Künstliche Intelligenz
Windows mit NTLM: Das Ende des Albtraums – vielleicht demnächst
In einem weiteren Blog-Posting verspricht Microsoft, das Sicherheitsproblem NTLM aus der Welt zu schaffen. „Mit der nächsten Version von Windows Server“ soll es dann so weit sein; wann die erscheint, ist jedoch nach wie vor ungewiss. Aktuell ist NTLM zwar deprecated, aber nach wie vor in vielen Windows-Systemen aktiv und Administratoren müssen die davon ausgehenden Gefahren managen.
Weiterlesen nach der Anzeige
Die Sünden der Vergangenheit
NTLM ist ein seit Jahrzehnten veraltetes Authentifizierungsverfahren, dessen Sicherheitsprobleme altbekannt sind und immer noch etwa von Ransomware-Banden ausgenutzt werden, um sich den Zugang zu Konten mit höheren Rechten zu verschaffen. Insbesondere abgefangene NTLMv1-Hashes lassen sich leicht knacken – etwa mit den von Google bereitgestellten Rainbow-Tabellen. Außerdem lassen sich NTLM-Hashes auch für Pass-The-Hash-Attacken nutzen.
Trotzdem zögert Microsoft, das veraltete Protokoll komplett abzuschalten. Zu viele Systeme nutzen das Verfahren noch. Etwa weil sie keine direkte Verbindung zu einem Domain Controller haben, der für eine Kerberos-Authentifizierung nötig wäre. Oder weil es sich um lokale Accounts handelt oder NTLM fest verdrahtet („hard coded“) ist, erklärt Microsoft. Doch in der zweiten Hälfte des Jahres 2026 will man diese kritischen Punkte der Migration weg von NTLM aus der Welt geschafft haben. IAKerb, lokale Key Distribution Center und Updates zentraler Windows-Komponenten sollen es bis dahin richten.

Mit der nächsten großen Windows-Server-Version soll es kommen, das Abschalten von NTLM
(Bild: Quelle: Microsoft)
Das Ende naht
Und dann soll es endlich so weit sein. Mit der nächsten großen Windows-Server-Version und den zugehörigen Windows-Clients will man NTLM standardmäßig deaktivieren, heißt es jetzt bei Microsoft. Ganz aus der Welt ist es damit jedoch weiterhin nicht, beugt man übertriebenen Erwartungen der Security-Community vor. Der NTLM-Code wird immer noch Teil von Windows bleiben und Admins werden das unsichere Protokoll somit reaktivieren können. Wann man diesen letzten Schritt der Ausmusterung von NTLM vollziehen will, dazu lässt sich der Konzern nicht weiter aus.
Wer für die Sicherheit von Windows-Netzen verantwortlich ist, sollte nicht auf dieses ungewisse Ende warten, sondern vielmehr sofort Maßnahmen ergreifen, um die von NTLM ausgehenden Gefahren einzuhegen. Wie das sinnvoll geht, erklärt etwa das heise security Webinar zum Thema Sicherheitslücken in NTLM und Kerberos verstehen und schließen. Denn auch den designierten NTLM-Nachfolger Kerberos plagen Sicherheitsprobleme, die Angreifer etwa beim Kerberoasting gezielt ausnutzen.
Weiterlesen nach der Anzeige
(ju)
Künstliche Intelligenz
Googles neuer Ablauf für Android-Sideloading erfordert Neustart und Wartezeit
Google hat den nächsten Schritt bei der Änderung von Sideloading auf Android-Geräten gemacht und den kommenden Prozess für die Installation von Apps unverifizierter Entwickler außerhalb des Play Stores dargelegt. Neben der gewohnten Aktivierung der Android-Entwickleroptionen wird künftig ein Neustart sowie eine 24-stündige Wartezeit gefordert. Das ist vor allem gegen Scam-Versuche per Telefon gerichtet, bei denen Betrüger die Opfer unter Druck zur Installation von Malware zwingen wollen.
Weiterlesen nach der Anzeige
Bereits im August 2025 hatte Google angekündigt, anonyme Android-Apps zu verbieten. Ab Herbst 2026 dürfen demnach nur noch Anwendungen auf zertifizierten Android-Geräten installiert werden, deren Herausgeber sich zuvor bei Google registriert und die jeweilige Anwendung signiert hat. Nach Bedenken alternativer App-Stores wie F-Droid hatte Google umgehend klargestellt, dass Sideloading auf Android erhalten bleibt. Kurz darauf weichte Google die strikte Registrierungspflicht für App-Entwickler etwas auf und lenkte beim Sideloading von Apps ein wenig ein. Erfahrene Nutzer sollen künftig unverifizierte Apps sideloaden können.
Aufwendigere Sideloading-Erlaubnis
Dass dieses Sideloading unverifizierter Android-Apps aufwendiger wird, hatte sich bereits Anfang dieses Jahres abgezeichnet. Jetzt hat Google den neuen Prozess im eigenen Blog für Android-Entwickler erstmals dargestellt. Für das App-Sideloading von Google-geprüften Entwicklern ändert sich nichts, lediglich bei der Installation von Apps unverifizierter Entwickler. Für Power-User ist dies auch nur einmal notwendig, der neue Ablauf soll das Sideloading insbesondere auf Android-Geräten unerfahrener Anwender erschweren.

Neuer Prozess für das Sideloading von Android-Apps ungeprüfter Entwickler
(Bild: Google)
Nach der gewohnten Aktivierung der Entwickleroptionen in den Systemeinstellungen (siebenmal auf die Build-Nummer tippen) verlangt das System eine Bestätigung, dass keine anderen Personen den Nutzer dazu geführt haben. Daraufhin muss das Gerät neu gestartet werden, sodass sich der Anwender neu anmelden muss. Nach einer einmaligen Wartezeit von 24 Stunden muss erneut per Authentifizierung bestätigt werden, dass diese Einstellung gewünscht ist. Daraufhin kann Sideloading für eine begrenzte Zeit von sieben Tagen oder unbegrenzt aktiviert werden, wobei dies mit weiteren Warnhinweisen begleitet ist.
Gegen Betrugsversuche und Malware
Gerade der Neustart und die Wartezeit sollen Scam-Versuchen entgegenwirken. Denn Betrüger würden potenzielle Opfer etwa per Telefon unter Vorspieglung falscher Tatsachen unter Druck setzen. So wird vor einem kompromittierten Bankkonto gewarnt oder dass ein Familienmitglied verhaftet worden sei. Die Nutzer sollen eine App installieren, um die angeblichen Probleme lösen zu können, die aber nur per Sideloading einsetzbar ist. Dabei handelt es sich oft um Malware, die sensible Informationen wie Zugangsdaten zu Bankkonten abgreift. Die obligatorische Wartezeit von 24 Stunden gibt den Betroffenen Gelegenheit, den angeblichen Problemen selbst auf den Grund zu gehen.
Weiterlesen nach der Anzeige
Google hatte den künftig aufwendigeren Prozess erst letzte Woche angedeutet, als der Android-Chef die Warnungen zu Sideloading und Registrierung als unzureichend bezeichnete. Künftig soll der Schutz von unerfahrenen Nutzern aufwendiger werden. Denn Regierungen weltweit würden Google zunehmend dazu drängen, das Problem bösartiger Apps anzugehen, die sich vornehmlich gegen weniger erfahrene Nutzer richten. Das betrifft vor allem Länder Südostasiens und Lateinamerikas, in denen das Smartphone für viele Anwender der einzige Computer ist, sodass dort alle wichtigen Daten gespeichert sind.
Wohl auch deshalb beginnt Google im September 2026 mit der Einführung der Registrierungspflicht von App-Entwicklern sowie der strikteren Freischaltung von Sideloading in ersten Ländern wie Brasilien, Indonesien, Singapur und Thailand. In Europa wird dies erst 2027 umgesetzt.
Lesen Sie auch
(fds)
Künstliche Intelligenz
iPad Air M4 im Test: Das kann Apples neues Tablet
Im iPad Pro arbeitet bereits der M5-Prozesser, das iPad Air hat dagegen den Vorgänger bekommen. Schon beim letzten Update ist Apple so vorgegangen. Kein nennenswertes Manko: Der M4 steckt in vielen aktuellen Macs wie dem iMac und Mac mini.
Die Größe des Arbeitsspeichers hat erhöht und jetzt arbeitet Apples hauseigener WLAN- und Bluetooth-Chip N1 in den Geräten. Die Mobilfunkversion des Tablets stattet der Hersteller nun mit dem zum Großteil in München entwickelten C1X-Baustein aus.
Der kam bisher nur im iPad Pro M5 sowie iPhone Air zum Einsatz und stellt die Verbindung zum Mobilfunknetz her. Zum Test stand uns ein iPad Air 11 Zoll in der Wi-Fi-Variante (ohne C1X) mit 128 GByte Flash zum Preis von 649 Euro zur Verfügung. Tests zum Mobilfunkmodell werden wir sobald wie möglich an dieser Stelle nachreichen.
Das war die Leseprobe unseres heise-Plus-Artikels „iPad Air M4 im Test: Das kann Apples neues Tablet“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
Künstliche Intelligenz
Probebohrung: Deep Fission will unterirdische Atomkraftwerke bauen
Atomkraftwerke sollen den Energiehunger der Hyperscaler stillen. Eine Reihe von Start-ups in den USA entwickelt kleine, modular aufgebaute Atomkraftwerke, die Strom für Rechenzentren für Künstliche Intelligenz liefern sollen. Das Unternehmen Deep Fission will seine Reaktoren in der Erde versenken.
Weiterlesen nach der Anzeige
Das 2023 gegründete Start-up will Druckwasserreaktoren (Pressurized Water Reactor, PWR) mit einer Leistung von 300 Megawatt bis 1,5 Gigawatt bauen. Diese sollen in Bohrlöchern mit einem Durchmesser von etwa einem Meter installiert werden. Die Bohrlöcher sollen etwa anderthalb bis zwei Kilometer in die Tiefe reichen.
Das Unternehmen hat bereits mit den Vorarbeiten begonnen: Es führt nach eigenen Angaben eine erste Probebohrung in Parsons im US-Bundesstaat Kansas durch. Der Schacht hat demnach einen Durchmesser von etwa 20 Zentimetern und soll rund 1,8 Kilometer tief ins Erdreich vordringen.
Geodaten sammeln
Zweck der Bohraktion ist, „wichtige geologische, hydrologische und thermische Daten“ zu sammeln. Diese sollen in die technische Planung, die Sicherheitsanalyse sowie die Anträge für die Genehmigung des Projekts eingehen. Neben dieser sind zwei weitere Bohrungen geplant.
Die Bohrung sei ein wichtiger Schritt für das Unternehmen, sagte Liz Muller, Chefin und Mitgünderin von Deep Fission. „Sie ist der Übergang vom Konzept zur Umsetzung und demonstriert einen komplett neuen Ansatz in der Atomenergie.“
Die Idee von Deep Fission ist: Befindet sich der Druckwasserreaktor tief unter der Erde, erübrigt sich eine Abschirmung weitgehend oder vollständig. Das soll die Baukosten deutlich senken – sie sollen laut Deep Fission nur etwa 20 bis 30 Prozent derer eines konventionellen Atomkraftwerks betragen.
Weiterlesen nach der Anzeige
Sollte zu einem Unfall kommen, dann soll die Strahlung dort unten bleiben und kann dort eingeschlossen werden. Zudem soll der Reaktor so vor Katastrophen, etwa einem Flugzeugabsturz, Angriffen oder Terrorismus, geschützt sein. Dadurch soll die Stromerzeugung sehr günstig sein: Deep Fission strebt Gestehungskosten von 5 bis 7 US-Cent pro Kilowattstunde an. Dem Unternehmen liegen nach eigenen Angaben bereits Absichtserklärungen für den Bau von Kraftwerken von insgesamt 12,5 Gigawatt vor.
(wpl)
-
Künstliche Intelligenzvor 3 MonatenSchnelles Boot statt Bus und Bahn: Was sich von London und New York lernen lässt
-
Social Mediavor 3 WochenCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Social Mediavor 1 MonatCommunity Management zwischen Reichweite und Verantwortung
-
Künstliche Intelligenzvor 4 Wochen
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
UX/UI & Webdesignvor 2 MonatenEindrucksvolle neue Identity für White Ribbon › PAGE online
-
Künstliche Intelligenzvor 2 MonatenAumovio: neue Displaykonzepte und Zentralrechner mit NXP‑Prozessor
-
Künstliche Intelligenzvor 3 MonatenÜber 220 m³ Fläche: Neuer Satellit von AST SpaceMobile ist noch größer
-
Künstliche Intelligenzvor 2 MonateneHealth: iOS‑App zeigt Störungen in der Telematikinfrastruktur
