Studie: Informationen trotz SSL-Verschlüsselung nicht sicher

Bei 99 Prozent sind vertrauliche Informationen in Webanwendungen wie Online-Banking, Webmail-Konten oder Businessportalen trotz Verschlüsselung nicht sicher. Zu diesem erschütternden Ergebnis kommt der Münchner Spezialist für Anwendungssicherheit SecureNet nach einer Analyse (PDF-Datei) von rund einer Million Websites.

Im Fokus der Untersuchung stand eine seit 2009 bekannte Angriffstechnik (Video), mit der Cyberkriminelle die SSL-Verschlüsselung im Browser ausschalten können. Der Trick beruht zum einen darauf, dass die ursprüngliche Verbindung unverschlüsselt abläuft. Der "Man in the Middle" (MiM) ist somit in der Lage, jeden https-Link, den der Server zurückliefert, in einen http-Link umzuwandeln und die Verbindung zwischen ihm und dem Benutzer über die gesamte Dauer unverschlüsselt zu halten. Zum anderen beruht er darauf, dass der MiM den anderen Teil der Verbindung, also die zum Server, per https durchführt und der Server somit keine Chance hat, den Angriff zu erkennen und abzuwehren.

Ebenfalls seit 2009 gibt es einen Schutzmechanismus, der diesen Angriff unterbinden soll: HTTP Strict Transport Security (HSTS). Damit kann der Server den Browser "zwingen", nie einen http-Link, sondern ausschließlich https-Links zu schicken. Nun stellte SecureNet bei der Untersuchung der Verbreitung dieser Header-Direktive fest, dass international weniger als 0,5 Prozent und in Deutschland weniger als 0,1 Prozent der Websites ihre Benutzer damit schützen. Bei den deutschen Banken sind es lediglich 6 von 423 Sites, die den Header einsetzen.

Die Untersuchung umfasste die gemäß der "Alexa Top 1.000.000"-Liste rund eine Million internationale Sites, darunter die 40.000 meistbesuchten deutschen, sowie speziell das Online-Banking-Login von ausgewählten deutschen Banken. Rund 10 Prozent der "Alexa Top 1.000.000 Sites" verwenden das HTTPS-Protokoll, aber davon wurde insgesamt nur in 410 Fällen eine HSTS-Direktive im Header ausgeliefert - was einer Verbreitung von HSTS von unter 0,5 Prozent entspricht.

Für die Wirksamkeit des Schutzes ist die eingestellte Gültigkeitsdauer des Headers (max-age) von großer Bedeutung: Ist diese kurz, so ist die Wahrscheinlichkeit entsprechend hoch, dass der Schutz bereits abgelaufen ist, wenn der Benutzer in die ungeschützte Umgebung gerät, zum Beispiel beim Zugriff über einen WLAN-Hotspot im Hotel. Der Sicherheitsspezialist SecureNet bewertete einen Wert kleiner als 30 Tage als ungenügend.

Auch hier zeigen sich erschreckende Unzulänglichkeiten: Von den 12 deutschen Domains, die eine gültige HSTS-Direktive im Header ausliefern, erfüllten nur fünf Sites diese Minimalanforderung. Bei sechs von sieben Banken-Sites in Deutschland, die den Header einsetzen, ist die Gültigkeitsdauer zu kurz und somit der Schutz wirkungslos. Erstaunlich ist etwa, dass Paypal nur einen Wert von 2 Stunden vorsieht und damit so gut wie ungeschützt ist. Und das, obwohl der Paypal-Eigentümer Google im hauseigenen Chrome-Browser für Paypal den Wert intern fest auf unbegrenzt gesetzt hat.

"Solange HSTS nicht standardmäßig zum Einsatz kommt, sollten Unternehmen, die verhindern wollen, dass ihre Mitarbeiter zum Sicherheitsrisiko werden, deren Laptops und Homeoffice-PCs per VPN ins Unternehmens-LAN zwingen", empfiehlt Thomas Schreiber, Geschäftsführer der SecureNet GmbH. Des weiteren ist es ratsam, Microsofts IE9 und auch den brandneuen IE10 für den Zugang zu kritischen Webanwendungen nicht zu verwenden, da beide Browser-Versionen HSTS nicht unterstützen, so der Sicherheitsspezialist. (Susanne Franke) / (ur)

View the original article here

Read More

Apple verfehlt trotz Milliardengewinn knapp das Ziel

Lieber das neue iPhone, hatten sich viele Verbraucher im Frühsommer gedacht und den Smartphone-Kauf verschoben, bis es das iPhone 5 gab. Das hatte im dritten Quartal zu einem der wenigen Kratzer in Apples sonst so makelloser Bilanz beigetragen. Die in dieser Hinsicht empfindliche Wall Street war enttäuscht. Seither hat der Aktienkurs kurzfristig neue Höhenrekorde aufgestellt, um von der vom iPad mini nicht ganz überzeugten Börse dann wieder eingeholt zu werden.

Auch dieses Mal fanden die Analysten ein Haar in der Suppe. Der US-Konzern hat im Ende September abgeschlossenen vierten Quartal seines Geschäftsjahres seinen Umsatz von 28,3 Milliarden US-Dollar im Vorjahr auf 36 Milliarden US-Dollar steigern können. Der Nettogewinn wuchs nach 6,6 Milliarden US-Dollar im Vorjahr auf stattliche 8,2 Milliarden US-Dollar (8,67 US-Dollar pro Aktie) .

Das war etwas weniger als die Wall Street erwartet hatte (8,81 US-Dollar) – was zusammen mit enttäuschenden iPad-Zahlen und einem trüberen Ausblick den Kurs der Apple-Aktie im nachbörslichen Handel auf Talfahrt schickte. Apples Gewinnprognose für das laufende Weihnachtsquartal blieb mit 11,75 US-Dollar pro Aktie bei Umsätzen in Höhe von rund 52 Milliarden US-Dollar deutlich hinter den Erwartungen zurück. [Update: Die Aktie rutschte zwischenzeitlich unter die 600-Dollar-Marke, hat sich im nachbörslichen Handel dann aber wieder erholt und notierte um den Schlusskurs vom Donnerstag.]

Das iPhone 5 ist seit Mitte September im Handel und hatte nur einige Werktage, um Impulse für das abgeschlossene Quartal zu setzen. Mit 5 Millionen in den ersten paar Tagen verkauften Geräten ist das wohl gelungen, zumindest die vorangegangene Kaufzurückhaltung konnte kompensiert werden: Apple hat im Schlussquartal des Jahres 26,9 Millionen iPhones verkauft, im Vorjahreszeitraum waren es 17,1 Millionen Stück. Mit gut 17 Milliarden US-Dollar steht die iPhone-Sparte für die Hälfte des Konzernumsatzes.

Dem iPad wurde das gleiche Schicksal zuteil wie zuvor dem iPhone: Angesichts der Spekulationen um eine bevorstehende Neuvorstellung wollten viele Kunden offenbar lieber auf die neuen iPads warten. Im vierten Quartal verkaufte Apple 14 Millionen iPads, das waren zwar 26 Prozent mehr als im Vorjahr, aber 18 Prozent weniger als noch im dritten Quartal. Analysten hatten zwei Millionen iPads mehr erwartet. Das iPad trug mit 7,5 Milliarden US-Dollar zum Umsatz bei.

Im alten Kerngeschäft mit Computern konnte Apple den Absatz leicht auf 4,9 Millionen Geräte steigern, davon 3,9 Millionen Laptops (+9 Prozent) und 968.000 Desktop-Macs (-24 Prozent). Knapp 5 Milliarden seines Umsatzes macht Apple noch mit klassischen Computern. Die Verkaufszahlen des iPod gehen weiter zurück, Apple konnte im Schlussquartal noch 5,3 Millionen Stück seiner Musikplayer absetzen.

"Wir sind sehr stolz ein fantastisches Geschäftsjahr mit Rekord-Ergebnissen in einem September-Quartal zu beenden," erklärte CEO Tim Cook. Apple wird für das Quartal am 15. November eine Bardividende von 2,65 US-Dollar pro Stammaktie ausschütten.

* Apple bilanziert seit dem ersten Quartal 2010 nach neuen Buchhaltungsstandards in den USA. Damit werden Einnahmen aus dem Verkauf von iPhone und Apple TV nunmehr vollständig für den Zeitpunkt des Verkaufs verbucht, während sie zuvor über die Lebenszeit der Geräte hinweg auf die Quartale verteilt wurden. Die Angaben zu den Ergebnissen der Vorquartale wurden nach der neuen Bilanzierungsmethode errechnet und weichen entsprechend von den ursprünglich veröffentlichten Zahlen ab. (vbr)

View the original article here

Read More