Guymon

Gesprächs-Rekonstruktion aus verschlüsselten VoIP Paketen

Gerade bei Fefe gelesen:

Heute weist mich jemand auf eine (…) Sache hin, nämlich dass man aus dem Beobachten von verschlüsselten VoIP-Paketen das gesprochene Wort rekonstruieren kann. Die Idee dabei ist, dass Voip-Sprachcodecs mit variabler Bitrate kodieren, je nach Komplexität des Signals. Wenn man also ein gutes Modell der Sprache hat, kann man mit einer gewissen Wahrscheinlichkeit Sätze rekonstruieren.

However, we show that when the audio is encoded using variable bit rate codecs, the lengths of encrypted VoIP packets can be used to identify the phrases spoken within a call. Our results indicate that a passive observer can identify phrases from a standard speech corpus within encrypted calls with an average accuracy of 50%, and with accuracy greater than 90% for some phrases.

(…) Die offensichtliche Paranoia-Lektion ist, dass man aus lärmenden Umgebungen heraus telefoniert, und untypische Formulierungen verwendet.

Enable https on twitter

Twitter erlaubt es nun alle Verbindungen über https laufen zu lassen.

1. Go to your Twitter settings page.
2. Tick the Always use HTTPS checkbox.
3. Click Save and re-enter your password when prompted.

Wipe clean SSDs

Über das “richtige” Löschen von Daten wurde ja schon viel geschrieben, jetzt haben sich Forscher der University of California in San Diego mal die Ergebnisse der üblichen Methoden bei SSDs angesehen:

The researchers found that as much 67 percent of data stored in a file remained even after it was deleted from an SSD using the secure erase feature offered by Apple’s Mac OS X. Other overwrite operations – which securely delete files by repeatedly rewriting the data stored in a particular disk location – failed by similarly large margins when used to erase a single file on an SSD. Pseudorandom Data operations, for instance, allowed as much as 75 percent of data to remain, while the British HMG IS5 technique allowed as much as 58 percent.

Eine (naheligende) Lösung:

The researchers found the most effective way to sanitize data on SSDs was to use devices that encrypted their contents. Wiping happens by deleting the encryption keys from what’s known as the key store, effectively ensuring that the data will remain encrypted forever.

Socialnetwork Security

socialnetworksecurity.org veröffentlicht Sicherheitslücken in Sozial Netzwerken.

Diese Webseite wurde gegruendet, um Sicherheitsluecken auf Social Network Portalen aufzuzeigen.
Der Autor hat in der Vergangenheit vergeblich versucht die entsprechenden Social Networking Betreiber zu kontaktieren, wurde dabei jedoch oftmals mit unzureichender Security Awareness seitens der “Ticketbearbeiter” enttaeuscht. (…) Diese Webseite soll entsprechend die Augen der Verbraucher oeffnen und durch das Aufdecken von Sicherheitsluecken auf Social-Network Seiten dazu beitragen, dass die Betreiber aktiv reagieren und die entsprechenden Sicherheitsluecken zeitnah schliessen. Die Praxis zeigt das medialer Druck auf die Betreiber einiges bewirken kann….

Security Fix für xt:Commerce 3.0.4

Weil ja doch noch viele Leute xt:Commerce 3.0.4 einsetzen:

Durch einen Bug in der php funktion eregi (nullbyte injection) kann durch eine Attacke das Administrator Passwort
auf ein beliebiges Passwort gesetzt werden und somit Zugriff auf den Shop erlangt werden.

Einen Patch kann man hier herunterladen.