security

Stefan Pfeiffer schreibt in »1,28 Milliarden Euro für Microsoft-Lizenzen, 19 Millionen für Zendis« auf seinem Blog Besagtes Beamten-Mikado, erfolgreiche Lobby-Arbeit von Microsoft quer über die Parteien in Kombination mit Trägheit und Unvermögen kennzeichnen die Situation im deutschen Schilda bestens. Statt unabhängiger zu werden, begibt man sich in eine immer größer werdende Abhängigkeit. Die deutsche Verwaltung trägt kräftig dazu bei, dass Microsoft zum wertvollsten Unternehmen geworden ist. Es ändert sich scheinbar nichts und das Thema ist schon so alt, dass ich eigentlich keine Lust mehr habe, darüber zu schreiben. Es frustriert nur und eigentlich müsste ich meine Beiträge zum Thema einstellen. Seit mindestens 2010 – wenn nicht sogar länger – schreibe ich als Kind der Generation Windows zum Thema. ...

William Brown, ein Entwickler bei Suse Lab, beleuchtet in seinem Artikel “Passkeys: A Shattered Dream” die Einführung von Passkeys als vielversprechende Lösung für Endnutzer. Allerdings werden im Text diverse Probleme und Einschränkungen aufgezeigt, die ihre praktische Anwendung erschweren. Dazu zählen Beschränkungen bei der Speicherkapazität von Sicherheitsschlüsseln, Inkompatibilitäten mit verschiedenen Plattformen und Browsern sowie die Einflussnahme großer Unternehmen wie Google und Apple auf die Entwicklung. Diese Herausforderungen könnten dazu führen, dass Passkeys keine breite Akzeptanz finden. Brown empfiehlt daher Alternativen wie Passwortmanager oder sogar die Rückkehr zu Passwörtern. Zusätzlich diskutiert er die Möglichkeit der Nutzung von Gerätezertifikaten und Smartcards als Alternativen, insbesondere für Unternehmen.

Florian v. Samson schreibt in »Nach XZ-Backdoor: Open-Source-Software als Risiko oder strategischer Vorteil?« für heise.de Es stellt sich daher die Frage, wie viele solcher Unterwanderungen in Firmen und FLOSS-Projekten bereits erfolgreich waren und wie viele Schwachstellen dadurch eingebaut wurden und ausnutzbar sind. Insofern sollte dieser Vorfall ein Anlass für alle sein, die an Softwareentwicklungsprojekten beteiligt sind, über solche Möglichkeiten zu reflektieren und Maßnahmen umzusetzen, solche Risiken zu minimieren. Dazu gehören sowohl eine erhöhte Sensibilität gegenüber Social Engineering als auch technische Maßnahmen. ...

Der kürzliche versuchte Backdoor-Angriff auf XZ Utils (CVE-2024-3094) könnte kein Einzelfall sein, wie ein ähnlicher Übernahmeversuch der OpenJS Foundation zeigt. Sie rufen Open-Source-Maintainer dazu auf, wachsam zu sein und sich gegen Social Engineering-Übernahmeversuche zu schützen. Verdächtige Muster wie aggressive Anfragen von Unbekannten und undurchsichtige PRs sollten alarmieren. Empfohlene Sicherheitsmaßnahmen umfassen starke Authentifizierung, Sicherheitsrichtlinien und regelmäßige Überprüfungen von Maintainer-Zugriffen. Zudem wird eine verstärkte Unterstützung von Open-Source-Projekten durch öffentliche und private Organisationen wie die Linux Foundation und das Sovereign Tech Fund gefordert, um die Sicherheit und Stabilität der Open-Source-Infrastruktur zu gewährleisten.

Adriana Groh schreibt in »xz-Vorfall: Anzeichen einer strukturellen Herausforderung« für sovereigntechfund.de Grundlegende Komponenten werden von sehr vielen Unternehmen und Organisationen eingebaut und genutzt, ohne dass diese deren Pflege sicherstellen. Wir sehen hierin eine Aufgabe von öffentlichem Interesse, weswegen diese langfristig nicht alleine in der Verantwortung von Ehrenamtlichen und auch nicht alleine in der des privatwirtschaftlichen Sektors liegen sollte. Die Relevanz dieser Aufgabe muss in der Breite der Gesellschaft anerkannt und ihr die dementsprechende Priorität eingeräumt werden. ...