Passwort - der Podcast von heise security

5.0 (3)
TECHNOLOGY
UPDATED BIWEEKLY

In diesem Podcast ordnen Dr. Christopher Kunz und Sylvester Tremmel zweiwöchentlich aktuelle Themen aus der IT-Security ein und vertiefen sie. Dabei blicken sie hinter den Hype und arbeiten pragmatisch heraus, ob die heiß gehandelten Themen der letzten Wochen für ihre Hörerschaft - IT-Security-Mitarbeiter in Unternehmen, aber auch interessierte Privatleute - einen akuten Handlungsbedarf begründen.

12 HR. AGO

Bootkitty - Schnitzeljagd um ein Linux-Bootkit

Ein neues Linux-Rootkit taucht plötzlich auf und wird gleich dreimal analysiert. Seine Besonderheit: Es kann über das UEFI Linuxsysteme infizieren - bis jetzt ging das nur unter Windows. Aber wer steckt dahinter und warum haben die Unbekannten das Bootkit gebastelt? Sylvester und Christopher gehen auf Spurensuche. Dieses Mal litten Christopher und Sylvester unter ausgeprägtem Hallo-Effekt, was zwischendurch zu unfreiwillig komischen Reinrede-Aktionen führte. - [Ken Thompson: Reflections on Trusting Trust](https://www.cs.cmu.edu/~rdriley/487/papers/Thompson_1984_ReflectionsonTrustingTrust.pdf) - [BlackHat-Präsentation zu LogoFAIL](https://i.blackhat.com/EU-23/Presentations/EU-23-Pagani-LogoFAIL-Security-Implications-of-Image_REV2.pdf?\_gl=1*18vnefe*\_gcl_au*MTM5NTEwMjYzLjE3MzM4OTc5OTc.*\_ga*MTY4Njg2MTc1MC4xNzMzODk3OTk3*\_ga_K4JK67TFYV*MTczMzg5Nzk5Ny4xLjEuMTczMzg5ODAxNy4wLjAuMA..&\_ga=2.47355111.1773935767.1733897998-1686861750.1733897997) - [ESET-Analyse](https://www.welivesecurity.com/en/eset-research/bootkitty-analyzing-first-uefi-bootkit-linux/) - [Humzak711' Analyse](https://humzak711.github.io/analyzing_IranuKit.html) - [Binarly-Analyse](https://www.binarly.io/blog/logofail-exploited-to-deploy-bootkitty-the-first-uefi-bootkit-for-linux)

1h 10m
JAN 1

Neues vom 38C3 von Autos über Wahlen zu Rowhammer-Forschung

In der ersten Folge des Jahres meldet sich Christopher aus dem Hamburger Außenstudio. Mit zwei Gästen, nämlich Linus Neumann vom CCC und Prof. Florian Adamsky von der Hochschule Hof, spricht er über vier aktuelle Themen, die auch Gegenstand von 38C3-Vorträgen sind: Die Rowhammer-Sicherheitslücke in DRAM, das Datenleck bei VW, unsichere Wahlsoftware und aus China gesteuerte Fake-Shops. - 38C3-Talk zu FlippyRAM: https://media.ccc.de/v/38c3-ten-years-of-rowhammer-a-retrospect-and-path-to-the-future - FlippyRAM: https://flippyr.am/ - 38C3-Talk zu Volkswagen-Leck: https://media.ccc.de/v/38c3-wir-wissen-wo-dein-auto-steht-volksdaten-von-volkswagen - SRLabs zu BogusBazaar: https://www.srlabs.de/blog-post/bogusbazaar - Fakeshop-Finder der Verbraucherzentrale: https://www.verbraucherzentrale.de/fakeshopfinder-71560 - 38C3-Talk zu BogusBazaar: https://media.ccc.de/v/38c3-fake-shops-von-der-stange-bogusbazaar - 38C3-Talk zum Thüring-Test: https://media.ccc.de/v/38c3-der-thring-test-fr-wahlsoftware Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

1h 25m
12/18/2024

Von Zug(p)ferden, Cyber-Gangstern und Passwort-Policies

In dieser Episode geht es um ZUGFeRD, einen Standard für die E-Rechnung, um die technischen Tricks von Darknet-Marktplätzen sowie um die Verurteilungen der Betreiber solcher Marktplätze und anderer Krimineller. Außerdem diskutieren die Hosts einen Essay zur Geschichte und den fragwürdigen Effekten von Passwort-Policies und natürlich kommen Zertifikate – beziehungsweise deren Widerrufe – zur Sprache. - Schwerpunkt zu E-Rechnungen in der c’t: https://www.heise.de/select/ct/2024/26/seite-56 - Blogpost zur Security von Darknet-Marktplätzen: https://boehs.org/node/dark-web-security - Wazawakas Steckbrief auf dem T-Shirt: https://pbs.twimg.com/media/F5AvcsjXIAAQ1vW?format=jpg&name=large - Let’s Encrypts Termine für das OSCP-Ende (https://letsencrypt.org/2024/12/05/ending-ocsp/) Passwort-Folge 9 mit Details dazu (https://passwort.podigee.io/9-news-von-ocsp-bis-hibp) und ein c’t-Artikel zur Problematik von Zertifikatswiderrufen (https://heise.de/-9642194) - Essay zu Password-Policies: https://stuartschechter.org/posts/password-history/ Bitte seht uns kleine akustische Fehler in der Aufnahme nach, offenbar war die Hardware im Vorweihnachtsstress. Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

1h 23m
12/11/2024

Pacific Rim - Hackback nach China

Immer wieder berichten wir im heise Newsticker über APT-Angriffe gegen Firewalls und Security Appliances und deren teilweise haarsträubende Sicherheitslücken. Ein großer Hersteller solcher Geräte hat nun kurzerhand den Spieß umgedreht und seine Geräte in einigigen Fällen zu Lausch-Stationen umfunktioniert. Und zwar in China, wo sie offenbar von Exploit-Herstellern als Testgeräte für deren Malware genutzt wurden. Welches jahrelange Katz-und-Maus-Spiel der Hackback-Aktion vorausging und warum sie dieses Vorgehen für nicht ganz unproblematisch halten, diskutieren Sylvester und Christopher in der zwanzigsten "Passwort"-Folge. - [Diamond Model of Intrusion Analysis](https://www.threatintel.academy/wp-content/uploads/2020/07/diamond_summary.pdf) - [Timeline Pacific Rim](https://news.sophos.com/en-us/2024/10/31/pacific-rim-timeline/) - [Sophos-CISO Ross McKerchaw im Interview](https://youtu.be/QDh5-ZL3nis?t=1352) Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

1h 21m
11/27/2024

Tor-Angriffe, Security-Fails und viel Feedback

Zu den letzten Episoden gab es viel inhaltliches Feedback, auf das Christopher und Sylvester in Folge 19 gerne eingehen. Außerdem reden die beiden noch einmal über das Tor-Projekt, denn eine aktuelle und interessante Angriffswelle auf das System hat es gerade so nicht in die vergangene Folge geschafft. Anschließend schauen sich die Hosts einige in letzter Zeit bekannt gewordene Security-Fails an. Die sind teilweise wirklich erschreckend und fanden sich ausgerechnet in Produkten von IT-Sicherheitsfirmen. So mancher Hersteller muss sich offenbar nochmal die Basics hinter die Ohren schreiben. Um Zertifikate geht es natürlich auch wieder, denn was wäre das Internet, ohne Geknarze in seiner Public-Key-Infrastruktur? - [Frontal-Bericht](https://www.youtube.com/watch?v=7anmIIwg0gI) - [BCP-38](http://www.bcp38.info/index.php/Main_Page) - [Passwort-Hashing-Funktionen](https://www.heise.de/hintergrund/IT-Security-Wie-Schluesselableitungsfunktionen-funktionieren-und-was-sie-leisten-9241241.html) - [Géant vs. Sectigo](https://doku.tid.dfn.de/de:dfnpki:tcsfaq:aktuellesituation) Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

1h 39m
11/13/2024

Löcher in der Zwiebel? Ein Blick auf das Tor-Netzwerk

In Folge 18 geht es um Angriffe auf das Tor-Netzwerk. Dieses System zur Anonymisierung, das oft mit dem Darknet gleichgesetzt wird, stand schon immer unter erheblichen Druck durch alle möglichen Angreifer, einschließlich Ermittlungsbehörden. Die Hosts sehen sich an, wie das Netzwerk funktionieren soll und an welchen Stellen es hapert. Trickreiche und mit ausreichend Ressourcen ausgestattete Angreifer können dort ansetzen und offenbar gezielt Tor-Nutzer enttarnen. - Organisationen, die Tor-Relays betreiben: https://torservers.net/partners/ Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://aktionen.heise.de/heise-security-pro

1h 1m
10/30/2024

News von Cybercrime bis perfctl

In der 17. Folge geht's los mit Cybercrime, speziell Razzien gegen Kryptobörsen. Außerdem haben Sylvester und Christopher etwas zu perfctl, einer sehr vielseitigen Linux-Malware mitgebracht, sprechen über löchrige Prozessor-Barrieren und vom Internet erreichbare Druckserver. Und wie so häufig, gibt es auch mal wieder etwas Neues aus der bunten Welt der digitalen Zertifikate. - Operation Endgame Videos: https://www.operation-endgame.com/#videos - IBPB - Breaking the Barrier: https://comsec.ethz.ch/research/microarch/breaking-the-barrier/ - Bitrauschen - der heise Prozessor-Podcast: https://bit-rauschen.podigee.io/ - CUPS-Lücken: https://www.evilsocket.net/2024/09/26/Attacking-UNIX-systems-via-CUPS-Part-I/ Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://aktionen.heise.de/heise-security-pro

1h 32m
10/16/2024

Die Technik hinter der Chatkontrolle

Chatkontrolle ist ein heißes politisches Eisen. Aber auch technisch gibt es einigen Gesprächsbedarf darüber. In der aktuellen Folge von "Passwort" sprechen die Hosts darüber, welche technischen Vorgänge und Fragestellungen hinter der Chatkontrolle stecken, wo es hakt und warum das immer wieder von Lobbyisten und Politikern eingebrachte Vorhaben technisch auf tönernen Füßen steht. - https://www.heise.de/hintergrund/Kindesmissbrauch-stoppen-Mit-Algorithmen-illegale-Bilder-erkennen-6306740.html - Europol-Report "AI and Policing": https://www.europol.europa.eu/publication-events/main-reports/ai-and-policing Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://aktionen.heise.de/heise-security-pro

51 min

See All (23)

5

out of 5

3 Ratings

In diesem Podcast ordnen Dr. Christopher Kunz und Sylvester Tremmel zweiwöchentlich aktuelle Themen aus der IT-Security ein und vertiefen sie. Dabei blicken sie hinter den Hype und arbeiten pragmatisch heraus, ob die heiß gehandelten Themen der letzten Wochen für ihre Hörerschaft - IT-Security-Mitarbeiter in Unternehmen, aber auch interessierte Privatleute - einen akuten Handlungsbedarf begründen.