10.05.2003 11:27
Web-Browser Safari schlampt bei SSL-Zertifikaten
Apples Web-Browser überprüft bei SSL-Zertifikaten nicht den so genannten Common Name. Dies meldet die auf Sicherheitsfragen spezialisierte Web-Site Secunia. Ebenfalls von dem Fehler betroffen ist die Embedded-Version des KDE-Web-Browsers Konqueror. Die KDE-Variante des Konqueror ist nicht betroffen. Safari nutzt wie die Konqueror-Versionen KHTML, die HTML-Bibliothek des KDE-Desktop.
Der Einsatz von SSL bei Internet-Verbindungen verfolgt zwei Ziele: Zum einen soll SSL die Verbindung verschlüsseln, zum anderen die Identität des Rechners am anderen Ende verifizieren. Da Safari jedoch den Common Name eines SSL-Zertifikats nicht richtig überprüft, kann ein Anwender nicht sicher sein, dass der Rechner am anderen Ende der SSL-Verbindung auch tatsächlich der ist, für den er sich ausgibt. Über DNS-Spoofing etwa ließe sich diese Nachlässigkeit ausnutzen. Einzige Abhilfe ist zur Zeit, Safari und Konqueror Embedded nicht für SSL-Verbindungen einzusetzen und etwa Bankgeschäfte mit einem anderen Web-Browser abzuwickeln.
Die aktuelle Safari-Ausgabe weist Apple noch explizit als Beta-Version aus (1.0 Beta2 (v73)); weitere Probleme mit der Software sind also keinesfalls auszuschließen. Wer Apple helfen möchte, den Browser von Fehlern zu befreien, der kann über den kleinen Käfer-Button oben rechts im Fenster einen Fehlerbericht nach Cupertino schicken.
(adb)
Cross-Site-Scripting (XSS) ist eine der größten Plagen, mit denen Webmaster zu kämpfen haben. Der neue Standard "Content Security Policy" soll endlich Abhilfe schaffen. 
Wie schwer ist es, einen Hotelsafe zu knacken? heise Security hat es spontan ausprobiert – mit einem überraschenden Ergebnis. 
Was ist echt und was ist falsch? Echte Benachrichtigungen von Firmen sind kaum noch von Phishingmails zu unterscheiden. Trotzdem wird von uns erwartet, dass wir den Durchblick behalten. So funktioniert das nicht. 
Die Weboberfläche zur Verwaltung von ProLiant- und Integrity-Servern enthält eine kritische Sicherheitslücke. 
Eine Lücke, viele Updates: Adobe hat ein kritisches Sicherheitsloch gestopft und neue Flash- und Air-Versionen für sämtliche Plattformen veröffentlicht. 
Am Juni-Patchday hat Microsoft zahlreihe Lücken in Windows, Internet Explorer und Office geschlossen. Eine Rechteausweitungslücke, für die bereits ein Exploit im Netz kursiert, hat die Redmonder Softwareschmiede dabei jedoch offenbar ausgelassen. 
