Alle Episoden

Die Hosts wühlen sich weiter durch Feedback und mehr News, als eigentlich in eine Folge passen. Der Podcast nähert sich daher unermüdlich den Director’s Cuts epischer Filme an – zumindest in seiner Länge. Ein Hauptgrund dafür ist die Zertifizierungsstelle Microsoft PKI Services, bei der sich tiefe Abgründe auftun. Christopher und Sylvester reden aber auch über diverse andere aktuelle Themen in- und außerhalb der PKI, etwa lehrreiche Sicherheitslücken in Coredump-Handlern und die interessante DoS-Schwachstelle MadeYouReset.

- Merklemap-Kritik an Static CT:
https://www.merklemap.com/documentation/static-ct
- Bugreports zu Microsofts Zertifikatsnichtwiderrufen:
https://bugzilla.mozilla.org/show_bug.cgi?id=1962829 und
https://bugzilla.mozilla.org/show_bug.cgi?id=1965612
- Technische Details zu coredump-Lücken von Qualys:
https://www.qualys.com/2025/05/29/apport-coredump/apport-coredump.txt

- Erklärung von Oracle...

Christopher und Sylvester sind aus dem Urlaub zurück, haben direkt mehr
Themen als in einen Passwort-Podcast passen und teilen deshalb auf: In
dieser Folge geht es um eine großangelegte Studie, der zufolge viele
übliche Anti-Phishing-Maßnahmen kaum oder gar nicht helfen. Außerdem
grübeln die beiden über das Tempo, mit dem Let’s Encrypt seine alten
CT-Logs abschalten will, und verzweifeln an Microsoft. Die Firma aus
Redmond ist mit gleich zwei Geschichten im Podcast vertreten, die nicht
nur von Sicherheitslücken und (zweifelhaften) technischen Lösungen
handeln, sondern auch totale Kommunikationsdesaster skizzieren.

- Phrack Ausgabe 72: https://phrack.org/issues/72/1
- Phising-Studie: https://arianamirian.com/docs/ieee-25.pdf
- Slide-Deck der Phishing-Studie: https://i.blackhat.com/BH-USA-25/Presentations/US-25-Dameff-Pwning-Phishing-Training-Through-Scientific-Lure-Crafting-Wednesday.pdf...

Angriffe, die Fehler in sogenannten Smart Contacts auf einer Blockchain ausnutzen, gibt es immer noch am laufenden Band. Aber ein Angreifer, der direkt Tausende von Contracts unterwandert, dabei technisch durchaus interessante Tricks nutzt und dann entdeckt wird, bevor er zuschlägt? Da kann Sylvester nicht widerstehen – und weil Christopher im Urlaub ist, kann ihn auch niemand aufhalten. Zusammen mit seinem Kollegen Jan Mahn schaut er sich an, was diesmal passiert ist. Weil das nicht so trivial ist, nutzen die beiden die Gelegenheit, auch mal grundsätzlich über Smart Contracts zu reden, welche Sicherheitsvorteile solche Systeme bieten können und wie es damit...

Das Domain Name System - kurz DNS - ist einer der Grundpfeiler des modernen Internet. Umso wichtiger, dass es zuverlässige und unfälschbare Informationen liefert. Dabei hilft DNSSEC - die DNS Security Extensions. Was das ist, was es kann, wie man es aktiviert und was man davon hat, erklärt den Hosts in dieser Folge ein Gast: DNSSEC-Experte Peter Thomassen arbeitet seit Jahren an vorderster Front bei verschiedenen Gremien mit und entwickelt die Sicherhetismerkmale von DNS weiter. Er kümmert sich besonders um Automatisierung - ein Thema, bei dem DNSSEC anderen großen Ökosystemen wie dem CA-Kosmos noch hinterherhinkt.

- https://desec.io/
- Malware in...

Der (Alb-)Traum vieler Hörer – eine Folge Passwort nur mit News zu Zertifikatsinfrastrukturen. Es gibt aber auch viel Neues zu berichten: von Zertifizierungsstellen, die interessante neue Lösungen bauen, über Zertifizierungsstellen, die Fehler in komischen alten Lösungen machen, und Zertifizierungsstellen, die Dinge einfach anders machen wollen als die Browser, bis zu Zertifizierungsstellen, die in Telefonen stecken. Das klingt nicht nur komisch, sondern auch unsicher, weshalb Christopher und Sylvester es sich genauer angesehen haben.

- The CRA and what it means for us (Greg Kroah-Hartman):
https://www.youtube.com/watch?v=u44eMQpGlxA
- Security: Wie sich der Cyber Resilience Act auf Open-Source-Projekte
auswirkt: https://heise.de/-10450910
- Yealink-Artikel von DNIP:...

Stammhörer, seid stark: Dieses Mal gibt es keine Neuigkeiten rund um die WebPKI. Dafür sprechen Christopher und Sylvester über das angebliche 16-Milliarden-Zugangsdaten-Leck und wie es zum Großereignis überhöht wurde. Außerdem geht es um eine Sicherheitslücke im Linux-Kernel - oder doch woanders? Darüber sind sich die Kernelentwickler und die Distribution Ubuntu uneins und trugen diesen Streit via CVE-Kennungen aus. Außerdem erzählt Christopher über seine Eindrücke zum Sicherheitslücken-Ökosystem und wie es einzelne Verwalter von Opensource-Software überlastet. Und zum Schluß wirft eine Bluetooth-Sicherheitslücke ein Schlaglicht auf eine Industrie, in der die Zulieferkette so unübersichtlich geworden ist, dass man unmöglich sagen kann, welche Geräte...

Meta und Yandex sind bei Trackingmethoden erwischt
worden, die weit über das Übliche hinausgehen. Christopher und
Sylvester sehen sich die Publikation "Local Mess" an. Darin
dokumentieren Forscher Tracking-Tricks dieser Firmen, die den
Nutzerwünschen explizit zuwiderlaufen, Securitymaßnahmen untergraben
und Kommunikation verschleiern. Die Hosts haben Mühe, noch einen
Unterschied zum Vorgehen typischer Malware zu sehen.

- Publikation "Local Mess": https://localmess.github.io
- Ars Technica zu LocalMess:
https://arstechnica.com/security/2025/06/meta-and-yandex-are-de-anonymizing-android-users-web-browsing-identifiers/
- Pläne zu "Local Networt Access": https://github.com/explainers-by-googlers/local-network-access

Mitglieder unserer Security Community auf heise security PRO hören
alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

In dieser Folge gibt es ein längeres Gespräch zu einer eigentlich recht marginalen Neuerung im WebPKI-Ökosystem. Auf Drängen von Chrome bauen CAs ein Feature aus TLS-Zertifikaten aus, das einige wenige Serverbetreiber nutzten. Ist es statthaft, die Marktmacht derart zu nutzen - und ist die Begründung sinnvoll? Das diskutieren Sylvester und Christopher ausgiebig. Außerdem hat Sylvester ein kleines, nützliches Werkzeug für Tor-Nutzer namens Oniux gefunden und erzählt anhand eines kleinen Fehlers im Ankündigungsartikel des Tor Project, welche Auswirkungen es haben kann, wenn eine .onion-URL irrtümlich bei einem DNS-Server landet. Außerdem befassen die Hosts sich mit den "Busts" gegen Cybercrime-Strukturen, die Malware-Loader...

Quantencomputer bedrohen die ganze Kryptografie… die ganze? Nein! Sylvester lässt sich von seinen Kolleg:innen Dr. Sabrina Patsch und Wilhelm Drehling erklären, welche Algorithmen Quantencomputer tatsächlich bedrohen und wofür sie kein Problem darstellen. Die drei erörtern auch, wie weit real existierende Maschinen von diesen Fähigkeiten noch entfernt sind, warum man sich dennoch bereits Sorgen macht und welche – oft gar nicht so neuen – Verfahren vor Quantencomputern schützen.

- Übersichtsseite zum PQC-Standardisierungsprojekt des NIST
https://www.nist.gov/pqcrypto
- Weiterführender Artikel zum aktuellen Stand der Entwicklung von
Quantencomputern
https://heise.de/-10349382
- Weiterführender Artikel zu Kryptoagilität und Post-Quanten-
Kryptografie
https://heise.de/-10337485
- Cloudflares Zufallsgeneratoren
https://blog.cloudflare.com/chaos-in-cloudflare-lisbon-office-securing-the-internet-with-wave-motion/
- Das...

"Zumindest wird es nicht langweilig", könnte das April-Fazit aus IT-Security-Sicht lauten. Und den beiden "Passwort"-Hosts fällt es erneut leicht, spannende Sicherheitsgeschichten zu erzählen. Unter anderem geht es um eine neue Form der Supply-Chain-Attacke, die KI-Halluzinationen von Softwarebibliotheken ausnutzt. Aber auch eine trickreiche Umgehung der USB-Sperre von Mobilgeräten stellt Co-Host Christopher vor - und Sylvester ärgert sich über unvollständige Sicherheitsflicken beim Security-Appliance-Hersteller Fortinet. Einig sind sich beide allerdings wieder bei ihrem Dauerbrenner: Eine nun beschlossene Änderung in der WebPKI findet beider Beifall.

- ChoiceJacking-Vortrag auf der BlackHat:
https://i.blackhat.com/Asia-25/Asia-25-Draschbacher-Watch-Your-Phone.pdf

- Offener Brief der EFF in der Causa Krebs: https://www.eff.org/press/releases/eff-leads-prominent-security-experts-urging-trump-administration-leave-chris-krebs

- ckus (In-)Security...