Connect with us

Künstliche Intelligenz

Kritische Entra-ID-Lücke machte alle Tenants global kompromittierbar


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Microsofts Identitäts- und Zugriffsverwaltungsdienst Entra ID war kaputt. Angreifer hätten mit vergleichsweise wenig Aufwand an einer „kritischen“ Sicherheitslücke ansetzen können. Davon waren global alle Entra-ID-Tenants betroffen. Microsoft hat die Schwachstelle im Juli dieses Jahres geschlossen. Nun führt ein Sicherheitsforscher Hintergründe zur Lücke aus.

Durch das erfolgreiche Ausnutzen der Schwachstelle war ein Admin-Zugriff auf beliebige Tenants möglich. Weil weltweit unter anderem große Unternehmen Entra ID nutzen, hätten Attacken weitreichende Folgen haben können.

In einem ausführlichen Beitrag erläutert ein Sicherheitsforscher von Outsidersecurity das Sicherheitsproblem. Er gibt an, die „kritische“ Schwachstelle (CVE-2025-55241) mit Höchstwertung (CVSS Score 10 von 10) im Juli dieses Jahres entdeckt und umgehend an Microsoft gemeldet zu haben. Er schreibt, dass Microsoft die Schwachstelle innerhalb weniger Tage geschlossen hat. Dafür mussten Entra-ID-Tenants nichts tun. Offensichtlich wurde das Problem serverseitig gelöst.

Um die Lücke auszunutzen, mussten Angreifer aber die Tenant-ID und die NetID eines Nutzers kennen. Doch beides lässt sich dem Forscher zufolge mit vergleichsweise wenig Aufwand herausfinden. Dass das keine so große Hürde sein kann, unterstützt auch die kritische Einstufung der Schwachstelle.

Dem Sicherheitsforscher zufolge fußt eine Attacke auf zwei Grundlagen: Der erste Ansatzpunkt ist ein undokumentierter Token zur Identitätsfeststellung mit der Bezeichnung „Actor Token“. Diesen nutzt Microsoft in seinem Backend für Service-to-Service-Kommunikation.

Die zweite Komponente ist die eigentliche Schwachstelle in der Azure AD Graph API (Legacy), die solche Tokens nicht ausreichend überprüft. Demzufolge hätten sich Angreifer damit ausgerüstet als Admin für beliebige Tenants ausgeben können. Der Sicherheitsforscher führt aus, dass diese Tokens aufgrund ihrer Beschaffenheit an allen Sicherheitsrichtlinien vorbeischlüpfen, sodass es keine Gegenmaßnahme gab.

Nach erfolgreichen Attacken hätten Angreifer vollen Zugriff auf Entra-ID-Tenants gehabt. So hätten sie unter anderem persönliche Informationen und BitLocker-Schlüssel einsehen und die volle Kontrolle über Services wie SharePoint Online erlangen können. Erschwerend kommt hinzu, dass ein Angreifer mit einem Actor Token keine Spuren in Logs hinterlässt.

Microsoft gibt an, dass ihnen keine derartigen Attacken bekannt sind. Der Sicherheitsforscher führt in seinem Bericht weitere technische Hintergründe aus. In einer Warnmeldung listet Microsoft weitere Details auf.


(des)



Source link

Künstliche Intelligenz

iOS 26: Diese Features kommen erst später


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Es kommt regelmäßig vor, dass Apple bei der Vorstellung seiner neuen Betriebssysteme im Sommer den Mund etwas voll nimmt: Der Konzern kündigt dann Neuerungen an, die nicht sofort mit dem ersten Release zur Verfügung stehen, sondern noch weitere Monate brauchen. Erkennbar ist das meist an einer Fußnote – oder Apple teilt es gleich bei der Ankündigung mit. Auch bei iOS 26 ist das jetzt wieder so: Gut eine Handvoll erwarteter Features sind noch nicht in der Releaseversion, die am Montag erschienen war, verfügbar.

Seit iOS 18 beherrscht Apples Nachrichten-App erstmals den Rich Communication Services (RCS). Damit kann man iMessage-artig mit Android-Geräten kommunizieren – Google hat über Jahre versucht, Apple zur Teilnahme zu nötigen. Allerdings fehlen noch immer wichtige Features, die erst mit Übernahme des RCS Universal Profile 3.0 auf die Geräte – neben dem iPhone auch iPad und Mac – kommen.

Dazu gehört insbesondere die Ende-zu-Ende-Verschlüsselung, sodass auch Mobilfunkanbieter nicht mehr in die Nachrichten schauen können. Weiterhin ist „echte“ Tapback-Unterstützung (Reaktionen mit Emojis) geplant plus In-Line-Antworten, das Zurückziehen von Nachrichten sowie deren nachträgliches Editieren. Apple hat noch keinen konkreten Zeitplan genannt – zu hoffen ist, dass RCS Universal Profile 3.0 noch bis Ende des Jahres über ein iOS-26-Update auf die Geräte kommt.

Ebenfalls noch nicht am Start ist die schon für iOS 18 angekündigte kontextsensitive Siri, die auch den Bildschirm auslesen und mit Apps interagieren kann. Apple zufolge macht man hier intern ordentlich Dampf, allerdings verliert die KI-Abteilung des Konzerns scheinbar im Wochentakt Mitarbeiter. Wir rechnen damit, dass die bessere Siri bis Frühjahr 2026 erscheint, allerdings dürfte sie noch nicht wirklich LLM-(dialog)basiert sein.

Ebenfalls fehlt noch die Möglichkeit, sich per Satellit Wetterdaten aufs Gerät zu holen. Entsprechender Betacode wurde bereits entdeckt, aber das Feature selbst noch nicht. Es könnte noch einige iOS-26-Releases brauchen. Weiterhin vorgesehen hat Apple die Einführung digitaler Ausweise – zunächst in den Vereinigten Staaten von Amerika. Hier gibt es Verzögerungen, während Führerscheine schon in die Wallet integrierbar sind. Es dürfte auch hier noch einige Releases dauern, auch weil der Hersteller dies mit den US-Behörden abklären muss. Die Hoffnung ist, dass man etwa am Flughafen nur noch ein iPhone braucht, um sich zu identifizieren („Real ID“).


(bsc)



Source link

Weiterlesen

Künstliche Intelligenz

Zahl der Online-Banking-Nutzer steigt | heise online


Immer mehr Menschen in Deutschland erledigen Bankgeschäfte am heimischen Computer oder auf dem Smartphone. Gut zwei Drittel (67 Prozent) der 16- bis 74-Jährigen hierzulande haben im Jahr 2024 Online-Banking genutzt – ein Höchstwert, wie das Statistische Bundesamt mitteilt. Zehn Jahre zuvor habe der Anteil noch bei 49 Prozent gelegen.

Mit dem jüngsten Wert von 67 Prozent liegt Deutschland genau im Schnitt der 27 EU-Staaten. Deutlich digital-affiner sind die Dänen, die zu 98 Prozent Online-Banking nutzen. Auch in den Niederlanden (96 Prozent), Finnland (95 Prozent), Österreich (78 Prozent) und Frankreich (72 Prozent) sind die Werte weitaus höher als hierzulande. In Rumänien (28 Prozent), Bulgarien (31 Prozent) und Griechenland (54 Prozent) hingegen wurden Bankgeschäfte im Jahr 2024 seltener digital abgewickelt.

Mit zunehmendem Alter sinkt in Deutschland der Anteil derjenigen, die den digitalen Zugang zum Bankkonto verwenden: Im vergangenen Jahr wurde Online-Banking am häufigsten in der Altersgruppe der 25- bis 34-Jährigen genutzt (82 Prozent). Bei den 65- bis 74-Jährigen war der Anteil nur noch etwa halb so groß (44 Prozent).

Am 9. Oktober tritt eine EU-weite Regelung in Kraft, die Verbraucherinnen und Verbraucher besser vor betrügerischen oder fehlerhaften Überweisungen schützen soll: Banken müssen dann bei Überweisungen im Euroraum vor der Freigabe prüfen, ob der Name des Zahlungsempfängers und die eingegebene internationale Bankkontonummer IBAN mit den Daten des Zielkontos übereinstimmen. Der Zahlende wird binnen Sekunden über das Ergebnis des Checks informiert und kann auf dieser Basis entscheiden, ob er das Geld transferiert oder nicht. Diese sogenannte Empfängerüberprüfung (Verification of Payee, kurz: VOP) soll insbesondere beim Online-Banking für zusätzliche Sicherheit sorgen.


(mack)



Source link

Weiterlesen

Künstliche Intelligenz

Neuer Wiederherstellungsassistent in macOS 26


Bereits seit Längerem ist bekannt, dass Apple für iPhone und iPad innerhalb von iOS 26 einen sogenannten Recovery Assistant eingebaut hat. Der Wiederherstellungsassistent soll dabei helfen, Startprobleme bei den Geräten zu beheben, ohne dass man zu einem weiteren iPhone oder einem Mac greifen müsste. Mit macOS 26 alias Tahoe gibt es das Feature allerdings auch auf dem Mac, wie aus einem frisch publizierten Supportdokument nach Erscheinen des neuen Betriebssystems hervorgeht.

Die Funktion wird Apple auch in späteren macOS-Versionen anbieten, kündigte der Hersteller an – in macOS 15 steht sie jedoch noch nicht zur Verfügung. Das neue Werkzeug lässt sich zwar händisch aufrufen (über den Ordner Dienstprogramme im Wiederherstellungsmodus, siehe unten), es sollte aber normalerweise automatisch erscheinen. Der Wiederherstellungsassistent taucht immer dann auf, sobald der Mac „ein bestimmtes Verhalten“ zeigt.

Dann startet der Mac neu und man landet im Recovery Assistant. Dieser sucht dann nach möglichen Problemen und versucht „diese zu beheben, wenn sie gefunden werden“, heißt es dann. Eine Internetanbindung ist – wie schon beim iPhone bekannt – notwendig, außerdem ein Administrator-Passwort zur Entsperrung der SSD.

Im Rahmen des Wiederherstellungsprozesses lädt der Recovery Assistant aktuelle Informationen (und möglicherweise andere Software) von Apples Servern herunter. „Wenn der Wiederherstellungsvorgang abgeschlossen ist, meldet der Wiederherstellungsassistent, dass Ihr Gerät erfolgreich wiederhergestellt wurde, dass es nicht wiederhergestellt werden konnte oder dass keine bekannten Probleme gefunden wurden.“ Anschließend wird der Mac neu gestartet.

Zu beachten ist allerdings, dass gegebenenfalls lokal gespeicherte iCloud-Inhalte verloren gehen. Warum das so ist, bleibt unklar. Ist dies der Fall, gibt es in den Systemeinstellungen eine Benachrichtigung und man kann die Daten wiederherstellen. Der Recovery Assistant kann nicht alle Probleme beheben. Unter Umständen muss macOS neu installiert oder die Start-SSD repariert werden. Hierzu gibt es wie gehabt den Wiederherstellungsmodus (Recovery Mode).


(bsc)



Source link

Weiterlesen

Beliebt