19.2.2009 von admin.

Soll eine DatenÜbertragung im WWW besonders sicher erfolgen, so wird die verschlüsselte Variante des für die Übertragung von Websites verwendeten HTTP-Protokolls, HTTPS, eingesetzt.

HTTPS wird beispielsweise beim sehr verbreiteten und beliebten Online-Shopping oder beim Online-Banking angewendet; aber sensible Daten und Login-Informationen müssen auch an vielen anderen Stellen geschützt werden.

Gerade weil HTTPS ein so wichtiges Glied in der sicheren DatenÜbertragungs-Kette und sehr weit verbreitet ist, gab es schon mehrfach Anlass zur Sorge aufgrund von eindeutigen Hinweisen betreffs vorhandener Schwächen in diesem Protokoll.

Auf der IT-Sicherheitskonferenz Black Hat stellte Sicherheitsexperte Moxie Marlinspike einen sehr effektiven Angriff auf SSL-verschlüsselte HTTPS-Websites vor. Dieser vorgestellte Hack könnte die Besorgnis aufgrund bestehender HTTPS-Schwachstellen noch einmal erheblich anwachsen lassen.Marlinspike ging bei seinen Versuchen allerdings nicht gegen die Verschlüsselung selbst vor. Er entwickelte ein Tool (getauft auf den passenden Namen “sslstrip”), das dem Browser vortäuscht, es läge eine SSL-verschlüsselte Verbindung vor, während in Wirklichkeit nur eine einfache, unverschlüsselte HTTP-Verbindung existiert.

Unverschlüsselter HTTP-Datenverkehr kann mit Hilfe bekannter Sniffer-Programme problemlos mitgelesen und analysiert werden. Genaue Einzelheiten zur Funktionsweise von sslstrip sind bisher noch nicht veröffentlicht.

Marlinspike kann aber aus zuvor durchgeführten Tests “beeindruckende Erfolge” mit dem neuen Tool vorweisen.

Über den Anonymisierungsdienst TOR ließ er das Tool 24 Stunden lang testweise laufen. Dabei fing er nach eigenen Angaben 114 Yahoo-Logins, 50 Gmail-Logins, Daten für 9 Paypal-Accounts, 9 linkedin-Logins und die Benutzerdaten von 3 Facebook-Benutzern ab.

Das beweist eindeutig, dass das Tool funktioniert und die o. g. Bedenken betreffs HTTPS nicht unbegründet sind und ernst genommen werden müssen.

Quelle: gulli.de

Siehe auch: heise.de

Siehe auch: zdnet.de

Geschrieben in Datensicherheit | Drucken | Keine Kommentare »

19.2.2009 von admin.

Jetzt kann man Google AdSense auch für Domains ohne Content nutzen!

Nähere Informationen findet man auf dem GoogleWatchBlog!

Siehe auch: basicthinking.de

heinka: Ich bin gespannt, welche Auswirkungen diese neue Festlegung auf die Domain-Inhaber bzw. auf die bisherigen Domainparking-Anbieter haben wird.

Geschrieben in Domain-News | Drucken | Keine Kommentare »