[datensicherheit.de, 17.10.2019] Nach Informationen des Magazins Bleeping Computing sind Millionen von Amazon-Echo-Geräten der 1. Generation und der Kindle eBook-Reader der 8. Generation anfällig für eine alte WiFi-Schwachstelle names KRACK. Sie erlaubt es Angreifern eine Man-in-the-Middle-Attacke gegen ein WPA2-geschütztes Netzwerk zu fahren. Bei dieser Form der Attacke kann der Angreifer vom Kunden gesendete Datenpakete entschlüsseln und potenziell vertrauliche Informationen stehlen, die in Klartext übermittelt worden sind. Während bei dieser Form des Angriffs zwar die WPA2-Netzwerkverbindung kompromittiert wird, ist es wichtig festzuhalten, dass verschlüsselter Datenverkehr weiterhin vor dem Ausspähen geschützt ist.

Dazu ein kurzer Kommentar von Sam Curry, CSO von Cybereason:

„Amazon Echo, Kindle und die komplette Smart-Home-Suite von Amazon sitzen direkt an der Schnittstelle zwischen unserem privaten und digitalem Leben. Welche Auswirkungen die Technologie auf unser Zuhause und auf unseren Arbeitsplatz wirklich hat und wie man diese Geräte sicher betreiben und die Privatsphäre schützen kann, das herauszufinden, haben wir gerade erst begonnen. WiFi-Sniffing, das Unterbrechen und Abhören des Datenstroms und das Übernehmen und Abfangen von Dateninformationen (oder -inhalten) ist nichts grundsätzlich neues. Aber die aktuellen Entwicklungen haben möglicherweise sehr viel weitreichendere Folgen als einfach nur die Nutzungsgewohnheiten eines Kindle-Lesers auszuspionieren. Wir sollten nicht außer Acht lassen, dass nicht wenige Unternehmen Geschäftsbeziehungen zu AWS unterhalten, und dass unsere Amazon-Identität direkt mit dem eigenen Zuhause, dem eigenen Bankkonto oder der Kreditkarte verknüpft ist. Es wäre keine schlechte Idee, wenn Amazon sich hinsichtlich aller seiner Komponenten und ihrer Verwendung etwas mehr Gedanken machen würde. Besser früher als später.“

Weitere Informationen zum Thema:

datensicherheit.de, 17.10.2017
Mehrschichtige Sicherheit reduziert Auswirkung der WPA2-Schwachstelle

[datensicherheit.de, 22.05.2018] IT-Sicherheitsexperten der Fachhochschule Münster, der Ruhr-Universität Bochum sowie der belgischen Universität Leuven haben nach eigenen Angaben Sicherheitslücken in den beiden gängigen E-Mail-Verschlüsselungs-Verfahren „PGP“ und „S/MIME“ entdeckt: Damit verschlüsselte E-Mails könnten demnach auf zwei verschiedene Arten so manipuliert werden, dass Angreifer den Klartext der verschlüsselten Nachricht erhalten. Der diesbezügliche Bericht mit dem Schlagwort „Efail“ habe schnell ein großes Echo in den Medien gefunden. Dabei sei häufig die falsche Aussage gemacht worden, dass die Verschlüsselung von E-Mails mit diesen beiden Verfahren nicht wirksam sei.

Bekannte Schwachstelle in E-Mail-Clients ausgenutzt

„Die aufgedeckten Sicherheitslücken betreffen nicht die beiden Verschlüsselungstechnologien selbst, sondern nutzen eine schon lange bekannte Schwachstelle in E-Mail-Clients aus“, erläutert hierzu Günter Esch, Geschäftsführer der SEPPmail Deutschland GmbH.

Automatisches Nachladen von Links im Mail-Client deaktivieren!

Esch: „Diese Schwachstelle lässt sich einfach ausmerzen bzw. ist in der Regel gar nicht vorhanden. Dazu muss nur das automatische Nachladen von Links im Mail-Client deaktiviert werden – eine Einstellung, die auch bei unverschlüsselter Kommunikation empfehlenswert ist. Denn das automatische Nachladen von Links im Mail-Client ermöglicht Spammern, einfach festzustellen, wann und wo ein Empfänger eine unerwünschte Werbemail angeschaut hat.“

Verschlüsselung korrekt implemetieren und sicher konfigurieren!

In einer kürzlich verbreiteten Medienmitteilung habe auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt, dass die genannten E-Mail-Verschlüsselungsstandards weiterhin sicher eingesetzt werden könnten, sofern sie korrekt implementiert und sicher konfiguriert sind.

Weitere Informationen zum Thema:

SEPPMAIL, 21.05.2018
Statement zu Efail

datensicherheit.de, 22.05.2018
Bitkom empfiehlt Nutzern E-Mails weiterhin zu verschlüsseln

datensicherheit.de, 21.03.2017
Fraunhofer SIT bietet Volksverschlüsselung für kleine und mittlere Unternehmen