Artikel zum Thema Technik

Die Universität Twente findet heraus:

"Intelligente Stromzähler" berechnen Verbrauchswerte falsch, teilweise bis zu sechs Mal zuviel

Fefe berichtete bereits letzten Sonntag, heise am Montag; nun wird auch im Fernsehen bereits darüber berichtet.

Die Kritik an der "Zwangsdigitalisierung" mit Datenschutzrisiken und ohne sichere Verbesserungen für die Verbraucher gibt es schon länger; nun kommt also auch noch das Risiko dazu, mehr zu zahlen als man verbraucht hat. Und dank EEG zahlt man ja eh schon die Rabatte für die Konzerne mit dem stärksten Stromverbrauch mit, und die Zuschüsse für Betreiber von Solaranlagen, und den Nuklearrückbau...

Durch die Serie "Supernatural" wissen wir: Für eine Dämonenfalle benötigt man Steinsalz. Die Ghostbusters verwenden eine Protonenfalle zum Fangen von Geistern.

Um ein autonomes Auto einzusperren, genügt Mehl.

Leider nicht nur das: Der Killswitch funktioniert auch nicht über Proxies, und gerade größere Firmen oder Organisationen (auch Universitäten) verwenden die gern, um den Internetzugang ihrer Mitarbeiter (bzw. Studenten) zu kontrollieren.

Na ja, zum Glück ermittelt ja nun auch das BKA. Wenn die nicht den Täter ermitteln, wer dann?

Richtig, liebe Tagesschau. So wie Worte aus der Sprache nicht mehr wegzudenken sind... ;D

Biometrie ist sicher.

... auch nicht schwerer zu umgehen als ein schlechtes Passwort. Der Chaos Computer Club präsentiert:

Die Sendung mit dem Chaos - Iris-Scanner im Samsung Galaxy S8

Klappt angeblich am besten mit Samsung-Laserdruckern. ;D

Warum eigentlich nicht eine Windows-DLL unter Linux laden?

Und damit es nicht zu langweilig wird, nehmen wir zur Demonstration gleich mal eine Anwendung, die tief in das System eingreift: den Antivirus "Defender".

Von Untertiteln gehackt

Es gibt Media-Player, die bieten das Herunterladen von Untertiteldateien an, um sie dann in einem laufenden Film einblenden zu können. Manche Untertiteldienste liefern diese in Archiven gepackt. Und beim Entpacken dieser Archive sind einige Mediaplayer wohl überhaupt nicht wählerisch und entpacken alles, was im Archiv steckt. Auch wenn da jemand Dateinamen so manipuliert hat, dass dadurch der Pfad zum Entpacken zum Wurzelverzeichnis zurückgeht und von da in Systembereiche eindringt.

Betroffen sein könnten z.B. VLC, Kodi (XBMC), Popcorn-Time und strem.io; MPC-HC ist in der Hinsicht nicht betroffen.

Hacked in Translation – from Subtitles to Complete Takeover (CheckPoint)
Malicious Subtitles Threaten Kodi, VLC and Popcorn Time Users, Researchers Warn (TorrentFreak)

Kopierschutz der Ultra HD Blu-ray geknackt – oder Inhalt aus der Produktion kopiert?

Illegale Kopie von Ultra HD Blu-ray gibt Rätsel auf (heise News)

Zitat

Mit "Patriots Day" ist auf einschlägigen Websites bereits der zweite Film aufgetaucht, bei dem es sich um eine direkte Kopie einer 4K-Scheibe handeln soll.
...

Mangels weiterer Informationen lässt sich bislang nicht sagen, ob die Kopie während der Produktion der Scheibe gezogen wurde oder es tatsächlich gelungen ist, den Kopierschutz der Ultra HD Blu-ray zu überwinden. Spannend wäre in letzterem Fall auch die Frage, ob Cyberlinks Media-Player-Software dabei eine – wie auch immer geartete – Rolle spielte.

Manche Leute haben auch sonderbare Probleme ...

"Hey, ich hab ein System mit 24 physischen CPU-Kernen, mit Hyper-Threading also logische 48, und jede Menge RAM; warum kann ich dann manchmal die Maus nicht bewegen?"

Anscheinend weil er so viele logische Kerne hat, und Windows verblüffenderweise ziemlich lange überlegen muss, welcher Kern dafür zuständig ist, welchen Prozess zu beenden. Je mehr Kerne und je mehr Prozesse, die gerade beendet werden müssten, umso länger ist Windows in "kritischen Sektionen", wodurch selbst das Interrupthandling behindert wird, und sich dann die Maus kaum bewegt.

Ich kenne selber kleine Ruckler, wenn GCC gerade im Hintergrund multithreaded compiliert. Allerdings keine Mausblockade von über einer Sekunde wie im verlinkten Fall.

CCC: Bundestagswahl-Auswertungssoftware "PC-Wahl 10" (2017) erschreckend unsicher

Zitat

Die dokumentierten Angriffe haben das Potential, das Vertrauen in den demokratischen Prozess dauerhaft zu erschüttern – selbst wenn eine Wahlfälschung innerhalb von Stunden oder Tagen entdeckt würde. Ob und wann eine softwaregestützte Wahlfälschung überhaupt entdeckt wird, hängt von den konkreten Wahlerlassen der jeweiligen Bundesländer ab...

Erläuterung durch Linus Neumann in der heise-Show

Unter anderem sei der Update-Mechanismus höchst unsicher. Aber keine Angst: Bis zur Wahl bekommt das Programm ein Update :cool:

Der Journalismus schafft sich ab

Weil die Website des FOCUS anscheinend nicht genug Klicks für die eingeblendete Werbung zusammenbekommt, investiert man jetzt offenbar in Artikel über simple Fakten, wie ein Online-Lexikon.

Beginnen wir mit einer Artikelserie über die Maße der DIN-Papierformate in Zentimetern... (BILDblog)

Fakten, Fakten, Fakten!!!

Grundlagen asymmetrischer Verschlüsselung:

Den "Public Key" zu veröffentlichen ist Sinn der Sache.

Den "Private Key" zu veröffentlichen sollte man unter allen Umständen vermeiden.

Das hat Adobe gerade schmerzhaft gelernt.

Bekannter Angriffsvektor: SQL Injection

Neuer Angriffsvektor: CSV Injection

CSV (Comma Separated Values) sollte laut Spezifikation nur passive Daten enthalten. Insbesondere Text in Anführungszeichen ist als Zeichenkette zu behandeln. Einige "Spreadsheet"-Applikationen wie Excel oder Google Docs halten sich aber nicht daran und werten Zelleninhalte sofort aus, wenn diese mit einem Zeichen beginnen, welches Funktionsberechnungen einleitet.

Analyse: Endlich offenes WLAN!

Aber...

:eek:

ABER!

WLAN ist "defective by design", WPA2 an sich hat eine Schwachstelle in der Spezifikation – also selbst korrekte Implementationen sind anfällig für KRACK Attacks (Key Reinstallation Attacks).

Zitat

The weaknesses are in the Wi-Fi standard itself, and not in individual products or implementations. Therefore, any correct implementation of WPA2 is likely affected. To prevent the attack, users must update affected products as soon as security updates become available. Note that if your device supports Wi-Fi, it is most likely affected.

Java 9 kommt.

Und die gibt es dann nur noch für 64-bit-Architektur; Java 8u152 dürfte aktuell wohl eine der letzten für 32 bit sein.

Das GoPro CineForm SDK ist jetzt OpenSource mit github-Repo.

Zitat

CineForm is a 12-bit, full-frame wavelet compression video codec. It is designed for speed and quality, at the expense of a very high compression size. Image compression is a balance of size, speed and quality, and you can only choose two. CineForm was the first of its type to focus on speed, while supporting higher bit depths for image quality. More recent examples would be Avid DNxHD and Apple ProRES, although both divide the image into blocks using DCT. The full frame wavelet as a subject quality advantage over DCTs, so you can compression more without classic ringing or block artifact issues.

Auf modernen PC-Mainboards (v.a. mit intel-CPU) booten noch vor dem Betriebssystem, das der Nutzer auf seinem Datenträger installiert hat, mindestens 2½ weitere Betriebssysteme: UEFI, SMM, ME ... und alle haben (insbesondere für private Heimnutzer) überflüssige Funktionalitäten (eigene langsame generische Treiber für Geräte und Netzwerkprotokolle, bis hin zum integrierten Webserver, wovon manches auch nach dem Booten aktiv bleibt), und haben dadurch auch Exploits, die teilweise (ohne Chipsatz-Wechsel) nicht korrigiert werden können, oder sind sogar theoretisch in der Lage, Schadsoftware permanent zu installieren, die von da an jeglichen Reparaturversuch verhindert.

Gibt es eine Lösung für eine PC-Boot-Umgebung, die für den Nutzer sicherer ist?

Google schlägt vor: NERF = Non-Extensible Reduced Firmware (Vortrag auf YouTube) als ein Linux, das die schädliche Funktionalität dieser Boot-Firmware einschränkt.

Die Erweiterbarkeit von Boot-Komponenten in schwer zugänglicher Hardware ohne Kenntnis des Nutzers wird als Hauptrisiko angesehen. Reduktion der Boot-Funktionalität auf die Hauptaufgabe und ihre Übernahme durch ein für den Nutzer transparent updatebares Linux ist das Ziel des Projektes. Die "Management Engine" lässt sich nicht ganz entfernen, aber viele ihrer Komponenten (me_cleaner). Der "System Management Mode" kann wahrscheinlich ausgeschaltet oder zumindest zum Linux-Kernel übertragen werden. Im UEFI werden die meisten Module im "Driver Execution Environment" (DXE) ersetzt, den Bootmanager übernimmt ein Linux-Kernel, der Benutzer-Betriebssysteme in einer Go-Umgebung startet (u-root.tk » github.com/u-root).