CyTRAP Labs - Wincurity - smarter protection

Get postings by e-mail directly to your in-box.

Why not get new postings by e-mail directly to your in-box? Its much more convenient :

CASEScontact.org has reported a vulnerability that could allow a malicious user to take charge of a victim’s computer.

If you want to know what you can do to minimize the risk including a step-by-step guide you can get it from CASEScontact.org including what to do if you use Firefox

• CT110048: CASEScontact.org advisory - Microsoft Internet Explorer - remote code execution vulnerability - NO patch available 2006-04-25

If you just need another browser, use Firefox and download it from here:

• Download latest version of Firefox

If you want a look at previous alerts, you can get an overview right here in the archive of CASEScontact advisories

You can get these alerts delivered directly to your in-box by subscribing at CASEScontact.org

If you already use another browser than the Internet Explorer such as Opera or Firefox, you should be safe for now.

´Postings´werden auf Wunsch auch direkt an ihre Mailbox versandt, eine schnelle und bequeme Loesung fuer Sie.

Your email:  
subscribe unsubscribe  

Diese Story betriff nicht unbedingt Windows. Sicherheit, Datenschutz und Identitaetenklau und der immere groessere Gebrauch von RFID Technologie im taeglichen Leben macht dieses Thema jedoch fuer uns alle sehr wichtig.

Radio Frequency Identification (RFID) ist eine Technologie ueber deren Probleme wir in Sachen Datenschutz schon seit langem informieren wie z.B. hier:

• Dependability, Security and Identity Theft - Goodby RFID, Biometrics and Privacy Unless…
• Ambient Intelligence - Pervasive Computing - Security Issues - RFID
• RFID Tags - Privacy Threat

Das Thema Datenschutz gilt im RFID-Kontext als besonders sensibel. Das Richtlinienpapier der EICAR ist nun ein erster Schritt, Loesungsansätze für die Praxis anzubieten und kann hier eingesehen werden:

• EICAR Task Force on RFID -.Leitfaden: RFID und Datenschutz (Maerz 2006)
  

Für den Normalverbraucher ist das obige Papier eine Fundgrube voll mit Informationen die vom technischen, bis zum rechtlichen Bereich die RFID Technologie abdecken. Vorallem wichtig scheint uns, dass es den Experten gelungen ist in einfacher Sprache die Materie zu erklaeren. Zum Beispiel, auf Seite 5 (aber effektiv in der pdf Datei Seite 6) unten rechts, ist ein einfaches Schema abgebildet welches visuell zeigt wie RFID, auf welchem Gebiete und mit welcher Technologie benutzt wird.

Die Sektion V — Datenschutzrechliche Aspekte (Seite 7, 8 in der pdf Datei) stellt auch einige Richtlinien und rechtliche Aspekte vor. Fuer die Nicht-Experten unter unseren LeserInnen illustrieren diese elegant, dass man als Konsument oder Buerger wenig bis gar nichts gegen den RFID Chip Gebrauch machen kann. Die EICAR Experten weisen aber auch darauf hin, dass der Konsument die Entfernung des Tags beim Kaufe des Produktes an der Kasse verlangen kann oder vielleicht gar sollte.

Heute sind die BuergerInnen aber auch besorgt ueber den Gebrauch von RFID Tags zur Personen-Identifikation. Der moegliche Missbrauch der Technologie kann vielleicht zum Identitätenklau führen. Beispiele dieser Besorgnis finden Sie hier:

• B) Spotlight on Privacy, Security and Identity Cards - UK and France - Vive la Difference - RFID YES but und
• Specifications for U.S. Electronic Passports - Dangers vs. Benefits (if there are any)
• Biometric Pilot - Europe’s Border Checkpoint Using Biometrics -Frankfurt Airport

Es waere sicherlich hilfreich gewesen, wenn die EICAR ExpertInnen auch noch das Problem RFID und Personenidentifikation bei der Grenzkontrolle (e.g., Reisepaesse, EU’s Schengen Abkomment, etc.) diskutiert haetten.

Trotz dieser Bemerkung ist der EICAR ExpertInnenbericht jedoch ein wichtiges Dokument, der es dem Publikum erlaubt sich schnell in dieser Materie schlau zu machen. Ein Lektuere die es zu lesen gilt.

Trends

Wenn Sie Interesse haben auch noch was ueber die Trends und den Gefahren in Sachen RFID Technologie einen Einblick zu erhalten (Hacker Attacken), dann schauen sie doch mal bei diesen 2 Links rein:

• Research that matters - proof of concept - FIRST self-replicating RFID virus
• Research that matters - power analysis of RFID tags - hacking RFID successfully

Postings´werden auf Wunsch auch direkt an ihre Mailbox versandt, eine schnelle und bequeme Loesung fuer Sie.

Your email:  
subscribe unsubscribe  

Eine gekürzte Fassung dieses Tipps erschien in der Online PC Zeitung Nr. 5 - 2006, Seite 10

Dieses Frühjahr will man vielleicht den alten iPod oder PC durch einen neuen ersetzen. Aber nicht jeder ausgediente PC oder altes Handy muss zwangsläufig beim Sondermüll landen Vielmehr empfiehlt es sich, das Gerät wieder- und weiterzuverwerten. Darum muss aus alten Geräten nicht nur Rohstoffe wie Stahl recycelt werden, sondern die Weiterverwertung technisch funktionsfähiger Bauteile inklusive Festplatten ist notwendig.

Sicherheitsvorkehrungen beim Recycling

Kaum ein Nutzer ist sich der Kosten und Gefahren bewusst, die ein ausrangierter Alt-PC mit sich bringen kann. Leider gibt es immer wieder Neugierige, die so entsorgte PCs und Handys auf Daten überprüfen - und fündig werden. Nutzerinnen vergessen auch, dass auch alte iPods wichtige private Informationen gespeichert haben, zu denen nicht einfach jedermann Zugang erhalten sollte.

Egal ob die Gebrauchtgeräte verschenkt oder verkauft werden, Datenschutz ist Sache des Kunden. Er muss dafür sorgen, dass die aufgespielten Daten unwiederbringlich gelöscht werden. Die Kosten für diese Zusatzarbeit sind zwischen sFr. 100 – 150 abhängig von der Methode. Aber wir zeigen Ihnen, dass dies weder einen grossen Zeitaufwand mit sich bringt, noch Ihnen Kosten verursachen muss.

Die einfachste Methode is, wenn die Daten mehrfach überschrieben werden, so dass eine Restauration unmöglich wird. Während einige Experten das dreimalige Überschreiben der Daten mit einem Tool als sicher betrachten, empfiehlt CyTRAP.org/RiskIT Labs ein zehnmaliges Überschreiben als Minimum (z.B. in Deutschland ist siebenmaliges Ueberscrheiben Pflicht, in der Schweiz gibt es keine einheitliche Verordnung).

Je nach Geräteart gibt es verschiedene Software die diese Arbeit für Sie fachgerecht erledigt. Dafür braucht es weniges technisches Verständnis aber umsomehr muss die Arbeit systematisch angegangen werden. Den Ratgeber für die fachgerechte Löschung Ihrer Daten mit Hilfe kostenloser Tools für das ausrangierte Handy, die Festplatte oder den iPod gibt es auf der Webseite:

• CT220018: CASEScontact.org Ratgeber - was tun wenn der alte Computer, iPod, Smartphone & Speicherstift (Memory Stick) ausgewechselt wird, aber Datenschutz & Sicherheit gewaehrleistet werden müssen?

Get postings by e-mail directly to your in-box.

Your email:  
subscribe unsubscribe  

Get your hands on the newsletter read by Europe’s IT security insiders:

• CyTRAP.org/RiskIT — EU IST News (ISSN 1600-1869) 2006/16

This week’s highlights are:

1. Using Google groups - bots may harvest your e-mail address, better be careful when forwarding e-mail
2. CyTRAP.org/RiskIT - compliance and practice - protecting your informtion assets when IM is being used - checklist
3. Network printers — HPJetDirects and Ricoh Savins — can be hacked from the net and they reveal amazing things
4. Tool for tweaking your smarthphone or Blackberry from your PC.

If you want past issues you get them here in the archive of CyTRAP.org/RiskIT ==> EU IST News (ISSN 1600-1869)

You can get the newsletter as well as alerts directly in your in-box by subscribing at CASEScontact.org

Enjoy

´Postings´werden auf Wunsch auch direkt an ihre Mailbox versandt, eine schnelle und bequeme Loesung fuer Sie.

Your email:  
subscribe unsubscribe  

ENGLISH SUMMARY AT BOTTOM.

Aufgrund zahlreicher Nutzerbeschwerden wird Microsoft am kommenden Dienstag einen ausserplanmäßigen Patchday ausrufen.

Warum? Seit dem letzten Patchday welchen wir hier erwähnten:

1) CASEScontact.org advisory - Patch Tuesday - Microsoft security patches - what is in it for you

sind Probleme aufgetreten. Die CASEScontact.org’s Warnung hat erklaert, wie und was mit dem Patch gefixt wurde. Die Warnung erklärt auch wie man den Patch oder andere manuell runterlaedt auch wenn man eine illegale Kopie von Windows XP hat:

2) CT110045: CASEScontact.org advisory - MS Patch Tuesday - April 2006 - Security Bulletins - Microsoft Office, Windows and cumulative Internet Explorer updates 2006-04-11

Leider haben jedoch Anwender gemeldet, dass es z.B. bei der der Share-to-web-Software von Hewlett Packard sowie Treiber-Software von Nvidia Probleme mit dem Windows-Explorer geben wuerde. Die Software funktioniert nach Angaben verschiedener Windows-Nutzer entweder nur eingeschränkt oder gar nicht mehr.Microsoft will mit dem neuen Patch die aufgekommenen Probleme beseitigen, weist aber auch darauf hin, dass ein Update der betroffenen, nicht mehr einwandfrei funktionierenden Software die Missstände ebenfalls beseitige.

Manuell oder automatisch

Dem Blog-Eintrag bei Microsoft ist zu entnehmen, dass derAuto-Update oder über die Windows-Update-Seite dann geliefert wird, wenn die eingebaute Detektion Logik festgestellt hat, dass auf der Maschine Probleme aufgetreten sind. Erst dann wird der MS06-015 mit den Updates geliefert.

Wenn Ihr System also zur Zeit fehlerfrei läuft, kriegen Sie keinen Update. Ansonsten, können sie entweder die neueste Treiber-Software Version etc. schon heute runterladen, damit das Problem behoben wird oder aber den Update am Dienstag von Mittwoch über den Automatic Update erhalten.

Noch Fragen?

Einfach CT110045 anclicken und da wird noch mehr erklaert.

English Summary

Microsoft has decided to have an unscheduled Patch Tuesday on April 25 because various software packages ranging from Hewlette Packard to Nvidia have had trouble with the Windows-Explorer update. CASEScontact.org alerted its subscribers with CT110045 and explained what was to do. If you have had problems with your machine since the last Windows-Explorer update, you can do either:

1. update your software and drivers of the affected program from the software vendor (e.g., Hewlett Packard), or else
2. wait until Tuesday when Windows Update, Microsoft Update, and Automatic Update will, thanks to their detection logic built into them, offer the revised update (which essentially includes the reg key fix) to those customers who either don’t have MS06-015 or are having the problem.

So, if you have no problems right now, you are safe… if not, use either of the two options above.

Ops, if you are using a pirated copy of Windows, check out CASEScontact.org’s CT110045 advisory, it tells you how you can get the update directly from Microsoft without any trouble whatsoever, thanks to Microsoft.