Passwort - der Podcast von heise security

Die Hosts haben wieder einen bunten Strauß an Sicherheitsproblemen im Gepäck. Diesmal geht es um einen iOS-Jailbreak, der sogar Updates und den Lockdown-Modus überlebt und um eine Linux-TCP-Lücke, die sich zur Remote Code Execution ausbauen lässt. Außerdem erzählen die Hosts, wie eine präparierte Mailadresse Angreifern Zugriff auf die GNU-Infrastruktur verschafft hat. Richtig teuer wurde es bei Binance: Dort haben Angreifer Kryptowährungen im Milliardenwert erbeutet. Und wer dachte, der Kühlschrank sei ein eher harmloses Haushaltsgerät, wird nach den jüngsten Angriffen auf Supermärkte vielleicht anders darüber denken. Dazu gibt es ein Android-Botnetz mit 1,3 Millionen infizierten Geräten und ein paar kurze Neuigkeiten...

Die Podcasthosts kollabieren unter der Flut an IT-Security-Meldungen. Trotzdem – oder deswegen – haben sie es geschafft eine extralange Folge zusammenzustellen, die neben den obligatorischen Themen php2shell und eMudhras Zertifikaten noch diverse weitere Themen abdeckt, von den beerdigten Schaltsekunden bis zu kompromittieren Hardware-Wallets für Kryptowährungen – mal eine andere Art von Supply-Chain-Angriff.

Neue News mit alten Bekannten: Nicht nur die Firmen sind altgedienten Podcasthörern und -hosts sattsam bekannt, viele der heute diskutierten Sicherheitslücken sind auch gut abgehangen. Aber leider tauchen sie immer wieder auf und werden von Cyberkriminellen flugs ausgenutzt. In der heutigen Folge geht es aber zunächst um echte Neuigkeiten rund ums PKI-Ökosystem. Da bahnen sich einige Veränderungen an und ein Netz-Riese möchte gern mitmischen. Außerdem warnt Christopher Admins vor den Tücken organisationsvalidierter Zertifikate.
Sylvester erzählt, dass OpenAIs coram publico vorgetragene "Neuentdeckung" selbstreplizierender Prompt Injection eigentlich gar keine sei - das US-Unternehmen wollte wohl mal wieder die Alarmismusglocke rühren. Und dann...

Im Podcast gibt es einen Kessel voll hörenswerter Bugs und Lücken. Solche, die clever sind, aber leicht vermeidbar wären. Solche, die längst bekannt sind und trotzdem noch Probleme bereiten. Bugs, die technisch interessant sind, aber dem Urheber peinlich sein sollten. Wobei diese Kategorien sich durchaus überlappen. Außerdem wurden die Hosts auf eine interessante Alternative zu BGP gestupst und sie sprechen einen TLS-Handshake ein – das gibt’s wohl nur im Passwort- Podcast.