Auf diesem Blog können Mitarbeiter:innen von CERT.at Beiträge veröffentlichen. Da dies möglichst unbürokratisch abläuft, werden die darin vertretenen Meinungen nicht immer auch von CERT.at vertreten.
Der CERT.at Blog kann alternativ auch als Feed bezogen werden.
Feb 11
Offene Key-Value Stores
Wie Heise berichtet wurden in den letzten Tagen von einer Gruppe Studenten zehntausende vollständig ungesicherte Instanzen der NoSQL-Datenbank MongoDB im Internet entdeckt. In den meisten Fällen war nicht nur lesender Zugriff sondern auch die Manipulation von Datensätzen möglich.
Jan 28
In eigener Sache: kurze Service-Ausfälle heute, 28. Jänner 2015
Auch CERT.at ist von den aktuellen glibc/eglibc-Problemen betroffen, und wir müssen daher diverse Services neu starten. Dies kann zu kurzen Service-Ausfällen führen (jeweils im Bereich weniger Minuten). Es gehen dabei keine Daten (zb Emails) verloren, es kann sich nur die Bearbeitung etwas ...
Jan 13
Embedded Device Security - heute bez. diverser Geräte von Snom
Die Researcher von SEC Consult haben viele, viele Bugs - auch kritische - in VoIP-Telephonen der deutschen Firma Snom gefunden - das entsprechende Advisory findet sich hier.Solche Embedded Devices finden sich mittlerweile zu Hauf, vom Privathaushalt bis zum Grossunternehmen. Und wir können ...
Dec 11
Regin
Wir haben in der Woche ab dem 24. November 2014 zum Thema Regin regelmäßige Status-Updates an die GovCERT Constituency (in unserer Rolle als GovCERT Austria), die potentiell betroffenen Sektoren (im Rahmen des ATC) und den CERT-Verbund verschickt.Dieser Blogpost stellt unsere Timeline ...
Dec 09
Poodle-Attacke auch bei TLS
Die "Poodle"-Attacke ist ja nicht mehr wirklich neu (CERT.at Blog-Post dazu). Nun hat sich aber eine neue Facette dazu ergeben, wie das auch TLS-Verbindungen (Poodle war ja quasi ein SSLv3-Problem) betreffen kann.Auf Golem.de wird das gut&ausführlich beschrieben.Autor: Robert ...
Nov 28
Lesestoff: Ron Deibert
Wir leben nicht nur in einer technisch interessanten Zeit, sondern auch die gesellschaftliche Diskussion rund um Geheimdienste, Privatsphäre, Verschlüsselung, 0-Days bis hin zu "Cyberwar" ist für die Zukunft des Internets sehr relevant.Dazu wird viel geschrieben und publiziert, ich ...
Nov 26
Auf Beast folgt Poodle
Es geht mal wieder ein Angriff auf SSL um: Diesmal erwischt es SSLv3, der Angriff selber läuft ähnlich wie Beast oder Crime: Javascript im Browser löst viele, clever konstruierte Requests auf eine Webseite aus, in die der User eingeloggt ist. Das erlaubt es jemanden, der am Kabel mitlauscht, ...
Nov 26
Microsoft Patchday November 2014
Normalerweise schreiben wir nichts über die monatlichen Patchdays von Microsoft: wir schreiben ja auch nicht, wenn ein heller Feuerball in der Früh im Osten über den Horizont steigt. Fast jeder IT Verantwortliche kennt das monatliche Spiel: Lesen, bewerten, eventuell testen dann der Rollout ...
Nov 20
Datenpanne bei Origin
Golem.de berichtet heute unter Berufung auf GamersGlobal von einer Datenpanne bei Origin, dem Online-Portal des Spieleentwicklers Electronic Arts (EA). Benutzer werden anscheinend beim Einloggen in das EA-Forum teilweise falsch identifiziert, und können die persönlichen Daten anderer User (Mail-Adresse, ...
Nov 09
Slides zum Thema DDoS
Das Abwehramt des österreichischen Bundesheeres veranstaltet jedes Jahr eine Konferenz zum Thema IKT-Sicherheit. Dieses Jahr wurde ich eingeladen, einen Vortrag zum Thema DDoS zu halten.In meiner Präsentation verweise ich auf diverse externe Dokumente, daher wurde ich gebeten, die Slides ...