Viele Apps funken mehr Daten nach Hause als nötig, welche das sind, ist für den Nutzer kaum ersichtlich. Wir zeigen, wie Sie mit Hilfe eines Web-Proxys Einblick in die Datenverbindungen ihrer iOS- und macOS-Apps erhalten – und dadurch auch Schnüffel-Apps aufspüren.

Viele Kunden von Trustico bekommen derzeit Mails, dass einige Zertifikate von Webseiten bald ungültig sind. Die Geschichte dahinter lässt Zweifel an der Vertrauenswürdigkeit des SSL-Resellers aufkommen.

Google missbraucht den Chrome-Browser für einen Rachefeldzug gegen Symantec. So sieht heise-online-Redakteur Fabian Scherschel die Google-Entscheidung, den Symantec-SSL-Zertifikaten kollektiv das Vertrauen zu entziehen.

Vollautomatische und kostenfreie Let's-Encrypt-Zertifikate für jedes Gerät: Ein Start-up überrollt die kostenpflichtige Konkurrenz der SSL/TLS-Zertifikat-Anbieter.

Ab Juli wird der Chrome-Browser alle unverschlüsselten HTTP-Webseiten deutlich als unsicher kennzeichnen. Googles Botschaft an Seitenbetreiber: Setzt endlich HTTPS ein!

Mit Chrome 66 und 70 im April und Oktober entzieht Google gut hunderttausend der wichtigsten Domains das Vertrauen, falls diese sich keine neuen SSL-Zertifikate besorgen. Das Ganze ist eine Bestrafungsaktion gegen den Zertifikatsaussteller Symantec.

Die OpenSSL-Entwickler wollen ihre Kryptobibliothek, die immer noch große Teile des Internet-Traffics absichert, ab sofort nur noch Dienstags patchen. Ausnahmen bestätigen allerdings die Regel.

Mit einer Technik namens Session-Replay lassen sich Texteingaben auf Webseiten in Echtzeit erfassen, während sie passieren. Diese Daten werden oft an Drittwebseiten zum Zwecke der Besucheranalyse übermittelt.

Heute um 11 Uhr fasst heisec-Chefredakteur Jürgen Schmidt zusammen, was Admins derzeit über TLS wissen sollten: von CAA über HPKP bis hin zu TLS 1.3. Das alles kompakt in einer Stunde, ohne Marketing und mit ausreichend Zeit für Fragen.

Don't Use Hardcoded Keys: Mehr als 25.000 übers Internet erreichbare Fortinet-Geräte sind anfällig für passive Lauschangriffe gegen verschlüsselte Verbindungen. Verantwortlich ist fehlender Zufall.

Zwar steckt der Dienst noch in der Betaphase, in der App Engine neu erstellte Domänen werden jedoch zukünftig alle mit SSL-Zertifikat zur verschlüsselten Kommunikation ausgestattet. Außerdem ist die Admin-API fertig.

Wenn es zu Verbindungsfehlern kommt, sucht der Anwender oft die Schuld bei der Gegenstelle, also dem angewählten Server. Doch manchmal funken auch Antiviren-Programm und Firewalls dazwischen. Chrome soll das künftig anzeigen.

Geht es nach den Entwicklern, wird Debian Buster nur noch TLS 1.2 unterstützen. Rechner, die nur TLS 1.0 oder 1.1 beherrschen, könnten dann mit diesen Systemen nicht mehr sicher sprechen. Momentan unterstützen fast alle Webserver nach wie vor TLS 1.0.

Symantec hängt seinen Job als Certificate Authority (CA) an den Nagel. Der Konkurrent DigiCert übernimmt die Sparte für 950 Millionen US-Dollar plus Unternehmensanteilen. Das liegt wohl auch an Symantecs lang währender Auseinandersetzung mit Google.

Kunden des Hosters, die auf Mail- oder Web-Dienste des Anbieters zugreifen wollen, sind in der Klemme: Das Server-Zertifikat ist abgelaufen, sodass Mail-Clients und Web-Browser Verbindungen verweigern.

Die noch für diesen Monat angekündigte Beta-Version von Chrome soll den von StartCom und WoSign ausgestellten Zertifikaten nicht mehr vertrauen.

Im kommenden Jahr will die Zertifizierungsstelle Wildcard-Zertifikate zur Verfügung stellen.

Let's Encrypt ist weiterhin auf Wachstumskurs und hat einen neuen Meilenstein erreicht.

Ein Plug-In für den Texteditor Vim zeigt in Konfigurationsdateien SSL-Cypher-Suiten an, die gefährlich sind. Das kann fatale Fehlkonfigurationen verhindern.

Kunden der Deutschen Bahn können im ICE nun auch wieder mit Paypal bezahlen. Die Bahn hat eine DNS-Fehlkonfiguration behoben, die zuvor zu merkwürdigen Fehlermeldungen geführt hatte.

Am 19. Mai fiel der Zertifizierungsdienst von Let's Encrypt aus. Hintergrund war ein Encoding-Problem, das letztlich zu einem selbstverschuldeten Denial-of-Service führte.

Das kostenlose Funknetz der Bahn verhindert eine gesicherte Verbindung zum Bezahldienstleister PayPal und liefert dabei ein dubioses Zertifikat. Andere HTTPS-Verbindungen sind anscheinend nicht betroffen.

Man-in-the-Middle-Angriffe bei verschiedenen iPhone- und iPad-Anwendungen, darunter auch Online-Banking-Apps, sind laut einem Sicherheits-Experten immer noch möglich – obwohl das Problem seit Monaten bekannt iat.

Eine neue macOS-Malware namens DOK macht derzeit die Runde und gibt vor, ein System-Update zu sein.

Die Kryptobibliothek OpenSSL soll eine moderne Open-Source-Lizenz erhalten und bittet die Entwickler um Zustimmung. Die fühlen sich jedoch überrumpelt und sehen in dem Wechsel nicht nur Vorteile.

Der Firefox-Browser warnt seit einiger Zeit vor Passwortfeldern, deren Inhalte unverschlüsselt an den Server übermittelt werden. Ein Admin will das allerdings nicht hinnehmen – seine Systeme seien sicher, seit über 15 Jahren.

Forscher unter anderem von Google und Mozilla warnen vor den Problemen, die Sicherheitsprodukte verursachen, wenn sie verschlüsselte HTTPS-Verbindungen überwachen. Die Hersteller handelten dabei "fahrlässig".