Kategorien

Artikel-Schlagworte: „Sicherheitsnotiz“

Erpressungstrojaner als Word-Dokument getarnt

VorsichtWir leben wieder einmal in Zeiten, in denen man allgemein den Dateianeghängen in den Mails mißtrauen sollte. In letzter Zeit häufen sich die Vorfälle, in denen präparierte Word-Dateien Computer infizieren. Die aktuelle Welle ist sogar bis ins Innenministerium von NRW vorgedrungen.

 

Bei Dateianhängen der neuesten Mails sollte man besonders vorsichtig sein, auch wenn die Absendeadresse von einem Bekannten stammt. Aktuell rollt eine Viren-Welle durch das Internet, bei der die Schädlinge – in erster Linie Verschlüsselungstrojaner – mit auf den ersten Blick harmlosen Word-Dokumenten (.doc) oder Zip-Dateien (.zip) daherkommen.

Die Word-Dateien weisen gefährliche Makros auf und die Archive enthalten bösartige ausführbare Dateien (.exe) oder JavaScript (.js). Auf JavaScript setzen die Angreifer, da dieses von vielen Mailservern nicht blockiert wird. Von der Viren-Welle sind in erster Linie Windows-Nutzer betroffen.

Bis zur Inbfektion sind allerdings mehrere Handgriffe notwendig. Beim Empfang einer Mail mit entsprechendem Anhang passiert ersteinmal gar nichts. Öffnet der Empfänger den Anhang, kann dieser eine bösartige ausführbarde Datei starten, die sich im System einnistet. Versteckt sich der Schadcode in einem Zip-Archiv, muß man dieses erst öffnen und die entpackte Datei ausführen. Es sind also mehrere Schritte nötig um die Infektion einzuleiten.

Die Makros in einer Word-Datei versuchen beim Öffnen der Datei Schadsoftware auf Computer zu laden. Derartige Makro-Viren galten eigentlich als quasi ausgestorben, doch vor einigen Monaten tauchte derartige Malware wieder auf. Die Makros in einer Word-Datei versuchen beim Öffnen der Datei Schadsoftware auf Computer zu laden. Derartige Makro-Viren galten eigentlich als quasi ausgestorben, doch vor einigen Monaten tauchte derartige Malware wieder auf. Da die Ganoven ihre Malware anscheinend regelmäßig warten, kommen die Anbieter von Antiviren-Anwendungen nicht hinterher, denn Leser von heise online berichten, dass ihre Virenscanner oft nicht anspringen.

Mittlerweile häufen sich die Berichte, daß Nutzer mittlerweile auch von Verwandten und Bekannten Mails mit schädlichem Dateianhang bekommen haben. Den Anhang sollte man bei bekanntem Absender nicht abnicken, sondern vorher ersteinmal nachfragen, ob der von der Mail auch etwas weis. Denn oft genug nutzen kriminelle Elemente gekaperte Mail-Accounts für ihre Zwecke und kopieren das Adressbuch des übernommenen Accounst gleich mit.

Erschreckend dabei ist, daß sich die Angreifer immer plausiblere Formulierungen einfallen lassen, damit der Empfänger den infizierten Dateianhang öffnet.

Wenn von einer bekannten Adresse Dateien versendet werden, fragt einfach beim Versender nach, was das ist. Weiß er nichts von der Mail, dann ist definitiv ein Trojaner drin. In dem Fall, sollte der Bekannte sein Passwort zu seinem Mailaccount sofort ändern.

Vorsicht vor extrem gut gemachten Phishing-E-Mails
Auch aktuelle Phishing-E-Mails werden immer perfider und selbst versierte und skeptische Internet-Anwender können auf die vermeintliche PayPal-Buchungen oder Amazon-Warnungen vor „ungewöhnlichen Logins“ hereinfallen.

In diesem Fall sollte man immer die URL, zu dem der Link aus einer Phishing-E-Mail führt, untersuchen, denn etwa

sicherheitscenter-9830.amazon-daten-updates.ru

gehört nicht zur Amazon-Domain.

Verschlüsselungstrojaner im Innenministerium

Im Zug der aktuellen Viren-Welle sorgen vor allem Verschlüsselungstrojaner für Frust. So einen hat sich auch das nordrhein-westfälische Innenministerium Mitte dieser Woche eingefangen und verschiedene Computer in der Verwaltung vorsorglich abgeschaltet. Sicherheitsrelevante Systeme, etwa von der Polizei, sind aber nicht betroffen, berichtet der WDR.

Schädlich

Phishing im Namen Amazons

Wieder einmal machen Phishingmails die Runde, dieses mal wieder im Namen von Amazon. Auffällig dabei ist wieder die Mailadresse des Absenders. Es ist keine Mail von Amazon, das erkennt man schon an der Erweiterung hinter dem @-Zeichen. Ein genauerer Blick in den Header der Mail brachte keine klaren Ergebnisse über die Herkunft. Laut Utrace kam die Mail aus einem Ort auf halben Wege zwischen Marburg und Kassel – von einer deutschen Firma – was aber nicht viel heißen mag, denn deren Server können unwissentlich gekapert worden sein und für Spam missbraucht werden.

Beunruhigender ist die Tatsache, daß man wirklich mit Vor- und Nachnamen angesprochen wird und eine Mailadresse verwendet wird, die schon lang nicht mehr bei Amazon registriert ist. Vielleicht wurde der Provider gehackt. Aus technischen Gründen habe ich die Mail hier anonymisiert. Auffällig ist diesmal, daß die Mail nur ganz simpel gestaltet ist. Schwarzer Text auf weißem Grund ohne irgendwelche Firmenlogos und Farben von Amazon.

Erwähnenswert ist noch der Anhang. Finger weg davon, es ist ein Schädling – digitale Influenza ist garantiert!

Sachbearbeiter Amazon GmbH < *****@webholic.de>
Von: Sachbearbeiter Amazon GmbH < *****@webholic.de>
Ordner: ********@gmx.de/Posteingang
Datum: Thu, 12 Mar 2015 11:03:00 GMT
Betreff: Petra Mustermann Ihr gespeichertes Konto ist nicht hinreichend gedeckt
Ein Anhang: Forderung an Petra Mustermann 12.03.2015 – Sachbearbeiter Amazon GmbH.zip (120 KB)

Sehr geehrte Kundin Petra Mustermann,

Ihr Kreditinstitut hat die Lastschrift zurück gebucht. Sie haben eine nicht bezahlte Forderung bei Amazon GmbH.

Aufgrund des bestehenden Zahlungsrückstands sind Sie gebunden außerdem, die durch unsere Beauftragung entstandenen Kosten von 45,63 Euro zu tragen. Wir erwarten die Überweisung inklusive der Mahnkosten bis spätestens 17.03.2015 auf unser Bankkonto.

Es erfolgt keine weitere Erinnerung oder Mahnung. Nach Ablauf der Frist wird die Angelegenheit dem Gericht und der Schufa übergeben. Die vollständige Forderungsausstellung, der Sie alle Einzelpositionen entnehmen können, ist beigefügt. Für Fragen oder Anregungen erwarten wir eine Kontaktaufnahme innerhalb des selben Zeitraums.

In Vollmacht unseren Mandanten fordern wir Sie auf, die noch offene Forderung schnellstens zu bezahlen.

Mit verbindlichen Grüßen

Sachbearbeiter Brandt Alexander

Wie Samsungs Fernseher zum Spion im Wohnzimmer werden

Gebogen und Hellhörig - Foto: Samsung

Gebogen und Hellhörig – Foto: Samsung

Netzpolitik.org berichtete neuerdings, daß Besitzer von Samsungs Fernsehgeräten mit Sprachsteuerung nichts privates mehr sagen dürften. Selbst Samsung weißt in den Endbenutzer-Lizenzvereinbarungen (Eula) darauf hin, daß gesprochenes über die eingebaute Sprachsteuerung mitgeschnitten werden könnte und an die Server von Drittanbietern gesendet werden kann. Diese Server dienen dazu, die gesprochenen Kommandos zu verarbeiten, auszuwerden und in Schaltbefehle für den Fensher umzusetzen.

In der Eula heißt es wortgenau:

“Please be aware that if your spoken words include personal or other sensitive information, that information will be among the data captured and transmitted to a third party through your use of Voice Recognition.” (Seien Sie sich bitte bewußt, dass wenn das Gesagte persönliche oder sensible Informationen enthält, diese Information Teil der erfassten Daten ist und durch die Spracherkennung an Drittanbieter weitergegeben wird.)

In einem Statement von Samsung heißt es, daß dieses nur gilt, wenn die Sprachsteuerung aktiviert ist.

Links und Quellen

  1. Netzpolitik.org -Samsung warnt…
  2. EULA des Konzern Samsung

Mojang bietet Hilfe für betroffene Minecraftaccounts an

Minecraft Dorf

Minecraft Dorf

Vorgestern berichtete ich über 1800 gehackte und kompromitierte Minecraft-Accounts. Mojang will allen betroffenen Spielern mit Rat und Tat unter die Arme greifen, aber mittlerweile sind weitere Zugangsdaten im Netz aufgetaucht.

Betroffene Spieler sollen den Support der Firma kontaktieren (Links dazu wie immer am Ende des Artikels) – nach Angaben von Mojang geht das sogar auf Deutsch. Vorgestern sind die Zugangsdaten von 1800 Minecraft-Accounts öffentlich geworden, weitere will man inzwischen im Netz gesichtet haben. Mittlerweile melden sich dazu immer mehr Nutzer die Listen mit erbeuteten Daten gesehen haben wollen. Bei manchen dazu handelt es schlichtweg um Doppelungen, andere scheinen neue Login-Daten gefunden zu haben.

Aber momentan ist es fraglich, ob ein Großteil der betroffenen Nutzer überhaupt weiß, daß ihr Zugang kompromitiert wurde. Mittlerweile will man sämtliche Nutzer aus der bekannt gewordenen Liste via E-Mail informiert haben, aber es befanden sich auch alte Minecraft.net Konten, die nicht mit einer Mail-Adresse verknüpft waren.

Wer auf Nummer sicher gehen will, der kann natürlich sein Passwort ändern. Besonders dringlich ist es, wenn man das Passwort auch für andere Webseiten und Dienste (wie Banking, Paypal, Mailadresse etc) verwendet hat.

Links

  1. Mojang Support-Seite für betroffene Accounts
  2. Sicherheitsnotiz – 1800 gehackte Accounts beim beliebten Minecraft

Sicherheitsnotiz – 1800 gehackte Accounts beim beliebten Minecraft

Minecraft gehackt

Heise Security hat berichtet, daß im Netz derzeit eine lange Liste mit gehackten Minecraft-Zugangsdaten kursiert. Wie die Daten erbeutet wurden, läßt sich derzeit noch nicht sagen.

Die Security Abteilung vom Heise-Verlag hat heute im Netz eine Liste von 1800 Zugangsdaten des Open-World-Spiels Minecraft gesichtet. Diese enthalten Mailadresse und das zugehörige Passwort zum Spiel und das alles ganz unverschlüsselt im Klartext. Unter den Accounts befinden sich einige Daten, die sich auch Nutzern aus Deutschland zuordnen lassen. Stichproben haben ergeben, daß die Daten aktuell und funktionsfähig sind. Wie die Daten abgegriffen wurden, ist derzeit noch unklar.

Was kann passieren?

Im Namen des des legitimen Account-Besitzers kann man die Vollversion des Spieles herunterladen und an Spielen auf Online-Servern mitmachen. Ferner kann man sich mit dem Login auf Minecraft.net und Mojang.com anmelden, sofern keine Sicherheitsfragen gesetzt wurden. Auch besteht die Gefahr von Passwortrecycling. Das heißt, daß es richtig gefährlich werden kann, wenn das gleiche Passswort bei Mailadresse, Onlinebanking-Accounts und bei Paypal genutzt wird. In diesem Fall kann sich der Angreifer mit dem erbeuteten Passwort fvonb einem Dienst zum anderen Hangeln.

Derzeit steht noch eine Stellungnahme von Microsoft aus, daß Mojang im Herbst von Microsoft übernommen wurde.

Sicherheitsnotiz – Kritische Sicherheitslücke im WordPress Downloadmanager

Seit Anfang Dezember ist eine kritische Sicherheitslücke im beliebten WordPress-Plugin Download Magager bekannt, die es sogar Script-Kiddies erlaubt ungepatchte Server zu kapern.

Ein offen im Internet verfügbares Script nutzt diese Lücke aus, um einen zusätzlichen Administratoraccount anzulegen. Wenn man zusätzlich Shell-Skripte bedienen kann, ist es sogar möglich, ungepatchte Server zu bedienen.

Von der Sicherheitslücke sind die Version 2.7.5 und älter vom Plugin Download Manage. Nutzt man eine dieser Versionen, sollte man schleunigst auf die aktuelle Version 2.7.81 updaten. Bei Updates vor der 2.6er Version gibt es allerdings einiges zu beachten. Mehr dazu auf dem Link am Ende des Artikels.

Links

Download Manager Update auf 2.6 – Hürden

Die Medienspürnase wandelt sich

Der Advent ist seit gestern vorbei, die Weihnachtsfeiertage und der Jahreswechsel rücken erstaunlich schnell näher. Im NSA-Skandal tut sich indes erstaunlich wenig, was die Aufklärung des selbigen betrifft, aber seitens amerikanischer, englischer und deutscher Geheimdienste sehr viel, die immer mehr Macht an sich reisen. Daher hat es ein paar Änderungen bei der Medienspürnase gegeben, als kleine Überraschung sozusagen.

Was genau hat sich getan?

Es wurde einiges für die Sicherheit und den Komfort für euch Leser und Leserinnen getan. Einige Plugins wurden ausgetauscht und ein SSL Zertifikat für die Transportverschlüsselung von Daten und Inhalten wurde aufgesetzt. Neben dem Zertifiakt wurde noch das Social-Media-Plugin ausgetauscht. Manch einer wird sich noch an den Artikel Think Social und die Zwei-Klick Methode erinnern. Dieses Plugin wurde durch das Plugin Shariff ersetzt. Für Leser/innen, die schon immer nach ähnlichen Inhalten zum gerade gelesenen Artikel suchen, habe ich das Plugin Yet Another Related Posts Plugin installiert. YARPP schlägt ähnliche Artikel am Ende eines jeden Beitrages vor und verlinkt diese als Relevant. Allerdings mußte das Plugin Print Friendly aus Kompatibiltätsgründen entfernt werden. Print Friendly war dazu gedacht, Artikel via Mail zu teilen, Inhalte als PDF abzulegen und zu drucken. Mit dem neuen SSL-Zertifikat kam es da zu Störungen.

Warum genau diese Änderungen?

Das SSL-Zertifikat Der Größte Nutzen der Änderungen liegt ersteinmal in der Sicherheit. Das SSL-Zertifikat verschlüsselt alle gesendeten und empfangenen Daten auf dem Weg zwischen Server und Browser. Dritte, die sich also am Transportweg durch das Internet zwischenschalten, haben es somit schwerer irgendwelche Daten abzufangen und zu verändern. Es kommt also genau das beim Empfänger an, was der Webhoster der Spürnase auch abgesendet hat… und anders herum eben. Weiterhin kann sich jede Leserin und jeder Leser darauf verlassen, daß er/sie bei der einzig echten Medienspürnase gelandet ist. Die verschlüsselte Verbindung erkennt man in der Adresszeile am Browser an einem Sicherheitsschloss und einem https:// vor der Domain. Ein Klick auf das Schloss bringt noch einige Infos zum Zertifikat zum Vorschein. SSL Zertifikat Zertifikatinfos Shariff-Plugin

Mehr Komfort und eine Verbesserung des Datenschutzes bringt das Plugin Shariff mit sich. Komfort und Sicherheit? Da gibt es keinen Haken. Leser brauchen jetzt nur noch ganz genau einen Klick statt wie bisher zwei, um Artikel auf einer gwünschten Social-Media-Plattform zu tauschen. Dennoch erhöht sich der Datenschutz noch einiges.

Was war! Beim alten 2-Klick verfahren, aktivierte man die Buttons und schon da wußten die sozialen Netzwerke, wo man sich gerade aufhielt. War man noch bei diesen angemeldet, so verknüpften diese die Daten mit den Sachen, die man bereits in Chronik und Profil eingegeben hat.

Was ist! Jetzt allerdings wurde eine bessere Methode entwickelt, um den Komfort zu erhöhen, die Datensicherheit noch besser zu gewährleisten. Man muß die Buttons nicht mehr aktivieren und von allein senden diese auch keinee Daten zu Facebook, Google und Co. Diese neuen Knöpfe bestehen aus einfachen HTML und CSS. Ein auf Javascript basierender Codeschnipsel auf dem Server der Medienspürnase dient als Vermittler zwischen den Netzwerken und den Lesern. Dieses Script wird erst dann aktiv, wenn man sich entschließt einen Beitrag zu teilen. Vorher werden absolut keine Daten von den Social-Media Plattformen gesammelt. Hier habe ich deutlich mehr Netzwerke freigeschaltet. Und eine Funktion aus dem verflossenem Print friendly bringt Shariff trotzdem noch mit. Hat man einen Mailer wie Thunderbird oder Outlook installiert, so kann man auch über seine eigene Mailadresse Artikel als E-Mail weiterempfehlen. Social Media Buttons Yet Another Related Posts

Dieses Plugin dient nur dem Komfort der Leserschaft. Ähnliche Beiträge, wie gerade gelesene, werden am Ende des Artikels als kurze Linkliste beigefügt. Das hat auch den Vorteil, daß ältere Beiträge nicht einfach ganz verschwinden. So wird der Suche nach ähnlichen Themen vorgebeugt. Diese Relevanten Artikel sind zur Ergänzung für deie abschließende Linkliste gedacht. Yet another Related Posts Plugin YARPP

Update 23.Dezember 2014 9 Uhr 45

Ich habe zwecks der SSL-Zertifikate noch ein bisschen recherchiert. Google bevorzugt SSL-Verschlüsselte Verbindung beim Ranking ein bisschen und liefert diese noch vor unverschlüsselten Seiten aus.

Links

  1. Download Shariff
  2. Yet another related Posts Plugin (YARRP) Download
  3. Print Friendly & PDF Plugin Download
  4. 2 Click Social Media Buttons Download

Sicherheitsnotiz – Schädling nutzt alte WordPress-Sicherheitslücke aus

SoakSoak-RU-Blacklisted

SoakSoak-RU-Blacklisted

Der Schädling namens SoakSoak hat hunderttausende Webseiten über das Plug-in Slider Revolution befallen und spioniert die Server aus. In einigen Fällen werden auch Besucher per Drive-By-Download infiziert.

Mittlerweile warnt man erneut vor einer bereits seit Monaten bekannten Sicherheitslücke im beliebten WordPress-Plugin Slider-Revolution. Mittlerweile wird die altbekannte Lücke von der Schadsoftware ausgenutzt. SoakSoak lädt ein bösartiges JavaScript von der Domain soaksoak.ru nach, was dem Schädling seinen Namen gab.  Der Code spät den Webserver aus und infiziert auch Besucher via Drive-by-Download. Google will nach eigenen Angaben bereits hunderttausend infizierte Seiten gesperrt haben.

Ein Update für Slider-Revolution gibt es bereits seit Februar diesen Jahres. Allerdings ist dieser Code auch in einer großen Anzahl von WordPress-Themes verbastelt und deren Nutzer scheinen sich dessen nicht immer bewußt zu sein.

Slider Revolution wird verwendet um Bilder in Teasern und Bilderstrecken rotieren zu lassen. Themes, die jetzt nach über einem dreiviertel Jahr noch diese Sicherheitslücke aufweisen, kann man nicht als gepflegt betrachten. Daher sollte man sich als WordPressnutzer überlegen, auf sichere Alternativen bei den Themes umzusteigen.

Ansonsten ist den Nutzern von Slider-Revolution empfohlen, schnellstens das Update auf Version 4.2 dieses Plugins zu installieren.

Die Firma Sucuri bietet einen einen kostenlosen Seiten-Scanner an. Alle wichtigen Links habe ich noch einmal am Artikelende zusammengefasst.

Links

  1. Warnung vor SoakSoak
  2. Sucuri – kostenloser Websitenscanner

Sicherheitsnotiz – Cross Site Scripting bei WordPress

WordpressAm Wochenende kam ein umfangreicheres Softwareupdate auf WordPress 4.0.1 heraus. Dieses Update behebt massive Sicherheitstechnische Lücken, gerade in den Versionen 3.0 bis 3.9.2 von WordPress. In diesen alten Versionen ist WordPress anfällig für Cross Site Scripting.

Was genau ist Cross Site Scripting eigentlich?

Beim Cross Site Scripting werden Sicherheitslücken in Webseiten und Contant Management Systemen (CMS) dahin ausgenutzt. Hierbei wird von außen, also vom Hackerschädlicher Code in eigentlich in Seiten eingepflanzt, denen die meisten Internetnutzer vertrauen. Dieser Code überträgt dann beim Ansurfen Computerschädlinge auf den Rechner, oder manipuliert den eingehenden und ausgehenden Netzwerkverkehr auf irgend einer Weise um den unbedarften Surfer Schaden zu zu fügen. Beispielsweise werden sensible Daten wie Passwörter und Anmelde-Daten bei Foren und dergleichen abgegriffen, was dann zum Identitätsdiebstahl führen kann.

Und was genau passiert bei WordPress?

Bei WordPress war es in den Versionen 3.0 bis 3.9.2 möglich, via Kommentarfunktion schädlichen Code auf Java-Script Basis einzufügen. Liest ein Moderator oder ein Administrator einer WordPress-Installation neu hinzugekommene Kommentare, war es möglich den Code auszuführen. Damit ist es möglich das Admin-Passwort zu ändern, andere Nutzerkonten anzulegen und bestehende zu sperren. Somit wäre der gesamte Blog von Fremden übernommen. Die aktuelle Version 4.0 ist nicht betroffen, allerdings steht ein umfangreiches Sicherheitsupdate auf 4.0.1 zur Installation bereit, welches diese Lücke und einige weitere schließen soll.

WP-Statistics ist auch betroffen …

Das beliebte Statistic-Plugin für WordPress ist auch von einer solchen Sicherheitslücke empfohlen. Über diese kann auch ein Angreifer Administratorrechte im Blog erlangen. Weiterhin kann man darüber auch SEO-Spam in Blog-Posts einfügen. Auch hier steht ein Update zur Verfügung.

Was kann ich nun gegen solche Lücken tun?

Das WordPress-Team bringt regelmäßig, aber auch außerhalb des normalen Updatezyklus immer neue und verbesserte Versionen für die beliebte Bloggingsoftware heraus. Im Normalfall wird der Administrator im Dashboard eine Information mit neuen Updates, die gerade verfügbar sind, erhalten. Auch gibt es zu solchen Updates im Regelfall über die WSordpress Nachrichten im WP-Channel noch einen Beitrag zu Neuerungen. Updates für Plugins und Themes werden auch im Dashboard angezeigt.

Das Meiste an Updates kann man gleich mit wenigen Mausklicks installieren lassen. Das geht schnell und problemlos und passiert auch im Hintergrund. Unterbindet das der Webhoster aus irgend einem Grund, so sollte man das Update manuell einspielen. Wie das geht, habe ich bereits früher schon einmal beschrieben.

Plugins kann man ganz ähnlich auch einer Frischzellenkur unterziehen. Das geht wie das WordPressupdate auch aus dem Dashboard heraus. Gibt es da Seitens der Webhoster Probleme, so kann man das auch manuell durchführen. Einfach das Plugin aus dem offiziellen WordPress Pluginverzeichnis downloaden, auf dem heimischen Rechner entpacken und dann via FTP-Programm in den Plugin-Ordner unter wp-content schubsen. Meist noch kurz im Dashboard aktivieren und fertig ist das Update von Plugins.

Fazit

Auch Updateverweigerer sind in der Pflicht ihre Software aktuell zu halten. Momentan nutzen noch über 80 Prozent aller Blogger eine veraltete WordPress Installation. Mit dieser gefährden sie nicht nur sich selbst, auch ihre Leser und sogar die Webspacebetreiber, auf deren Servern die Blogs liegen. Es ist grob fahrlässig, nicht zu updaten. Da gelten auch keine Ausreden, daß man am Blog irgendetwas kaputt machen kann. Es gibt genug Tutorials im Internet, die dazu Unterstützuing geben und genug Foren, wo man seine Fragen loswerden kann und Hinweise zu Updates finden kann. Zur Erleichterung habe ich fürher schon einmal ein Tutorial geschrieben, was ich hier wieder verlinke. Also macht euch dran und aktualisiert eure Seiten.

Links

  1. Rezepteküche: WordPress – WordPress Updaten
  2. Offizielles WordPress Pluginverzeichnis

Verordnete Demenz beim Feuerfuchs

Gestern hat die Mozilla-Foundation zum 10-jährigen Bestehen des Firefox ein kleines Überraschungsupdate mit der Versionsnummer 33.1 herausgebracht. Das bringt anlässlich der eskalierenden Datenspionage ein kleines Schmankerl mit sich. Auf Knopfdruck vergisst Firefox die Chronik der in den letzten 24 Stunden angesuften Seiten. Zum Download steht der aktuelle Firefox für MacOS, Windows und Linux bereit.

Was muß ich dafür tun?

Um den Firefox dafür vorzubereiten brauchts erst einmal nur wenige Handgriffe. Die sind in nicht einmal 2 Minuten erledigt.

1. Dazu klackert man auf die Menüschaltfläche new fx menu

2. Ein Klick auf Schaltfläche Anpassen öffnen bringt uns in einen neuen Tab mit Weiteren Werkzeugen und Funktionen

3. Jetzt zieht man die Schaltfläche Vergessen  forget button gray aus dem Menüteil Weitere Werkzeuge und Funktionen in die Symbolleiste und klicken Sie dann auf Schaltfläche Anpassen abschließen.

4. Will man nun die kürzlich angelegte Chronik löschen klickert man nun auf Vergessen  forget button gray .

5. Es erscheint ein Dialog, in dem man den Zeitraum der Löschung (5 Minuten. 2 Stunden oder 24 Stunden) auswählen kann. Ein Klick auf den roten Knopf läßt Firefox die angefallene Chronik in dieser Zeit vergessen.

Loesch Dialog

Links

Firefox Download

Kurios: Neulich auf meinem Facebook-Konto

Rezepte-App: „Fianna hat gerade ein Rezept für Schweinefleisch in Käse-Sahne-Sauce abgerufen. Soll ich ihr Hähnchenbrust und Diätsahne unterjubeln?“

Gesundheit-App: „Ihre Cholesterinwerte sind schon bedenklich hoch, dazu der Harnsäurespiegel – Kannst du sie nicht zu etwas Vegetarischem überreden?“

Waagen-App: „Wollt ihr mal ihre Gewichtskurve der letzten Monate sehen? Da tut eine heftige Diät dringend Not.“

Watchweighters-App: „Tut mir leid, aber sie hat ihr Abo gekündigt. Mir sind da leider die Hände gebunden.“

Rezepte-App: „Dann lock sie doch mit einem Preisausschreiben zurück.“

Watchweighters-App: „Glaubst du, ich hätte das nicht schon versucht? Die Waagen-App soll mal ein Wörtchen mit ihr sprechen.“

Waagen-App: „Die Dicke hat alle Alarmfunktionen abgestellt. Bevor mich Facebook nicht trotzdem die Daten in ihre Timeline schreiben läßt, kann ich keinen Druck machen.“

Facebook-Ad: Hallo Fianna, bitte beachten Sie die aktuellen Sonderangebote bei Burger-Schlemm: Das King-Size-Menü kostet diese Woche nur die Hälfte und ein leckerer Zuckerschock-Nachtisch ist gratis dabei.

Geotag-App: „Vielleicht kann ich da helfen. Mir liegen mehrere Geostatus-Einträge vor, wonach die Gute ein bisschen sehr schnell gefahren ist. Ich bin befugt, das der Polizei zu melden. Damit dürfte ihr Führerschein ein paar Monate weg sein. Und Radeln soll ja gesund sein.“

Gesundheit-App: „Ich bezweifle, daß ein paar Monate Bewegung das Problem lösen.“

Krankenkassen-App: „Lasst mich mal ran. Nachricht an Fianna: ‚Unter Berücksichtigung Ihres aktuellen Übergewichts und Ihrer Blutwerte müssen wir Sie ab sofort in eine neue Risikogruppe einstufen. Ihre Beiträge zur Krankenversicherung erhöhen sich ab dem nächsten Monat um 50 Prozent.‘ Das sollte reichen.

Facebook-Sys: „Alarm: Fianna versucht gerade, ihre Mitgliedschaft zu beenden. Sie will sogar erfasste Informationen löschen. Der Datenschutz wird aktiviert.“

Bundes-App (garantiert 100 Prozent Trojaner-frei): „Sehr geehrte Bürgerin, bitte bachten Sie, daß Sie verpflichtet sind, Ihren Lebenslauf in der Facebook-Timeline zu dokumentieren. Dies hilft nicht nur, gefährliche Tendenzen frühzeitig zu erkennen, um Sie und andere zu schützen, sondern garantiert auch die Gerechtigkeit in unserem Sozialsystem. Mit einer Unbedenklichkeitsbescheinigung Ihres Bürgeramtes können Sie ersatzweise ein Google+-Konto anlegen. Dann ist allerdings die Nutzung von Latitude und Google-Mail vorgeschrieben. Viele Grüße ihre Bundesregierung (81.757.999 gefällt das).“

Sicherheitsnotiz: WordPress-Plugin Mailpoet erlaubt Angriff auf Webserver

Eine kürzlich entdeckte Sicherheitslücke in dem Plugin MailPoet für WordPress, erlaubt das systematische Kapern von Webservern. Das Anfang Juli veröffentlichte Update sollte also schleunigst nachgerüstet werden, sofern dies noch nicht geschehen ist.

Vor ein paar Tagen entdeckten Sicherheitsforscher eine kritische Schwachstelle in dem Plugin. Die Entwickler reagierten prompt und stellten eine aktualisierte Version des Newsletter-Managementsystems für WordPress zur Verfügung. Betroffen sind allerdings alle Versionen von MailPoet bis inklusive Version 2.6.8. Aktuell trägt MailPoet die Versionsnummer 2.6.9. Alle älteren und kleineren Versionsnummern sind betroffen.

Ein Propgrammierfehler in den alten Versionen erlaubt es, die Uploadfunktion, die nur für Admins gedacht ist, um beliebige Dateien hochzuladen. Das betrifft natürlich auch gefährlichen Quellcode, der so auf den Server gelangen kann. Angreifern ist es so möglich, eine PHP-Datei mit einer Hintertür hochzuladen, mit der man den gesamten Webserver kontrollieren kann. Einige Webhoster wie 1&1 erkennen solcherlei Angriffe und informieren betroffene Kunden.

Die Hintertür wird vor allem genutzt, um Spam-Mails zu versenden. Dazu werden an verschiedenen Stellen Dateien mit manipuliertem PHP-Code versteckt und andere Dateien abgeändert. Die Reinigung eines Systems ist mühselige Arbeit, weil der Code recht durcheinander und nicht leicht aufzuspüren ist. Einen ersten Anhaltspunkt für die weitere Inspektion kann eine Suche nach PHP-Funktionen mit _replace, _decode oder eval im Namen sein. Doch für eine zuverlässige Desinfektion wird das kaum ausreichen.

Sicherheitsnotiz – Trügerische Mail made in Germany

Mail made in Germany

Mail made in Germany

Zum heutigen Tag soll die Initiative Mail made in Germany der Mail-Provider abgeschlossen sein. Alle Nutzer der deutschen Mail-Dienste Web.de, GMX, Telekom und Freenet versendenihre E-Mails über verschlüsselte Transportwege. Kurzum bedeutet das in der Theorie für die Nutzer folgendes: Die Verbindung zwischen den Computer des Nutzers und einem der oben genannten Provider ist via TLS/SSL verschlüsselt. Weiterhin verschlüsseln die genannten Dienste die Transportwegen zwischen ihren Servern auch via TLS/SSL. Ob andere Mailanbieter eine Verschlüsselung des Transportweges auch annehmen, ist ersteinmal etwas Fragwürdig.

Was bedeutet das für den Kunden? Eine versendete E-Mail kann jetzt nur noch direkt am Server der Provider oder am Computer des Kunden abgefangen und gegebenenfals verändert werden. Die Wege zwischen den einzelnen Stationen sind gesichert. Aber das ganze ist immer noch eine trügerische Sicherheit. Auf den Computern von Sender und Empfänger, aber auch auf den Servern der Mail-Providern (also in den Postämtern) liegen die Mails unverschlüsselt. Bei einem Datenabriff durch kriminelle Elemente oder Geheimdienste sind diese E-Mails immer noch lesbar. Um dem abhilfe zu schaffen, sollten Sender und Empfänger die Mail an ihren Rechnern direkt ver- und Entschlüsseln. Weiterhin können Angreifer die Sende- und Empfängerserver durch Fluten des DNS Caches mit falschen Antworten über eigen Server umleiten. Der Sender hält wegen der falschen DNS-Antwort den Server des Angreifers für das Ziel und gibt ihm Mails preis, die nicht für ihn bestimmt sind.

Sicherheitsnotiz – Routercheck von Heise Security

In den letzten Wochen und Monaten kursieren immer mehr Meldungen über unsichere Router-Firmware. Das liegt daran, daß viele Leute ihren Router eher stiefmütterlich behandeln. Läuft er einmal, bekommt er kaum neue Firmwareupdates spendiert. Diese muß man heutzutage in den meisten Fällen noch per Hand einspielen. Entweder man vergisst einen regelmäßigen (manuellen) Check der Herstellerseiten für den Router (was mir manchmal auch so geht), oder man hat einfach schlichtweg keine Ahnung wie das alles alles geht – Firmwareupdate herunterladen, entpacken, im Router einloggen und dort über das Admininterface einspielen.

Andere Software, wie die Betriebssysteme auf Smartphones, im Computer und wo auch immer, sind da Nutzerfreundlicher. Die informieren über Updates und spielen diese auch automatisch, oder nach kurzer Bestätigung des Nutzers ein. Im krassen Gegensatz dazu stehen die Router. Deren Firmware will manuell, oder auf Anstoß des Nutzers installiert werden. Kommt neue Software mit automatischer Updatefunktion für solche Geräte heraus ist es meist schon zu spät für die Vergesslichen oder Ahnungslosen unter uns. Denn die will auch ersteinmal manuell installiert werden – vorrausgesetzt man denkt daran oder hat eine Ahnung davon, welche Handgriffe bei dem eigenen Router anfallen.

Der unten verlinkte Routercheck überprüft, ob irgendwelche Sicherheitslücken im Router aufklaffen. Zumindestens denkt man bei Sicherheitslücken so groß wie offene Scheunentoren daran, die Website des Routerherstellers zu besuchen und auf frische Software zu prüfen. Tun wir uns als Menschen ein Beauty- und Wellnessworchenende an, so benötigen unsere Hausrouter auch etwas Zuwendung in Form einer Frischzellenkur für die Firmware. Pflegen Sie ihren Router gut, er dankt es Ihnen, in dem er keine Kriminellen Elemente, die Ihre persönlichen Bankdaten ausspähen wollen, in Ihr Netzwerk läßt. Folgen Sie einfach den aufgestellten Hinweisschildern zum Routercheck. Es ist ganz leicht und kostet kein Geld. Eine Anleitung zum Firmwareupdate Ihres Routers, finden Sie auf der Herstellerwebsite ihres Routers oder in dessen Handbuch.

Der Wegweiser zum zum Routercheck

Netzwerk- und Routercheck von Heise-Security

Spuren im Sande des Internets – Teil 2

Seit einigen Wochen schon ist es bekannt, daß die Spitzelei von Geräteherstellern und Onlinediensten nicht einmal vor dem heimischen Wohnzimmer halt macht. LG hat es bewiesen, in dem man dem Fernsehzuschauer sagte, daß die Datenübertragung von Inhalten ausgeschaltet sei, aber man dennoch heimlich Daten sammelte. Von seiten der Hersteller schob man das auf ein Sicherheitsleck in der Firmware der Geräte…

Smart-TV

Unlängst gab es bei Fernsehgerätehersteller LG eine Panne. In der Firmware einiger TV-Modelle fand sich eine Option, die das Fernsehverhalten des TV Besitzers protokollierte, dazu mit der Serien- und Modellnummer des verwendeten Gerätes, die die erfassten Daten personenbezogen zu LG und diversen anderen Diensteanbietern übertrug. Weiterhin bedienten sich die TV Modelle noch auf Datenspeichern, die via USB an den Fernseher angeschlossen waren. Eine Liste von gespeicherten Dateien wurde samt dem Fernsehverhalten unverschlüsselt an LG übermittel. Wie LG begründete, wurden diese Daten erhoben, um Werbung und Sendeempfehlungen gezielter zu vermitteln. Im vorliegendem Fall war die Option der Nutzerbeobachtung abgeschaltet, die Smart-TVs übermittelten aber dennoch fleißig Daten.

Smart-TV

Smart-TV

Nun schauen Technikbegeisterte nicht nur auf LG sondern auch auf andere Marken wie Sony, Samsung, Phillips, Technisat und co. Alle Hersteller bauen Smart-TVs, die in Wahrheit abgespeckte Computer sind. Dazu gehören LAN Anschlüsse, USB-Ports, W-LAN. Durch gängige Hardware, die auch in PCs oder Tablets verbaut wird, sind die Fernsehgeräte recht schnell über LAN/W-LAN über den obligatorischen Router ins Heimnetz eingebunden und bieten dazu eben den Vorteil in der Werbepause schnell mal im Internet vorbeizuschauen oder auch abseits der Quoten bringenden Fernsehzeiten Filmchen aus dem Internet oder dem eigenen Heimnetz zu streamen. Das bauen die Hersteller aber nicht nur aus Nächstenliebe ein.

Über spezielle Techniken, wie beispielsweise HbbTV – Hybrid Broadcast Broadband TV – werden auch Daten wie Teletext oder ganze Mediatheken der einzelnen Fernsehsender zugänglich. Ein Teil kommt übers Internet, ein anderer, je nach Auslastung über den heimischen Fernsehempfang (DVB-S, DVB-T oder DVB-C). Hierbei werden Fernsehinhalte mit Webinhalten recht gut verknüpft. Und das weckt natürlich auch Begehrlichkeiten. Auf dem Weg des Internets steht nicht nur der Empfang bereit, sondern auch der Weg aus dem Wohnzimmer hinaus in die Untiefen des World Wide Web. Hersteller von Fernsehergeräten, sowie Fernsehsender, aber auch Werbepartner und Google profitieren davon. HbbTV ist zumeist immer aktiv, auch wenn der Hinweis zur Aktivierung schon wieder aus dem Bild verschwunden ist.

Im Hintergrund werden verschiedene Daten übertragen. Typ und Modellnummer des Fernsehers, dazu Sendeanstalt, Zeitstempel, wie lang man welche Sendungen und Sender geschaut hat, wie oft man herumgezappt hat und alles Verbunden mit einer eindeutigen Geräte- und Nutzer-ID zur Widererkennung. Diese Infos fließen beispielsweise an die Fernsehsender ab, die damit ihre Quoten bestimmen können. Ruft man über HbbTV die Internetseiten der Sender ab, so verwenden diese beispielsweise Google-Analytics um Statistiken über Besucherzahlen und dergleichen zu erheben. Diese Daten werden dann meist auf den Googleservern im Ausland gespeichert.

Leider bekommt der Nutzer von der Datensammelwut der TV-Hersteller und Fernsehsender kaum einen Mehrwert. Wenn man schon so fleißig mitprotokolliert, könnte man nach dem Fernsehverhalten Sendungen und Filme genau für den Nutzer empfehlen oder zu einer laufenden TV-Sendung sagen „Das interessiert dich doch eh nicht“

Fazit

In Zeiten von Geheimdienstspähaffären, Staatstrojanern und Vorratsdatenspeicherung ist es doch gut zu wissen, was alles möglich ist, um Daten zu sammeln. Vielleicht überlegt man sich dann doch, wie man es Geheimdiensten und Werbetreibenden doch etwas schwerer machen kann, um an die begehrten Nutzerdaten heranzukommen. In Deutschland ist, das wurde nach bekanntwerden der NSA Spähaffäre, von unseren Spitzenpolitikern konstatiert jeder Einzelne für seinen Datenschutz selbst verantwortlich. Betrachtet man es aber aus sicht unserer Politiker, so besteht seitens der Regierung kein Interesse, die Bürger vor unbefugtem Zugriff durch Geheimdienste zu schützen, auch dann nicht, wenn das Recht auf ein Fernmeldegeheimnis immer noch im Grundgesetz unseres Staates verankert ist. Normalerweise sollte der Staat, mit diesem verbrieften Recht für die Bürger, dafür Sorge tragen, daß zumindestens keine ausländischen Geheimdienste unsere Post öffnen. Davor kann sich ein Bürger kaum bis gar nicht selbst schützen. Schaut man sich die ganze Sache von der Seite des doofen Wahl- und Wutbürgers an, so werden gleich mehrere durch das Grundgesetz verbriefte Grundrechte damit aufgeweicht und ausgehebelt.

Spuren im Sande des Internets – Teil 1

Schaut man sich das Internet an, so scheint es, als währe es in den letzten Jahren zum Selbstbedienungsladen beim Abgriff von Nutzerdaten geworden zu sein. Egal mit welchem Gerät – Smartphone, Tablet, PC oder sogar den Smart-TV – man sich im Internet anmeldet und wohin die Reise im Weltweiten Netz einen verschlägt. Die Wirtschaft hat Interesse an Werbeiennahmen und Verkäufen von Autos bis Viagra und Geheimdienste meinen uns vor Terrorkanidaten zu schützen, wenn sie alles, auch vom Otto Normal Bürger, mitprotokolliert. Aber was wird denn nun eigentlich so heimlich und unbewußt übertragen? Dieser und der nächste Artikel geben einen kleinen Überblick.

Jeder Internetnutzer, der sich beruflich oder geschäftlich ins Internet einloggt, verschiedene Webseiten ansurft und diverse Dienste im Netz nutzt, hinterläßt Spuren, die so einige für legale oder illegale Zwecke genutzt werden können.

Smartphones und Tablets

ipad-mini

ipad-mini

Das sind Geräte, die recht viel über den Nutzer wissen. Durch GPS wissen diese, wo man sich gerade aufhält. Auf Smartphones gespeicherte Kontaktlisten samt Postanschrift, Mailadresse und Telefonnummern geben viel über Freunde, Familie und Arbeitskollegen preis, sofern diese denn dort gespeichert sind. sdazu noch eine günstige Datenflat, über die man sich übers Mobilfunknetz recht einfach ins Internet einwählen kann. Und daran bedienen sich viele Apps gern. Das meiste geschieht im Hintergrund und ist meist in verschiedenen Komfortfunktionen versteckt. Da wird das Adressbuch von Apps, die für Google+, Twitter, Facebook und co bestimmt sind, durchstöbert und zur Auswertung an die Server übertragen, um schneller Bekannte in den sozialen Netzwerken zu finden. Die Suche könnte ja auch lokal auf dem Smartphone passieren, aber es sind die Daten, die Begehrlichkeiten wecken. Kostenlose Apps, meist werbefinanziert, tracken User gern schonmal auf Schritt und Tritt, zum Teil bewußt, um auf Shoppingmöglichkeiten mit guten Angeboten in der Nähe honzuweisen, aber auch im Hintergrund und unbewusst, um das Surfverhalten zu protokollieren. Durch Daten wie Gerätekennung und Telefonnummer kann man Nutzer heute schon recht eindeutig erkennen. Meist aber sind es die Komfortfunktionen, die zwar Hinweise enthalten (können) und die man, nachdem man diese schon mehrfach angezeigt bekommen hat, einfach weggeklickt werden.

PCs und Notebooks

Nutzt man einen PC zum Surfen und Mailen, greifen diverse Dienste und Webseiten Daten ab um Besucherstatistiken zu erheben. Das sollte im Impressum klar hervorgehen, was gespeichert wird. Oftmals wird hier auch Google-Analytics verwendet und die Statistiken auf ausländischen Servern gespeichert. Datenschutzrechtlich sollten anonymisierte oder verkürzte IP-Adressen gespeichert werden, aber als Otto-Normal-Nutzer Kann man nicht prüfen was genau gespeichert wird. Neben den IP Adressen, also der Kennung des Computers, werden verschiedene andere Daten noch gespeichert. Beispielsweise mit welchem Browser man die Seite besucht hat, welches Betriebssystem genutzt wird. Anhand der IP Adresse bekommt man auch eine Länderkennung oder eine grobe Einschätzung, wo genau man mit seinem Rechner sitzt. Daher sollte diese nur anonym vom Dienstebetreiber gespeichert werden.

Sind auf Webseiten Like-Buttons von Facebook, Twitter und Google Plus Buttons vorhanden, so bekommen diese Netzwerke auch Daten über die Besucherströme auf dieser Webseite. Dazu auch noch ähnliche Details wie weiter oben. Ist man zusätzlich bei den sozialen Medien angemeldet und eingeloggt, so kann ein personenbezogenes Profil zum Surf- und Kaufverhalten protokolliert werden. Websitebetreiber sollten sich daher Gedanken über sogenannte 2-Click Lösungen zu den Buttons machen. Hier wird generell nichts übertragen, außer der User möchte es so.

Onlineshops, Werbebtreibende und soziale Netzwerke speichern gern Cookies auf dem Rechner des Nutzers. Cookies sind kleine Textdateien, die eine Computerkennung enthalten und das Surf- und Kaufverhalten protokollieren. Damit kann der Nutzer gezielter mit Werbung zugepflastert werden, so nach dem Motto „Sie und drei andere interessierte doch das hier und nicht das was Sie gerade ansehen“. Man kann aber seinen Lieblingsbrowser anweisen, bei jedem Schließen des Browsers die Cookies zu löschen.

Jaja, die gute alte E-Mail. Das ist nur eiune Postkarte, die jeder vertrauens(un)würdige Postbote mitlesen kann. Und die Postboten sind die Server, über die diese Mail zum Empfänger kommt. Auch wenn man die Mail verschlüsselt, so werden nur Textkörper und Anhänge verschlüsselt. Absendeadresse und Empfänger, also das was die Post benötigt, um zu wissen wohin die Mail geliefert werden soll, bleibt natürlich unverschlüsselt. Und das interessiert natürlich auch die Geheimdienste.

[Update 7. März 20 Uhr] Um Mailadressen zu verifzieren, werden oftmals Mails verchickt, die von externen Servern und Diensteanbietern zusätzliche Inhalte, wie Bilder nachladen. Das trifft gerade bei Werbung und Spam zu. Man will damit herausfinden, ob die versendeten Mails tatsächlich gelesen werden oder ob die ohne Umwege (oder mit dem Umweg über den Spamordner) gelesen werden. Bei Post von Spamversendern und Botnetzen weren oftmals fürs Auge unsichtbare Zählpixel in die Mail eingebettet. Hier hat es den Sinn und Zweck zu testen, ob eine Adresse noch benutzt wird, oder ob diese Still gelegt wird.

Fazit

Egal wo man sich im Internet bewegt, es wird protokolliert, getrackt und übertragen, was das Zeug hält. Unternehmen möchten immer mehr Daten zum Surf und Kaufverhalten und Geheimdienste wollen wissen, zu welcher Zeit ich mit wem und wie lang Kontakt hatte. Alles beides bringt aber wenig Nutzen für den Otto Normal Bürger, der im Grunde nichts außer teilweise lästiger Werbung von der Datensammelei hat, oder Besuch von der Polizei bekommt, weil er Online ein Faß Dünger (und weil es das gleich im Angebot gab noch das Computerspiel Battlefield 4 dazu) für seinen Garten bestellt hat.

Sicherheitsnotiz – Telekom und der verschlüsselte Mailtransport

Nach United Internet (GMX und Web.de) zieht die Telekom mit der Verschlüsselung der Transportwege für Mails nach. Nun sollen die Mails auf dem Transport vom Kunden zum Telekom eigenen Mailserver und zwischen den Mailservern der Telekom und anderen Mail-Providern künftig per SSL verschlüsselt werden. Bis zum 31. März will die Telekom ihre Mailserver entsprechend umgestellt haben.

Nutzer, die ihre Mails über das Webfrontend der Telekom verschicken und empfangen, werden den Wechsel nicht zu spüren bekommen. All Jene, die einen Mailclient (beispielsweise MS Outlook oder Thunderbird) nutzen, müssen ihr Programm mit wenigen Schritten auf das neue Verfahren einrichten. Wie das geht, beschreibt die Telekom auf dem unten genannten Link. Ein tutorial für sämtliche Mailclients zu erstellen, würde hier den Rahmen sprengen. Die Telekom hat diese Arbeit schon recht gut und bebildert erledigt.

Aber Achtung: Die Verschlüsselung der Transportwegen zwischen den Mailserver und dem Kunden ist keine End-to-End Verschlüsselung. Die Mails liegen noch unverschlüsselt im Klartext auf den jeweiligen Mailservern. Die Verschlüsselung der Transportwege bringt nur den Vorteil, daß die Nachrichten auf dem Weg von einem zum anderen Empfänger nicht abgefangen und verändert werden können. Bricht jemand direkt auf Mailserver mit unverschlüsselten Mails ein, so kann er auf diesem Weg an den begerten Inhalt kommen.

Bei vielen anderen Mail-Providern ist eine Verschlüsselung der Transportwege via SSL Standard. Telekom und United Internet betreiben die Kampange Mail made in Germany seit bekannt werden der Lauschangriffe der NSA. Mit dieser Methode möchte man unerfahrene Nutzer in relativer (Un)Sicherheit wiegen.

Wer seine Mails wirklich komplett verschlüsseln will, sollte daher auf einen Mailclient setzen und auf seinem Rechner mit Verschlüsselungsprogrammen wie Pretty Good Privacy bestücken, die jeweils einen privaten und einen öffentlichen Schlüssel erzeugen. Wie das genaue Verfahren dazu abläuft, habe ich bereits im Artikel Privates verschlüsselt – Sicher Chatten mit Pidgin angerissen.

Wie man genau seine Mails sichert, beschreibt der Heise Zeitschriftenverlag in einem Sonderheft der c’t.

Links:

  1. Telekom SSL Verschlüssleung für den Mailclient
  2. c’t wissen Sichere E-Mail

Ähnliche Artikel zum Thema

Sicherheitsnotiz – Windows Xp und die Virenwächter

Am 8. April ist es vorbei. Microsoft liefert nach diesem Stichtag keine Updates für Windows XP mehr aus. Einige der bereits bestehenden Sicherheitslücken könnten von diversen Hackern nicht mehr gemeldet werden, damit diese bis zum 8. April nicht geschlossen werden. Allerdings haben die großen und namhaften Hersteller für Virenwächter und Securityprogramme bereits angekündigt, für mindestens ein weiteres Jahr Virensignaturen nachzuliefern. Auch Microsoft möchte seinen Virenwächter für XP für noch ein Jahr frische Virensignaturen spendieren.

Diese Nachricht dürfte Administratoren freuen, die jetzt bald auf ein aktuelleres Betriebssystem umstellen müssen. So wird die Gnadenfrist für bestehende Installationen mit XP ein bisschen verlängert und der Druck, sofort umstellen zu müssen, entfällt ersteinmal… oder verschiebt sich um ein weiteres Jahr.

Allerdings hat diese Gnadenfrist aber auch einen Haken. Bei den versprochenen Updates für die Virenwächter und Sicherheitsprogrammen handelt es sich hauptsächlich um Virensignaturen. Aufgedeckte Sicherheitslücken im Betriebssystem werden von Microsoft nicht mehr geflickt. Das eröffnet natürlich immer mehr und größere Einfallstore für Angriffe und neue Schadsoftware auf das Betriebssystem. Aktuelle Virenwächter können ohne die Hilfe von Microsoft diese Schwachstellen nicht mehr effizient schützen.

Auch haben es Hersteller von Securityprogrammen schwer, Updates für ihre eigenen Produkte auf Windows XP anzupassen, da Microsoft auch die Zusammenarbeit hinsichtlich dieses Betriebssystems mit diesen Produzenten einstellt.

Von daher ist es angebracht, so schnell wie möglich auf ein neues Betriebssystem (Windows 7; 8 oder Linux) umzusteigen. Windows XP weckt durch seine große Beliebtheit und die damit verbundene Faulheit beim Upgrade auf ein aktuelles System natürlich die Begehrlichkeiten von Kriminellen. Von daher sollte es nicht mehr als Produktivsystem an Rechnern mit Internetanschluss betrieben werden. Für die meisten Softwareperlen gibt es unter Windows 7 den WinXP Modus oder eben andere Alternativen, die unter aktuellen Systemen laufen.

Wer partout nicht umsteigen will, oder XP noch benötigt, dem sei empfohlen, dieses in einer Virtuellen Maschine, die speziell abgesichert ist, laufen zu lassen, oder an einem älteren Rechner, der nicht mit dem Internet verbunden ist. Microsoft bietet solchen Nutzern weiterhin eine kostelose Online Aktivierung über die offiziellen Microsoft Server an.

Links

  • Windows XP scheidet dahin – Die Medienspürnase im Januar 2013
  • Windows 8 steht in den Startlöchern – Die Medienspürnase im Oktober 2013

Von Abmahnwellen und Spamtsunamis

Seit Wochen mahnt die Regensburger Anwaltskanzelei Urmann + Collegen (U+C) massenhaft Nutzer der Streamingseite Redtube ab. Neben saftigen Gebühren, bekommen die Nutzer noch Unterlassungserklärungen zum Unterschreiben zugeschickt.

In der Region Vogtland haben sich in der letzten Zeit über 50 betroffene Besucher der oben genannten Pornoseite bei der Verbraucherzentrale gemeldet um sich beraten zu lassen. Die Dunkelziffer dürfte aber noch etwas höher liegen, denn aus Scham oder Unsicherheit melden sich viele Leute nicht erst und unterschreiben die zugesandten Unterlagen. Laut Angaben der hießigen Verbraucherzentrale sollte man die geforderten Geldbeträge nicht gleich und die Unterlassungserklärung nicht unterschreiben. Weiterhin gilt der Rat vorher erst eine rechtliche Beratung in Anspruch zu nehmen. Rechtliche und anwaltliche Beratungen bieten beispielsweise die Verbraucherzentralen vor Ort. Auf keinen Fall sollten die Abmahngebühren ungeprüft überwiesen werden und die Unterlassungserklärung ohne rechtlichen Rat unterzeichnet werden.

Was ist mit Abmahn-Mails?

Die Abmahnwelle der Regensburger Kanzlei U+C ruft natürlich auch Trittbrettfahrer auf den Plan. In E-Mails drohen sie beliebigen Leuten und mahnen diese im Namen der oben genannten Kanzlei oder anderen Anwälten ab. Den Mails liegt ein Anhang bei, der Rechner mit Trojanern und Maleware infiziert. So können Daten ausgelesen und mißbraucht werden, aber auch Dateien auf dem Rechner zerstört werden, oder der Computer selbst durch Hintertüren gekapert werden. Die Mails können getrost gelöscht werden. Laut der Verbraucherzentrale haben E-Mails keine rechtliche Handhabe vor Gericht, sind also dort bedeutungslos.

Fazit

Was Urmann + Collegen mit Redtube getan haben, war augenscheinlich nur die Spitze des Eisberges. Wegen Streaming abzumahnen steht auch rechtlich gesehen auf wackeligem Fuß. Wer weiß wie lang diese Kanzlei damit durchkommen wird, oder wie die Gerichte in solchen Fällen künftig entscheiden.

Begriffserklärung

Streaming: Diesen Begriff kann man am besten mit einer Sendung oder einem Film im Fernsehen vergleichen. Ein Anbieter von Content (neudeutsch für Inhalt) sendet von irgend einem Punkt der Welt aus einen Film. Dieser wird dann zuhause empfangen und kann direkt während der Sendung angesehen werden. Das geschieht beispielsweise über Satelitt, Kabel oder eben das Internet.

Nur kann man im Internet recht genau bestimmen, wer auf die Inhalte eines Anbieters zugreift, denn jedem DSL-Anschluss wird eine IP-Adresse zugeordnet. Wird diese mit einem Zeitstempel (beispielsweise Zeitpunkt des Zugriffs auf einen Film) versehen, kann man über eine Provideranfrage, die richterlich genehmigt werden muss, den Anschlussbesitzer herausfinden.

Beim Streaming empfängt man nur Daten in Form von Filmen und Musik, man könnte sie wie beim Fernsehen auf dem Computer speichern (neudeutsch für aufnehmen). Streaming bedeutet also gleichzeitiges Senden und Ansehen eines Filmes.

Da liegt der Unterschied zu Peer-to-Peer Tauschbörsen dem Filesharing. Hier lädt man sich Daten aller Art (Musik, Filme, Bilder, Word-Dokumente etc. etc.) auf seinen PC. Diese Daten liegen verteilt bei mehreren anderen Computernutzern auf den Rechnern.

Lädt man sich dort beispielsweise einen Film herunter, kann man diesen nicht gleich ansehen, man muß warten bis er fertig geladen ist. Während der Film vom Internet auf den eigenen PC lädt, werden die empfangenen Bits und Bytes dieses Filmes schon wieder anderen Leuten zur Verfügung gestellt.

Kurz: Man empfängt (Download) und sendet (Upload) zugleich. Hier kommt es ganz auf den Inhalt an. Meist sind Bilder, Filme und Musik urheberrechtlich geschützt. Aber es gibt natürlich auch Musik, Bilder, Software, Filme, die einem Wust an Lizenzen unterliegen, die das freie Tauschen und Bearbeiten erlauben (in engen oder weiteren Schranken). Dazu gehören beispielsweise die Lizenzen der Creative Commons (meist für künstlerische Inhalte) oder die GNU/(L)GPL für Softwarelizenzen (beispielsweise für Linux, Openoffice oder Libreoffice).

Update am 17. Dezember

Beim klassischen Streaming von Filmen und Musik, man kennt es ja von Youtube, werden Daten vom Server auf den Computer übertragen, meist sogar etwas schneller als man sich den Film ansehen kann oder das Musikstück anhören kann. Das nennt man im Fachjargong das sogenannte Buffering (neudeutsch für Puffern oder zwischenspeichern). Das sorgt dafür, daß der Film nicht zwischendurch ruckelt und die Musik nicht aussetzt. Und das sehen die Anwälte als Verfielfältigung.

Beauftragt wurde die regensburger Anwaltskanzle Urmann + Collegen von einer schweizerischen Firma The Archive AG Unterlassungserklärungen in Deutschland zu versenden. Bisher gibt es in Deutschland noch kein Gerichtsurteil, welches das Streamen von Inhalten im Internet verbietet. Auf Europäischer Ebene gibt es eine Richtlinie mit der Nummer 2001/29/EG. Als diese Richtline 2001 beschlossen wurde, gab es das Streaming noch nicht.

Jetzt muß man auf gültige Gerichtsurteile warten, aber es gibt Gerichte, die in dieser Hinsicht ganz unterschiedlich urteilen mögen oder ihre Urteile ganz unterschiedlich begründen.

Sicherheitsnotiz – Schadplugin für WordPress

Seit kurzer Zeit geht eine Phishingwelle um, die sich besonders an WordPress-Administratoren richtet, also jene Leute, die WordPress nur technisch betreuen und jene, die es selbst betreuen und damit Bloggen. Die Phishing Mail soll dazu verleiten, eine kostenlose Pro-Version (Premium) des allseits beliebten All in One SEO Pack zu installieren.

Was ist das All in One SEO Pack? Wozu wird es gnutzt?

Das All in One SEO Pack ist ein Plugin um den Blog durch Seitenbeschreibungen, Tags und Titel (Überschrift) den Blog für Suchmaschinen freundlicher zu gestallten. Dadurch erhöht sich die Chance, bei Google und Co. in der Trefferliste weiter nach vorn zu gelangen. Hiervon gibt es eine kostenlose Version und eine, die man bezahlen muß. Die kostenpflichte Pro-Version umfasst einige Funktionen mehr als die kostenlose. Natürlich ist in der Pro-Version auch besserer Support enthalten.

Was hat es mit der Phihing-Mail nun auf sich?

Die Phishing-Mail bietet WordPress-Administratoren und Bloggern die kostenplfichtige Pro-Version von All in One SEO Pack kostenlos zum Download an. Klackert man auf den Downloadlink in der Mail, so wird man nicht auf die offizielle Plugin-Seite von WordPress geleitet,

http://wordpress.org/plugins/

sondern landet auf einer von Spammern infizierten Seite in Australien oder Brasilien mit den Domainkürzeln *.com *.au oder *.br. Ab hier sollte man bereits das Hirn einschalten und stutzig werden.

Laut der Sicherheitsfirma Sucuri haben bereits einige deren Kunden das Plugin installiert. Und hierbei wird es kriminell. Mit dem Plugin installiert man sich einen Schadcode, der eine Hintertür im Server öffnet und die index.php der betreffenden WordPress-Blogs austauscht. Ab diesem Zeitpunkt ist es möglich, daß Ganoven beliebigen Code in den Blog ihres Opfers einschleusen können, mit dem man die Rechner der Besucher der infizierten Blogseite angreifen kann. Manche Versionen des Schadcodes leiten die Besucher beispielsweise auf Pornoseiten oder andere Server weiter, die weitere Maleware verbreiten.

Fazit

WordPress ist eine beliebte Blogsoftware und daher weit verbreitet. Durch die hohe Verbreitung von WordPress ist es auch ein beliebtes Angriffsziel um Schadcode zu verbreiten oder Spam zu verschicken. Als Blogger der WordPress verwendet oder Administrator für die technische Betreuung für WordPress sollte man dieses natürlich von Anfang an gut absichern. Hierzu findet man im Netz seitenweise Tutorials und How to’s. Auch sollte man Plugins von der offiziellen WordPress-Seite nutzen und nicht irgendwelche dubiosen Angebote aus irgendwelchen Quellen, die mal irgendwer (unbekanntes) per Mail verschickt. Klar können sich auf der Plugin-Seite von WordPress auch dubiose Angebote finden, die Wahrscheinlichkeit ist hier geringer, denn die Community darf hier Bewertungen abgeben und die Zuätzlichen Funktionen auseinandernehmen und überprüfen.

Links

http://wordpress.org/plugins/ Offizielle Seite für WordPress Plugins

Sicherheitsnotiz – Warnung vor einem spontan angebotenem Firefoxupdate

Wie bereits vor einigen Wochen bei dem Javaupdate berichtet, öffnet sich spontan und ungewollt jetzt öfters eine Seite mit einer Warnung, daß eine veraltete Version von Firefox benutzt wird. Dabei wird angezeigt, welche Firefoxversion derzeit verwendet wird (aktuell Firefox 25). Es wird empfohlen den Firefox zu aktualisieren. Es hat alles den Anschein, daß diese fragwürdigen Updates wieder über Banner oder Bannerwerbung verbreitet werden, um ungewollte Toolbars auf den Rechner von Anwendern zu bringen, oder eben Schadsoftware. In der Adressleiste erscheint folgende Seite:

http://www.update-browser.org/Firefox-DE/

Es öffnet sich folgende Website, in der ein Frame mit der Aufforderung zum Aktualisieren des Firefox. Mit einem Klick auf OK muß man das bestätigen. Dann befindet sich eine Art Allgemeine Geschäftsbedingung (AGB) die man aktzeptieren muß. Das Ganze sieht aus wie auf folgendem Bild.

Aufforderung zur Browseraktualisierung

Aufforderung zur Browseraktualisierung

Die Allgemeinen Geschäftrsbedingungen oder in dem Fall die Nutzungsbedingungen enthalten folgenden Wortlaut:

Nutzungsbedingungen

Danke, dass Sie sich entscheiden haben eine kostenlose Software von unseren Servern herunterzuladen. Diese Website wurde entworfen, um einfachen Zugriff auf Downloads zur Verfügung stellen aus einer Vielzahl von nützlicher, kostenloser Open-Source-Software. Wir sind auch Partner mit 3. Parteien, um Symbolleisten und andere Werkzeuge (“Symbolleisten”) zum Download an unsere Nutzer zu bieten. Wir werden die Symbolleisten und andere damit zusammenhängende Dienstleistungen, die wir anbieten als “Dienste”bezeichnen. Wir sind uns bewusst, dass Sie Ihr Vertrauen in uns setzen und unserer Verantwortung zum Schutz Ihrer Privatsphäre. Als Teil dieser Verantwortung bieten wir diese Datenschutzerklärung (“Datenschutzerklärung”) um Sie wissen zu lassen, welche Informationen wir sammeln, wie wir sie verwenden, teilen und schützen.

Ihr Download ist eine Open Source Software unter der GNU General Public License (GPL) lizenziert; unten verfügbar.

Dieses Programm ist kostenlose Software: Sie können sie weitergeben und / oder modifizieren unter den Bedingungen der GNU General Public License, wie von der Free Software Foundation veröffentlicht, entweder Version 3 der Lizenz oder (nach Ihrer Option) jeder späteren Version.

Dieses Programm wird verbreitet in der Hoffnung, dass es nützlich sein wird, aber OHNE IRGENDEINE GARANTIE, sogar ohne die gesetzliche Gewährleistung der GEBRAUCHSTAUGLICHKEIT oder EIGNUNG FÜR EINEN BESTIMMTEN ZWECK. Lesen Sie die GNU General Public License für weitere Details.

Laut dem Quellcode wird beim Öffnen der Seite via einem Javascript der verwendete Browser abgefragt und durch das Setzen von bestimmten Variablen in diesem wird dem User vorgegaukelt, man würde eine veraltete Version des verwendeten Browsers verwenden. Aktzeptiert man die Nutzungsbedingungen bekommt man eine Datei namens Updater.exe für den Windows PC. Es ist anzunehmen, daß tatsächlich Toolbars installiert werden, aber es kann durchaus sein, daß auch Schadsoftware auf den Rechner kommt. Ob ein Browser aktuell ist, oder nicht, sagt der Browser selbst. Man muß ihn höflich fragen.

Die aktuelle Version ihres Browsers finden sie beim Firefox in der Hilfe und dem dortigen Eintrag Über Firefox. Beim Internetexplorer befindet sich der entsprechende Befehl Info in der Menüleiste unter dem ? (Fragezeichen). Bei Opera befindet sich ein Versionschat in der Hilfe unter Über Opera. Für Chrome befindet sich ein Schraubenschlüsselsymbol rechts neben der Adressleiste. Beim Safari befindet sich neben der Adresszeile ein Zahnrad, auf das klickt man einmal. Ganz unten erscheint ein Eintrag Über Safari.

Safari wird aber leider nicht mehr weiterentwickelt, alle Anderen Browser zeigen Ihnen dort an, ob ein Update fällig ist oder ob die Version gerade aktuell ist. Für Updates des Browsers sollte man sich stets auf die Website des Herstellers begeben und den Browser der Wahl dort laden, oftmals gibt es auch Updatebefehle (bei Firefox ist das so) direkt auf dem Versions-Check des Browsers, der ein Update von dort aus durchführt. Microsoft bringt Updates für den Internet Explorer generell über die Updatefunktion von Windows mit.

Andere Websites bieten beispielsweise den Firefox oder auch den Chrome Browser an. Aber meist sind die dann mit Plugins oder AddOns und lästiger Werbung vollgestopft. Von daher sollte man immer auf die Versionen der Hersteller zurückgreifen und sich dann nach den eigenen Wünschen einstellen.

Sicherheitsnotiz – Erpressung durch knallharte Verschlüsselung

Cryptolocker hat es in sich. Die Entwickler dieses Trojaners nutzen knallharte Verschlüsselung mit einem 2048bittigem RSA-Schlüssel. Nach der Infektion des PCs läßt sich der Schädlinng von seinem Command-and-Control Server ein RSA-Schlüsselpaar generieren, von dem er sich nur den öffentlichen Schlüssel zuschicken läßt. Mit diesem Schlüssel wird alles, was der Trojaner auf dem PC an Daten findet verschlüsseln. Auch Netzwerkfreigaben sind scheinbar betroffen. Nun wird der Computernutzer erpresst. Für den privaten Schlüssel zur Entschlüsselung der privaten Daten sollen schlappe 300 Dollar berappt werden, zahlbar beispielsweise in Bitcoins und natürlich auch über andere Wege. Zusätzlich wird dem panischen Nutzer noch ein Countdown angezeigt, bei dessen Ablauf der private Key gelöscht wird… als Druckmittel sozusagen. Opfer, die diesen Trojaner bereits entfernt haben, bieten die Entwickler an, den privaten Key über das TOR-Netzwerk zu erwerben. Berichten zu folge werden dort 10 Bitcoins fällig, was beim jetzigen Wechselkurs mehr als 2000 Euro sind. Weiteren berichten zu Folge werden bei beiten Methoden die Daten nicht mehr freigegeben. Deswegen wird abgeraten das Lösegeld für die Daten zu zahlen. Regelmäßige Backups sind daher Pflicht, weil die VBerschlüsselung auf anderem Weg noch nicht umgangen werden kann.

Sicherheitsnotiz – Gefährliches Java-Update

Seit einigen Tagen kursiert eine neue Masche, um den Computer mit Maleware (Schädlingen) zu infizieren. Das geschieht über Bannerwerbung. Geratet ihr auf eine Website, werdet ihr sofort, oder nach kurzer Zeit, auch ohne eigenes Zutun auf eine Seite weitergeleitet, die euch auffordert, ein Java Update mit der Version 7 Update 25 (7u25) herunterzuladen und zu installieren. Aktuell wird Java 7 Update 45 (7u45) ausgeliefert, also Augen auf. Es ist eine Weiterleitung von der eigentlich angesurften Seite und kein Pop-Up, auf eine der beiden folgenden Adressen, die ihr natürlich in der Adresszeile eures Browsers ablesen könnt.

http://freejave-web.com/index.php?dv1=Ybrant%20Digital
http://germangetjava.com/index.php?dv1=Ybrant%20Digital

Eine Whoisabfrage hat zu einer Firma mit dem Namen WHOISGUARD INC. in Panama geführt. Betroffen ist Windows ab XP (ich habe von Win XP 32-Bit gelesen) bis hin zu Windows 7 mit dem Browser Firefox, aktuell Versionen 24 und 25 mit aktiviertem Javascript und installiertem Java auf dem Rechner. Vorbeugen kann man augenscheinlich, wenn man Scripte und Javascript deaktiviert oder für den Firefox das Plugin NoScript installiert. Diese Aufforderung zum Java-Update tritt auf verschiedenen Seiten auf, die Bannerwerbung nutzen. Also scheint man damit die Betreiber von Bannerwerbung aufs Kreuz gelegt zu haben, um seine Schädlinge zu verbreiten.

Sicherheitsnotiz – Neue Masche bei Spamversendern

Spamschleudern gibt es heutzutage en masse. Jeder kennt das leidige Problem, daß der Spamordner und auch öfters einmal der normale Posteingang vor lauter Spam-Mails aus allen Nähten quillt. Dennoch ist der Spamschutz heutzutage recht ausgefeilt. Es gibt globale Spamlisten, die jeder Mailbetreiber nutzen kann und jeder Mailprovider wird auch seine eigenen Spamschutzlisten pflegen.

Trotz der ausgefeilten Methoden, lassen sich Spamversender immer neue Ideen einfallen, Mailadressen voll zu spammen. Eine ganz neue Methode ist folgende: Man schickt eine Werbung für irgendein Potenz- oder Hirnmassensteigerndes Produkt, oder auch nur zu einem schnöden Kredit.

Einige Minuten später verschaffen sich die Spammer mit einer zweiten Mail noch einmal nachdrücklich Gehör. In dieser Mail ist die Betreffzeile der vorangegangenen Werbemail vermerkt. Nun wird im Betreff (eventuell auch zusätzlich) im Textkörper darauf hingewiesen, daß man seinen Spamordner einmal prüfen solle und gegebenenfals die Einstellungen des Spamfilters ändern soll. Beispiele dafür können sein: „Falsche Einstellung Ihres Spam Filters“, „Alles angekommen?“ oder auch „Sorry – unser Fehler“

WordPress 3.7 und das automatische Update

Seit heute ist das neue WordPress mit der Versionsnummer 3.7 verfügbar. Die größte Neuerung ist das automatische Update. Mindestens seit Version 3.0 hat WordPress eine Funktion um ein automatisches Update anzustoßen, wenn denn eine neue WordPressversion verfügbar ist. Nach der offiziellen Ankündigung werden Punkt-Releases (beispielsweise von Version 3.7 auf Version 3.7.1) automatisch abgefragt und installiert. Bei Core-Releases von 3.7 auf 3.8 ist immer noch Handarbeit notwendig.

Bei sogennten Punkt-Releases oder Minor-Releases entsteht somit ein Updatezwang auf die neuere ud somit aktuellere Version, den der User nur mit Frickelarbeit am Quellcode von WordPress beheben kann. Automatische Sicherheitsupdates sind schon vorteilhaft, gehen aber manchmal – gerade bei auftretenden Fehlern (nicht jedes System ist gleich) – zu Lasten des Produktivsystems. Und die meisten Blogs werden doch gleich als Produktivsystem genutzt. Es sollte deswegen vorher beim Betreiber abgefragt werden, ob ein automatisches Update durchgeführt werden sollte um Fehler zu minimieren. Auch Plugins müssen eventuell an neuere Versionen von WordPress erst angepasst werden um auch mit neueren Versionen von WordPress optimal zu laufen.

Jedenfalls bekommt WordPress von mir eine heftige Rüge, weil man in der offiziellen Anwendung nicht erwähnt, wie man diesen Updater abschalten kann. Sicher ein automatisches Update von WordPress ist schon an einigen Stellen recht sinnvoll, da man wichtige Sicherheitsupdates nicht vergisst und einige unerfahrenere Blogger somit an die Hand genommen werden und Gefrickel beim Update zu vermeiden. Aber das ganze geht zu Lasten des Produktivsystems, da sich mit der Automatik Fehler einschleichen können.

Update 27. Oktober 2013 Die Community hat sich etwas einfallen lassen. Ein Plugin, welches das die Zwangsupdatefunktion deaktiviert gibt es mittlerweile auch schon. Das Plugin wurde unter dem grandiosen Namen Disable Automatic Updates auf der offiziellen WordPresseite für Plugins veröffentlicht. Diese neue Funktion richtet sich gerade an technisch weniger versierte Nutzer, die keine Zeit, Lust oder Erfahrung in Scriptsprachen haben und in WordPress selbst keine Änderungen vornehmen wollen. Der Link dazu folgt in der Linkliste wie üblich am Ende des Artikels. Update vom 27. Oktober 2013 Ende

Eine der folgende Codezeilen kann man in die wp-config.php einfügen, um das automatische Update zu deinstallieren. Die kurzen Erklärungen sind grau hinterlegt und auskommentiert. Wichtig sind prinzipiell nur die farbigen Zeilen.

/* Automatische Updates vollständig aktivieren. 
(Achtung! Auch für Versionssprünge - Lieber selber durchführen!) */
define( 'WP_AUTO_UPDATE_CORE', true );
// Automatische Updates deaktivieren.
define( 'WP_AUTO_UPDATE_CORE', false );
/* Automatische Updates für kleinere Sachen aktivieren. 
Security Updates etc.*/
define( 'WP_AUTO_UPDATE_CORE', 'minor' );

In einer offiziellen Stellungnahme wird folgendes Vorgeschlagen, man beachte aber, daß hiermit vermutlich der gesamte Updater abgeschalten wird und somit auch nicht nach geupdateten Plugins und Themes gesucht wird.

define( 'AUTOMATIC_UPDATER_DISABLED', true );

Um die Verwirrung noch größer zu machen, kann man mit Hilfe der beiden Filter auch den Updater einiges verbieten oder erlauben.

automatic_updater_disabled
auto_update_coreD

Für Bastler gibt es dazu noch einige Optionen in der Datei functions.php zum Ändern, fals ihnen die obigen Möglichkeiten nicht ausreichen:

//Allow auto updates of development releases ie alpha, beta and RC
add_filter( 'allow_dev_auto_core_updates', 'wp_control_dev_auto_updates' );
function wp_control_dev_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}
 
//Allow auto updates of minor releases ie 3.7.1, 3.7.2
add_filter( 'allow_minor_auto_core_updates', 'wp_control_minor_auto_updates' );
function wp_control_minor_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}
 
//Allow auto updates of major releases ie 3.7, 3.8, 3.9
add_filter( 'allow_major_auto_core_updates', 'wp_control_major_auto_updates' );
function wp_control_major_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}
 
// Allow auto theme updates
add_filter( 'auto_update_theme', 'wp_control_theme_auto_updates' );
function function wp_control_theme_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}
 
// Allow auto plugin updates
add_filter( 'auto_update_plugin', 'wp_control_plugin_auto_updates' );
function function wp_control_plugin_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}
 
// Allow auto language updates
add_filter( 'auto_update_translation', 'wp_control_translation_auto_updates' );
function function wp_control_translation_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}

Eine weitere wichtige Neuerung ist die Vorschlagfunktion für stärkere Passworter. Denn diese sind immer noch wichtigste Schutz und sollten auch öfters einmal getauscht werden. Es ist schon kurios, daß man das vielen Internetnutzern immer wieder unter die Nase binden muß.

Weiterhin bringt WordPress 3.7 einen Assistenten für die automatische Installation der richtigen Sprachdatei mit. Es gibt Menschen, die das System lieber in ihrer Muttersprache als im englischen Original nutzen wollen.

Links:

  1. WordPress Offizielle Ankündigung WP 3.7
  2. WordPress Automatischer Updater
  3. WordPress Plugin: Disable Automatic Updates
Zurück zum Seitenanfang