Segfault.fm

Beschreibung: Summary durch AI generiert: In dieser Episode von Sackford FM wird die Entdeckung einer potenziell schwerwiegenden Backdoor in der XZ-Kompressionssoftware diskutiert. Der Microsoft-Ingenieur Andres Freund identifizierte die Backdoor durch ungewöhnliche CPU-Auslastung von OpenSSH. Es wird betont, dass solche Sicherheitsprobleme in der Open-Source-Welt schnell angegangen werden müssen, um Katastrophen zu verhindern. Technische Details der Backdoor, wie ihre Aktivierung und Tarnung als Unit-Tests, werden ausführlich behandelt. Die Diskussion endet mit Überlegungen zu potenziellen Lösungsansätzen in der Open-Source-Community, um von einzelnen Maintainern abhängige Sicherheitsrisiken zu minimieren. Shownotes: Andres Freund initial e-mailTimeline of the xz open source attackThe xz attack shell script ArchLinux: The xz package has been backdooredSome thoughs from Brian Krebs on xzxz/liblzma: Bash-stage Obfuscation Explainedxz outbreak (jpg)xz utils backdoorFAQ on the xz-utils backdoor (CVE-2024-3094)Small Interview of Andres FreundxzbotReflections on distrusting xzXZ Utils Backdoor - critical SSH vulnerability (CVE-2024-3094)The Mystery of ‘Jia Tan,’ the XZ Backdoor Mastermind

Beschreibung: Summary durch AI generiert: In der 40. Folge von Segfault FM diskutieren wir Sicherheitsprobleme von Druckern, potenzielle Sicherheitslücken und den Angriff auf Microsoft. Wir sprechen auch über Ransomware, die Verwendung von Google, Slack und Zoom in deutschen Unternehmen sowie Erfahrungen auf dem 37c3. Abschließend verabschieden wir uns und freuen uns auf ein Wiedersehen im Februar. Viel Spaß beim Hören! Shownotes: Daniel Stenberg’s Blog - The I in LLM Stands for IntelligenceHackerOne Report 2298307Usenix Security Symposium - PrivateDrop: Practical Privacy-Preserving Authentication for Apple AirDropHeise Online - Warum ein Sicherheitsforscher im Fall Modern Solution verurteilt wurdeAction Intelligence - HP Bug Bounty Program Finds Reprogrammable Chips Open Printers to MalwareBleepingComputer - Kasseika Ransomware Uses Antivirus Driver to Kill Other AntivirusesCyberNews - Bring Your Own Vulnerable Driver AttackArs Technica - HP CEO: Blocking Third-Party Ink from Printers Fights VirusesHeise Online - Verwirrend: Internet-Domain fritz.box zeigt NFT-Galerie statt Router-VerwaltungLinkedIn - Microsoft’s Dangerous Addiction To Security RevenueHeise Online - HP: Verchipte Druckerpatronen sind SicherheitsrisikoTim’s Blog - SSH Over Unix SocketWhiteRabbitNeo/WhiteRabbitNeo-33B-v137c3 Unlocked

Beschreibung: Diesen Monat aus Gründen der Qualitätssicherung ohne AI Summary. Es gibt Updates zu VPN-Sperren, dem Okta Incident, Signal, Tetra und dem Hackerparagraphen. Weiterhin diskutieren wir Schwachstellen bei Fingerabdruckscannern und Windows Hello, Intel Prozessoren, das polnische Dieselgate on Trains und LogoFail. Viel Spaß beim Hören! Shownotes: Russland sperrt 167 VPN- und über 200 E-Mail-DiensteNo, Okta, senior management, not an errant employee, caused you to get hackedReptarPodcast Stay Forever: Der Pentium ProzessorEtsi will Tetra-Verschlüsselung offenlegenMicrosoft’s Windows Hello fingerprint authentication has been bypassedTrusted by Millions, Yet So Wrong - Password Strength Toolshttps://community.signalusers.org/t/public-username-testing-staging-environment/56866Sicherheitsforschung: Justizminister will Hackerparagrafen novellieren​Dieselgate, but for trains – some heavyweight hardware hackingLogoFail37c3 Unlocked

Beschreibung: Neu! Summary durch AI generiert: In dieser Episode diskutieren wir verschiedene Themen. Wir sprechen über die Web-Integrität von Google und die Möglichkeit, dass ähnliche Mechanismen auch auf andere Webseiten angewendet werden könnten. Wir diskutieren die Sicherheitsstrategie der US-Regierung nach dem Angriff auf die Azure Cloud und die Vor- und Nachteile der Nutzung von Cloud-Services. Des Weiteren sprechen wir über Common Vulnerabilities and Exposures (CVEs) und die Probleme bei der Sicherheitsbewertung von Schwachstellen. Wir diskutieren den YouTuber Leeroy und den Angriff auf den Jabber.ru-Server. Anschließend tauschen wir unsere Gedanken über Hacking-Operationen von Geheimdiensten aus und diskutieren moderne Side-Channel-Angriffe auf CPUs und Hardware. In einer weiteren Diskussion geht es um ein kontroverses Video, das von verschiedenen Plattformen gelöscht wurde, und um einen Vorfall bei Okta, einem Unternehmen für Identitätsmanagement. Zum Abschluss diskutieren wir einen Vorfall mit Voltage-Fault-Injection auf AMD-Prozessoren in Tesla-Fahrzeugen. Viel Spaß beim Zuhören! Shownotes: Spiegel Online uses a 2000 years old cipher for their pay wall - Robert Penz BlogHackers Stole Access Tokens from Oktas Support Unit; Krebs on SecurityCloudflare mitigated yet another Okta compromise - Hacker NewsOkta incident and 1Password - 1PasswordNitterReflections on Trusting TrustMicrosoft finally explains cause of Azure breach - Ars TechnicaiLeakageDan Goodin: Google has removed a video posted by academic researchers - Infosec ExchangeEncrypted traffic interception on Hetzner and Linode targeting the largest Russian XMPP (Jabber) messaging serviceBlack Hat USA 2023: Jailbreaking an Tesla in 2023Web Environment Integrity ExplainerEnabling ACME CAA Account and Method BindingRFC 8657 Certification Authority Authorization (CAA) Record Extensions for Account URI and Automatic Certificate Management Environment (ACME) Method Binding

Beschreibung: Die Juni-Episode! Diesmal mit wenigen Themen, die dafür aber sehr problematisch sind: AMD kaputt, Microsoft kaputt, Cloud's single point of failure, also schon immer kaputt. Immerhin berichtet Florian von der erfolgreichen PETs Konferenz. Viel Spaß beim Zuhören! Shownotes: Tavis Ormandy: ZenbleedHow Cloudflare is staying ahead of the AMD vulnerability known as ZenbleedPETS 2023A Worldwide View of Nation-state Internet CensorshipThe Use of Push Notification in Censorship CircumventionEverybody’s Looking for SSOmething:Understanding Person Identification Through GaitExamining the Hydra: Simultaneously Shared Links in Tor and the Effects on its PerformanceProteus: Programmable Protocols for Censorship Circumventionheise.de: Microsofts gestohlener Schlüssel mächtiger als vermutetGoogle’s nightmare “Web Integrity API”

Beschreibung: Die Episode zum letzten Quartal! Diesmal mit ein paar Updates zu vorherigen Themen, .zip Domains, ChatGPT, leakenden Power LEDs und Fingerabdruckscannern. Viel Spaß beim Hören! Shownotes: Web fingerprinting is worse than I thought - Bitestring’s BlogThe Dangers of Googles zip TLDEven Google warns its ownHackers can steal cryptographic keys by video-recording power LEDsNew Type of Attack: BrutePrint Can Breach Your Smartphone’s Fingerprint SecurityBelgium legalises ethical hacking: a threat or an opportunity for cybersecurity? - CITIP blogDangers of Google’s zip TLDPotentially millions of Android TVs and phones come with malware preinstalled - Ars TechnicaSupplyChainAttacks/MSI/MsiImpactedDevices.md at main · binarly-io/SupplyChainAttacks · GitHubIntel investigating leak of Intel Boot Guard private keys after MSI breachBaltimore joined a number of cities who say Hyundai and Kia created a public nuisance by making cars that can be easily stolen. - The Baltimore BannerMullvad VPN was subject to a search warrant. Customer data not compromised - Blog - Mullvad VPNDeploying key transparency at WhatsApp - Engineering at MetaUkrainian hackers spend $25,000 of pro-Russian blogger’s money on sex toys

Beschreibung: Die Folge zu Januar und Februar! Diesmal mit ein paar Updates zu vorherigen Themen, Android, Autos und Telefonbanking. Schwachstellen, Schwachstellen und Schwachstellen. Viel Spaß beim Hören! Shownotes: Three Lessons from ThreemaPaper: Three Lessons from ThreemaJohn Deere erlaubt Reparaturen nach HacksFOSDEM 2023 - Matrix 2.0Tor is slow right now. Here is what is happening. - The Tor ProjectNSA: Software Memory SafetyBjarne Stroustrup reagiert auf NSAA call to action: Think seriously about safetyGoogle Online Security Blog: Hardening Firmware Across the Android EcosystemSpreading Malware via Google Adsgrawity: ‘PuTTY on my Win98 VM crashes OpenSSH and I’m some’oss-sec: Re: double-free vulnerability in OpenSSH server 9.1 (CVE-2023-25136)CVE-2022-24990: Getting Password via a specific User-Agent StringCisco Secure Endpoint update for ClamAVGoDaddy Hackers stole Source CodeHow I Broke Into a Bank Account With an AI-Generated VoiceROT256 : Cryptography & Other Random Bits.Beware rogue 2FA apps in App Store and Google Play – don’t get hacked!CVE-2022-3095: Backslash Confusion in FlutterHyundai and Kia forced to update software on millions of vehicles because of viral TikTok challenge

Beschreibung: Die Folge zu Dezember! Es gab Lastpass, Antiviren, viel Telefonkram, Smart Home Speaker und vieles mehr. Viel Spaß beim Hören! Shownotes: Google Online Security Blog: Memory Safe Languages in Android 13100 - apvi - Android Partner Vulnerability Initiative - MonorailNeues Kommunikationsprotokoll Ibex und erweiterte Protokoll-Suite – Threemaemerson: ‘What happens to your smartphone when it gets stol…’ - Hachyderm.ioTITLEAntiVirus and EDR Solutions tricked into acting as data wipersGmail introduces end-to-end encryptionTelefonat von Baerbock offenbar für Betrug genutztLooking Back at Our Bug Bounty Program in 2022 - MetaLastPass users: Your info and password vault data are now in hackers’ hands - Ars TechnicaSicherheitslücke bei Twitter: Hacker erbeuten Daten von angeblich 400 Millionen Usern - Netzpolitik - derStandard.de › WebTurning Google smart speakers into wiretaps for $100kLastPass data breach led to $53K in Bitcoin stolen, lawsuit allegesFirst LastPass, now Slack and CircleCI. The hacks go on (and will likely worsen) - Ars TechnicaWeb Hackers vs. The Auto Industry

Beschreibung: Wegen Umzug kam Ende Oktober keine Folge. Wir behandeln heute Oktober und November. Es gab Microsoft, Twitter, OpenSSL, den Pixel phone lock screen bypass, Tailscale und vieles mehr. Viel Spaß beim Hören! Shownotes: Domain fronting to be blocked on AzureAWS keys on PyPi for over a year“Invalid Username or Password”: a useless security measure - Kevin BurkeElon Musk Says Twitter Will Add Video and Voice Call, Encrypted DMsCVE-2022-41924 - RCE in Tailscale, DNS Rebinding, and YouRussian 0day thirst traps0XDEAD ZEPPELINHijacking AUR Packages by Searching for Expired Domains - Blog by Joren Vranckenurlscan.io’s SOAR spot: Chatty security tools leaking private data - Positive SecurityTiming Attacks on WhatsApp, Signal, and Threema can Reveal User Location - RestorePrivacyDangerous hole in Apache Commons Text – like Log4Shell all over again – Naked SecurityToyota Suffered a Data Breach by Accidentally Exposing A Secret Key Publicly On GitHubGoggle Pixel Lock Screen Bypass

Beschreibung: Das ist unsere dritte Monthly Episode. Wir reden über allerlei Nachrichten mit Bezug zu IT-Sicherheit. Und unseren neuen Namen. Viel Spaß beim Hören! Shownotes: Segfault.fm Episode 0x1b NetzsperrenSegfault.fm Episode 0x03 Serial KillerSegfault.fm Episode 0x11 AuthentifizierungThe (hardware) key to making phishing defense seamless with Cloudflare Zero Trust and YubicoSolved: Intel SGX deprecated in 11th Gen processors. - Intel CommunitiesIran’s Internet Shutdown Hides a Deadly Crackdown - WIREDIran blocks capital’s internet access as Amini protests grow - Iran - The GuardianBootloader-Signaturen per Update zurückgezogen: Microsoft bootet Linux aus - heise onlinetarfile insecure pathname extraction - python/cpython - GitHubPython-Dev tarfile and directory traversal vulnerabilityPython: 15 Jahre alte Schwachstelle betrifft potenziell 350.000 Projekte - heise onlineA Theoretically Devastating Cyber Attack on America’s Gas StationsTotal kompromittiert: 18-Jähriger hackt Uber, interne Dienste offline - heise onlineHackers now use ‘sock puppets’ for more realistic phishing attacksGolem.de: Gematik hält verschlüsseltes E-Rezept für wenig praktikabelCCC - E-Rezept: Sicherheit nicht ausreichend, Datenschutz mangelhaftGolem.de: Crypto.com überweist irrtümlich 7,2 Millionen statt 68 Euro

Beschreibung: Das ist unsere zweite Monthly Episode. Wir reden über allerlei Nachrichten mit Bezug zu IT-Sicherheit. Viel Spaß beim Hören! Shownotes: How Threat Actors Are Adapting to a Post-Macro World - Proofpoint USPost-Quantum-Kryptografie: Kandidat SIKE mit Laptop geknackt - heise onlineRussischer Provider kapert Apple-Adressraum - heise onlineExperiment with post-quantum cryptography todayPwnie Awards 2022: Böse Jungs und Shutdown einer Antiterror-Operation - heise onlineProcess injection: breaking all macOS security layers with a single vulnerability · Sector 7How I Hacked my CarThe Cisco Hack - Tracking the Attack Through your LogsRekord-Angriff mit DDoS auf Layer 7 scheitert an Google - heise onlineCCC - Chaos Computer Club hackt Video-IdentGematik untersagt bis auf Weiteres Nutzung von VideoIdent-VerfahrenPraktischer Angriff auf Video-Idente-Perso kann Fido2Ridiculous vulnerability disclosure process with CrowdStrike Falcon Sensor - mod%logEDR: Nachfolger der Antiviren-Software kämpfen mit altbekannten Problemen - heise onlineKrypto-Diebstahl mit Deepfake eines Hologramms beschert 32 Millionen Dollar - heise online2208.10629 Getting Bored of Cyberwar: Exploring the Role of the Cybercrime Underground in the Russia-Ukraine ConflictLastPass: Notice of Recent Security IncidentA New Jailbreak for John Deere Tractors Rides the Right-to-Repair Wave - WIREDTime it takes a hacker to brute force your password in 2022Wordpress is still using MD5Is the evidence for austerity based on an Excel spreadsheet error?Project Mammoth - Dialed Up (CTF song)

Beschreibung: Das ist unsere erste Monthly Episode. Wir reden über allerlei Nachrichten mit Bezug zu IT-Sicherheit. Viel Spaß beim Hören! Shownotes: Twitter: Kenneth PatersonBoringsslLibreSSLPaper: Evaluating Snowflake as an Indistinguishable Censorship Circumvention ToolAll Tor Metrics graphs for a country on one pageWired: How Tor Is Fighting—and Beating—Russian CensorshipGitHub - Robbbbbbbbb/tesla-chargeportNerds Are Trolling Tesla Owners by Wirelessly Opening Charging PortsSicherheitslücken in GPS-Tracker von MiCODUS können Menschenleben gefährdenTwitter: Maxim GoryachySecurity and Privacy Advice - Madaidan’s InsecuritiesHTTP to HTTPS redirect for HTTPS DNS records - Chrome Platform StatusArs Technica: New working speculative execution attack sends Intel and AMD scramblingRolling PWNHow a fake job offer took down the world’s most popular crypto gameNIST Announces First Four Quantum-Resistant Cryptographic AlgorithmsApple expands commitment to protect users from mercenary spyware - Apple

Beschreibung: In dieser meta Episode geben wir ein kleines Update zur Zukunft des Podcasts. Wir planen eine Formatänderung. Wir hören uns im Juli wieder! Shownotes:

Beschreibung: In dieser Folge unterhalten wir uns über Zensur und Netzsperren. Wir diskutieren die technischen Möglichkeiten zur Sperrung, Messung und Umgehung. Besonderer Fokus liegt auf den Methoden, die in Russland und China verwendet werden. Viel Spaß beim Hören! Shownotes: Verbrannte und verfemte BücherWP: Zensur (Informationskontrolle)Grundgesetz Art. 5WP: Sperrungen von Internetinhalten in DeutschlandXS4ALLNetzpolitik: ZensursulaReporter ohne Grenzen: Feinde des InternetsXue et al.: Throttling Twitter: An Emerging Censorship Technique in RussiaOONI Research Report: New blocks emerge in Russia amid war in UkraineOONI Research ReportsSegfault.fm Episode 0x04 TorHow Great is the Great Firewall? Measuring China’s DNS CensorshipExamining How the Great Firewall Discovers Hidden Circumvention ServersLanternGegen Netzsperren: Mit VPN, Psiphon, Tor und Snowflake ins freie InternetAnti-Zensur-App hat massiven Zuwachs in RusslandResearch Paper: Domain ShadowingTor Metrics: Bridge users by transportobfs4 (The obfourscator)DEFCON: New tool brings back ‘domain fronting’ as ‘domain hiding’SnowflakeDomain fronting to App Engine stopped workingRussia Bans 1.8 Million Amazon and Google IPs in Attempt to Block TelegramBundeswehr: Der Cyber Marsch

Beschreibung: In dieser Folge unterhalten wir uns über Netzwerksicherheit. Zuerst erörtern wir kurz die Grundlagen von Netzwerken und dann gehen wir auf verschiedene Angriffsszenarien ein und diskutieren auch über die Verteidigungsmöglichkeiten. Viel Spaß beim Hören! Shownotes: The Creepy, Long-Standing Practice of Undersea Cable TappingIntroduction to RAW-sockets (pdf)ScapyWinPcapPort-Scanner: NmapSegfault.fm Episode 0x0f TLSRFC 2827 (BCP 38)Segfault.fm Episode 0x03 Serial KillerMisbehaving TCP Receivers Can Cause Internet-Wide Congestion Collapse (2005)Security Analysis of the Micro Transport Protocol with a Misbehaving ReceiverRFC 9000 QUIC: A UDP-Based Multiplexed and Secure Transportsmurf.cVater jammed das Mobilfunknetz nachtsRFC 5961BGB Hijacking Angriff auf Kryptounternehmen

Beschreibung: Es gab zum Jahresende wieder einen remote Congress. Wir haben ein paar schöne Talks gesehen und lassen euch ein paar Empfehlungen da. Viel Spaß! Shownotes: media.ccc.de - The Tor Project - State of the Onionmedia.ccc.de - Towards a more Trustworthy Tor NetworkRelive: Matrix … was geht? – rC3 NOWHERE Streamingmedia.ccc.de - The card10 badge: Two years of evolutionGitHub - jivoi/awesome-osint: A curated list of amazingly awesome OSINTRelive: OSINT: Ich weiß wo dein Haus wohntmedia.ccc.de - Math for hackersmedia.ccc.de - Catching NSO Group’s Pegasus spywareAbout Apple threat notifications and protecting against state-sponsored attacksmedia.ccc.de - Listen to Your Heart: Security and Privacy of Implantable Cardio Fooheise.de: Unzureichend abgesichert: Defibrillator-Implantate offen für Hacker-Attacken

Beschreibung: Wir schließen uns dem Mainstream an und reden über Apache Log4Shell. Wir erklären die technischen Details und was zum aktuellen Zeitpunkt bekannt ist. Viel Spaß beim Hören! Shownotes: Apache Log4j Security VulnerabilitiesBSI: Kritische Schwachstelle in log4j veröffentlichtCVE-2021-44228 (CVSS 10.0)CVE-2021-45105 (CVSS 7.5)CVE-2021-45046 (CVSS 9.0)CVE-2021-4104 (CVSS 8.1)Segfault.fm Episode 0x07 Memory Corruption 1JNDI Lookup plugin supportZero-Day Exploit Targeting Popular Java Library Log4jVerwundbarer Docker-ContainerLog4Shell log4j vulnerability - cheat-sheet reference guideYT: A Journey From JNDI/LDAP Manipulation (Black Hat 2016)Exploitation of Log4j CVE-2021-44228 before public disclosureTweet from Volkan YaziciMind map: Am I vulnerable to Log4Shell?LiveOverflow: Hackers vs. Developers (Log4Shell)Tweet from DaRenegader

Beschreibung: E-Mail ist über 50 Jahre alt und ist immer das Medium der Wahl wenn es um die digitale Kommunikation geht. In dieser Folge unterhalten wir uns über E-Mail Security, welche Angriffe es gibt und wie man es sicherer machen kann. Shownotes: Email is not dead. But email IS changing.WP: S/MIMEWP: OpenPGPInline PGP in E-mail is bad, Mm’kay?Mozilla: SSL Configuration GeneratorPaper: 27 Years and 81 Million Opportunities LaterPaper: Why Johnny Can’t Encrypt: A Usability Evaluation of PGP 5.0Studie: Warum Emails heute immer noch so unsicher sindGolem: Ärger für die PGP-KeyserverEFAILNO STARTTLSHerley: Why Do Nigerian Scammers Say They are From Nigeria?WP: GreylistingRFC6376: DomainKeys Identified Mail (DKIM) SignaturesRFC7208: Sender Policy Framework (SPF)RFC7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC)Email Authenticity 101: DKIM, DMARC, and SPFBIMI Group

Beschreibung: Domain Name System (DNS) ist schon über 30 Jahre alt und bildet das Rückgrat des Internets. In dieser Folge unterhalten wir uns über die Sicherheit von DNS, welche Angriffe es auf DNS gibt und wie man es sicherer machen kann. Shownotes: Pi-hole: Network-wide Ad BlockingDNS over HTTPS and DNS over TLS - Guides - Mullvad VPNImproving DNS Privacy with Oblivious DoH in 1.1.1.1BCP38Oblivious DNS over HTTPS (ODoH): A Practical Privacy Enhancement to DNSOblivious DNS Over HTTPSODNS: Oblivious DNSHybrid Public Key EncryptionGitHub: cloudflare/odoh-client-rsGitHub: cloudflare/odoh-client-goReflections on reflection (attacks)DNS over TLS vs. DNS over HTTPSMan et. al: DNS Cache Poisoning Attack Reloaded (ACM CCS)SAD DNSDan Kaminsky: It’s the end of the cache as we know itAlterNIC - WikipediaDNS flag day 2020SAD DNS ExplainedDNS Privacy RequirementsHow DNSSEC worksNSEC3 Resource Record – WikipediaDNSCrypt - List of public DoH and DNSCrypt serversPrivate Network Access (CORS-RFC1918) updates - Chrome DevelopersRFC5452: Measures for Making DNS More Resilient against Forged AnswersForgot password? Taking over user accounts Kaminsky style

Beschreibung: Threema? Whatsapp? Signal? Matrix? Telegram? Keybase? Was ist sicher? In dieser Folge sprechen wir über Crypto-Messenger. Viel Spaß beim Hören! Shownotes: Phil Zimmermann - WikipediaClipper chip - WikipediaDigital Communications Protocols - Google TabellenClients - Matrix.orgEnd-to-End Encryption implementation guide - Matrix.orgLNP399 Darknet für die Hosentasche - Logbuch:NetzpolitikEnd-to-End Encryption, Secret ChatsThreema: Cryptography WhitepaperHagen et. al.: All the Numbers are US: Large-scale Abuse ofContact Discovery in Mobile MessengersWhy AES-GCM Sucks – Dhole MomentsTchap: Frankreichs (nicht so) exklusiver Regierungschat - heise onlineGolem.de: IT-News für ProfisRSA T-Shirt - Trammell Hudson’s ProjectsWie sich WhatsApp, Threema, Signal und Telegram in Datenschutz und Sicherheit unterscheidenKeybase: Protocol Security ReviewBundesamt für Justiz geht gegen Telegram vor - heise onlineThreema-Gründer: Wir spüren: Die Leute werden kritischerWas macht Threema sicher? - Threema