

Achtung: das #BSI warnt vor einem bestimmten Funk-Türschloss vom Hersteller #Abus. Durch die #Sicherheitslücke können Angreifer:innen das Türschloss aus der Nähe ver- oder entriegeln, wodurch ein Zugang zu den Räumlichkeiten leicht möglich ist. 🏡Welches Produktset davon betroffen ist, erfahrt ihr hier:

https://www.aixzellent.com/r/vpc

aixzellent@diasporaix.de

Beim Instant-Messaging-Anbieter #Slack wurde ein Bug (Programmfehler) gefunden: ein Sicherheitsforscher hat Slack darauf hingewiesen, dass Nutzer:innen, die zwischen dem 17. April 2017 & dem 17. Juli 2022 auf einen bestimmten Einladungslink klickten, von einer #Sicherheitslücke betroffen waren. Nun wurde der Bug behoben.

https://www.aixzellent.com/r/2zn

yazumo@despora.de

Matrix Messenger


Verschlüsselung von Matrix konnte ausgehebelt werden

Eine Sicherheitslücke in den Clients und Bibliotheken des Team-Messengers Matrix ermöglicht das Mitlesen eigentlich Ende-zu-Ende-verschlüsselter Nachrichten. Betroffen sind unter anderem die Matrix-Clients Element (früher Riot) in seiner Web-, Desktop- und Android-Version sowie Fluffychat, Nheko, Cinny und Schildichat. Element unter iOS ist nicht betroffen.

Laut dem Matrix-Projekt stehen gepatchte Versionen der Clients und Bibliotheken zur Verfügung. Diese sollen umgehend eingespielt und die Clients bis dahin nicht mehr verwendet werden.

[...]

Bei der Sicherheitslücke handele es sich nicht um einen Fehler im Protokoll oder in den Spezifikationen von Matrix, sondern um einen Implementierungsfehler (CVE-2021-40823, CVE-2021-40824), der sich in mehreren unabhängigen Implementierungen wiederholt habe.

[...]

Nur unter bestimmten Bedingungen ausnutzbar

Bei der Implementierung sei [...] die Identität des Gerätes, das die gemeinsame Nutzung von Schlüsseln anfordert, nicht ausreichend überprüft worden. Ein kompromittiertes Konto könne sich daher als Gerät ausgeben, das den Schlüssel anfordert, und so die verschlüsselten Nachrichten mitlesen. Entsprechend müsse ein Angreifer die Zugangsdaten des Betroffenen oder dessen Matrix-Server (Homeserver) kontrollieren.

[...]

Bisher gebe es keine Hinweise, dass die Lücke aktiv ausgenutzt wurde.

[...]


Den Artikel Verschlüsselung von Matrix konnte ausgehebelt werden habe ich auf [Golem](www.golem.de) gefunden.

uBlock Origin, NoScript und Cookie-AutoDelete sollten eingeschaltet sein, da die Golem Seite viele externe Seiten und Dienste einbindet, sowie 16 Cookies setzt! Bei NoScript reicht es golem.de frei zu geben.
Die Browser Addons stehen sowohl für Firefox und Chrom (in den jeweiligen Varianten) zur Verfügung.


#golem #matrix #datensicherheit #ende-zu-ende-verschlüsselung #messenger #sicherheitslücke #verschlüsselung #security #yazumo