MD5

Der Onlineshop wies eine Reihe von Problemen auf. Der Computerhersteller hat schon reagiert, andere Nutzer des Shopsystems H.H.G. Multistore müssen warten.

Angeblicher Durchbruch beim Angriff auf Krypto-Verfahren entpuppt sich als heiße Luft.

Dass die Mehrfachnutzung von Passwörtern eine ebenso schlechte Idee ist wie deren Speicherung als MD5-Hashes, zeigt ein Datenleak beim MMORPG Mortal Online.

Yahoo was pwned. Komplett. Nicht eine Milliarde Konten, sondern alle drei Milliarden Konten wurden im August 2013 gehackt. Das will die Firma erst jetzt bemerkt haben.

Oracle hat angekündigt, dass mit seinem nächsten Quartalsupdate MD5 für die Signatur von JAR-Paketen ausgemustert wird. Ebenso soll das JDK nur noch in Ausnahmen SHA-1-Zertifikate anerkennen.

Die Updates JDK 8u91 und 8u92 adressieren erneut vor allem das Thema Security: Unter anderem gilt der MD5-Algorithmus nun als unsicher, und die JVM bekommt Einstellungen zur Behandlung von Out-of-Memory-Fehlern.

Ein erster praktikabler Angriff von Sicherheitsforschern auf SHA-1 verschärft die Aussage, dass die Hashfunktion nicht mehr zum Einsatz kommen sollte.

Zwei Bilder erklären oft mehr als viele Worte – in diesem Fall das Problem mit MD5.

Android bevorzugt offenbar seit einigen Jahren für Internet-Verbindungen Verschlüsselungsverfahren, die eigentlich als geknackt gelten. Die Motivation dahinter ist unklar.

Der Notitzbuch-Hoster hat offenbar ein leicht zu knackendes Krypto-Verfahren genutzt, um die Passwörter seiner Nutzer zu speichern. Wer bei dem Dienst angemeldet ist und sein Passwort noch nicht geändert hat, sollte das jetzt schleunigst nachholen.

Poul-Henning Kamp empfiehlt, das von ihm geschriebene Programm nicht mehr zu benutzen. Durch die gewachsene Rechenleistung seien mit dem Verwürfler md5crypt geschützte Passwörter knackbar geworden.

PHP 5.3.7 war erst wenige Stunden veröffentlicht, als sich ein Fehler in der crypt()-Funktion bemerkbar machte. Die aktuelle Version 5.3.8 behebt das Problem.

Mit der richtigen Technik speichern Administratoren auch weniger sichere Passwörter so, dass sich ein Angreifer selbst mit modernster Knack-Ausrüstung daran die Zähne ausbeißt.

Auf einem Mozilla-Server lagen die Daten von 44000 inaktiven Benutzern von addons.mozilla.org weitgehend ungeschützt zum Download bereit. Trotz des minimalen Risikos empfiehlt Mozilla den betroffenen Anwendern, ihre Kennwörter zu ändern.

Australische Forscher haben einen neuen Weg beschrieben, um beim Hash-Algorithmus SHA-1 noch schneller als bisher Kollisionen provozieren zu können. Damit könnten praktikable Angriffe in Reichweite sein.

Bei Firefox 3 hat das Mozilla-Team den Umgang mit Zertifikaten überarbeitet, leider nicht immer zum Besseren. Doch ein paar Handgriffe schaffen mehr Komfort und letztlich auch mehr Sicherheit.

Der deutliche Besucherzahlenanstieg bei Online-Diensten wie hashcrack.com könnte darauf hindeuten, dass Angreifer verstärkt auf verwundbare Typo3-Portale zielen.

Einem Sicherheitsexperten ist es gelungen, zwei unterschiedliche Windows-Programme mit identischer Code-Signatur zu erzeugen. Die Praxisrelevanz ist jedoch fraglich.

Nachdem eine Forschergruppe zum Beweis der Unsicherheit von MD5 ein Zertifikat fälschte, mit dem sie weitere Zertifikate mit beliebiger Identität ausstellen könnten, reagieren die Zertifizierungsstellen.

Sicherheitsforscher konnten eine MD5-Kollision ausnutzen, um sich ein gültiges Herausgeberzertifikat zum Ausstellen beliebiger SSL-Zertifikate zu beschaffen.