Primäre Domain
Sicherheit
Innerhalb der Facette Primäre Domain bündelt Sicherheit die Berichterstattung nach primärem Themenbereich, sodass Leser einen fokussierten Bereich der Internetinfrastruktur, Governance, Konnektivitätsmärkte oder des digitalen Kapitals verfolgen können. Die Seite führt verwandte Artikel, öffentliche Belege, Institutionen, Unternehmen, Personen, regionale Verflechtungen, operative Abhängigkeiten und Marktkontext zusammen, die sonst über verschiedene Kategorieseiten verstreut wären. Sie erläutert den Themenbereich, die wahrscheinliche Akteursgruppe, den Markt- oder Governance-Kontext und das Quellenmaterial, das Leser beim Vergleich von Signalen heranziehen sollten. Betreiber, Analysten und mit Governance befasste Leser können erkennen, wie derselbe Themenbereich in Ereignissen, Profilen, Marktveränderungen, Belegen aus öffentlichen Quellen, regionalen Abhängigkeiten und langfristigen Infrastrukturentscheidungen immer wieder auftaucht.
Fallakte
Der Antrag blieb signiert. Das Zertifikat durfte sich ändern: RFC 10002 und die Zuständigkeiten in CMC
In einer Zertifikatsausstellung können mehrere richtige Nachweise nebeneinanderliegen, ohne dieselbe Aussage zu treffen. RFC 10002 schützt den ursprünglichen Antrag, lässt Registrierungsstellen Belege und Änderungen in äußeren Schichten ergänzen und überlässt der…
Fallakte
Das Token kam nie ins JavaScript. Der Befehl lief trotzdem: RFC 10017 und die Autorität von Browser-OAuth
Ein Backend for Frontend kann jedes OAuth-Token korrekt im Server verwahren und dennoch einen manipulierten Auftrag aus der legitimen Browser-Origin ausführen. RFC 10017 trennt deshalb zwei Aussagen, die Sicherheitsberichte gern verschmelzen: Ein Geheimnis blieb geschützt; eine…
Fallakte
Zwei Verfahren, aber nur ein prüfbarer Ausfallpfad
RFC 10024 legt die hybride Schlüsselaushandlung für TLS 1.3 präzise fest. Ob Zufall, Prozess, Modul, Terminierung und Änderungsgewalt ebenfalls voneinander getrennt sind, bleibt eine beweispflichtige Betriebsentscheidung.
Fallakte
Die Messung war gültig. Die Berechtigung stand in keinem Hash
RFC 10013 gibt einer gemessenen Komponente eine portable Identität und einen Roh- oder Digestwert im EAT. Ob daraus Vertrauen oder Zugriff folgt, entscheiden weiterhin Messgrenze, Referenz, Prüfrichtlinie und die Ressource selbst.
Fallakte
Echte Anmeldung, falscher Anforderer: RFC 10027 und die Lücke zwischen zwei Geräten
Die Freigabe auf dem Smartphone kann vollständig echt sein: richtige Domain, starke Passkey-Anmeldung, gültige Zustimmung. Trotzdem landet das Token auf einem Gerät des Angreifers. RFC 10027 zeigt, dass Identitätssicherheit und Anforderungssicherheit zwei verschiedene…
Berichte
ARIN lässt nichtmenschliche Servicekonten zu. Der Leitfaden verlangt weiter eine persönliche E-Mail
Ein Automatisierungskonto soll länger leben als eine Schicht, aber nicht länger als seine verantwortliche Organisation. ARIN hat im Juli die technische Sperre gegen nichtmenschliche Servicekonten aufgehoben. Die öffentliche Anleitung beschreibt dagegen weiterhin ausschließlich…
Fallakte
Das Token war an einen Schlüssel gebunden. Die Handlung blieb unbefugt: DPoP und die Autorität einer Senderbindung
DPoP kann verhindern, dass ein kopiertes OAuth-Token zu einer frei übertragbaren Berechtigung wird. Es entscheidet weder, wer den Schlüssel kontrolliert, noch ob Audience und Scope stimmen oder der aktuelle Zustand einer Ressource die verlangte Wirkung zulässt.
Fallakte
Die Signatur war gültig. Der Befehl war es nicht: HTTP Message Signatures und die Autorität der abgedeckten Komponenten
RFC 9421 beweist die semantische Unversehrtheit einer ausdrücklich gewählten Teilmenge. Ob der Schlüsselinhaber diese Operation anordnen durfte, ob ein ausgelassenes Feld ihre Bedeutung änderte und ob die Nachricht bereits verbraucht war, entscheidet weiterhin der Empfänger.
Fallakte
Der Server, der nichts speicherte: SYN Cookies und zustandslose Zulassung
Ein TCP-Server reserviert gewöhnlich schon nach dem ersten Klopfen Speicher, obwohl der Absender noch nicht gezeigt hat, dass er die Antwort erreicht. Ein SYN Cookie dreht diese Reihenfolge um: Der SYN-ACK trägt einen kompakten Beleg, und erst der zurückkehrende dritte Schritt…
Fallakte
Der zweimal installierte Schlüssel: KRACK und die Macht der Wiederholung
In einem Funknetz müssen verlorene Nachrichten wiederholt werden können. Daraus folgt jedoch kein Recht, einen bereits aktiven Schlüssel noch einmal einzusetzen. KRACK legte genau diese übersehene Grenze offen: Das Passwort blieb unbekannt, der ausgehandelte Schlüssel geheim…
Fallakte
Der Fehler, der die Chiffre wählte: POODLE und die verborgene Macht des Rückfalls
Ein fehlgeschlagener TLS-Handshake hätte nur belegen sollen, dass dieser Verbindungsversuch nicht gelang. Kompatibilitätslogik machte daraus eine weiter reichende Behauptung: Der Server brauche ein älteres Protokoll. POODLE zeigte, wie ein Angreifer, der Fehler erzeugen kann…
Fallakte
Der Header, der zum Programm wurde: Shellshock und die Autorität in der Umgebung
Shellshock entstand nicht aus einem exotischen Protokoll, sondern aus der Verkettung zweier vertrauter Schnittstellen. CGI übertrug entfernte Anfragedaten in die Prozessumgebung; Bash konnte einen besonders geformten Umgebungswert als Funktion lesen und danach Befehle ausführen.…
Fallakte
Der Patch war verfügbar. Die verwundbare Instanz war es auch.
SQL Slammer machte im Januar 2003 zwei Wahrheiten gleichzeitig sichtbar: Microsoft hatte den Fehler Monate zuvor korrigiert, und Tausende laufende Systeme verhielten sich weiterhin so, als gäbe es diese Korrektur nicht. Zehn Minuten genügten, um den Unterschied zwischen…
Fallakte
Zwei geänderte Zeilen gegen einen Terabit-Sturm: memcached und die Macht sicherer Defaults
Der entscheidende Patch sah unspektakulär aus: UDP-Port 11211 wurde im Standard zu 0. Einen Tag später musste GitHub 1,35 Tbps abwehren. Zusammen zeigen Codeänderung und Vorfall, warum Sicherheit nicht durch Ankündigungen entsteht, sondern durch tatsächlich laufende…
Fallakte
Die Antwort, die das Rennen gewann: Kaminsky, DNS und die Entropie hinter Vertrauen
Das gefälschte Paket musste keine Autorität beweisen. Es musste nur zu einer offenen Anfrage passen und vor der echten Antwort eintreffen. Die DNS-Krise von 2008 machte aus dieser Annahmeregel ein beliebig erneuerbares Rennen – und trennte die Verteuerung einer Lüge von der…
Fallakte
Die Regel war überall, bevor ihr Preis feststand: Cloudflares WAF-Ausfall von 2019
Cloudflare konnte eine freigegebene Schutzregel binnen Sekunden an den gesamten Edge bringen; ungeprüft blieb, wie viel Rechenarbeit ein einzelner Request der Regel abverlangen durfte – und genau diese Lücke machte Geschwindigkeit zur globalen Vollmacht.
Fallakte
Die Seite mit dem Speicher eines anderen Kunden: Cloudbleeds Grenze am gemeinsamen Edge
Fehlerhaftes HTML löste den Defekt aus, doch die preisgegebenen Bytes konnten einem völlig unbeteiligten Kunden gehören. Cloudbleed trennte das Stoppen neuer Lecks von der Rückholung dessen, was die Grenze bereits überschritten hatte.
Fallakte
Das Zertifikat für die falsche Aufgabe: Flame und die im Zweck verborgene Autorität
Flame musste keinen privaten Microsoft-Root-Schlüssel stehlen. Ein Lizenzierungsweg besaß bereits genug abgeleitete Autorität, um fremde Software als vertrauenswürdig erscheinen zu lassen.
Fallakte
Die Anfrage verschwand, die Arbeit blieb: Was Rapid Reset über Abbruchhoheit lehrt
Der HTTP/2-Angriff Rapid Reset benutzte keine verbotene Nachricht. Er nutzte den Abstand zwischen einem protokollarisch beendeten Stream und der tatsächlich zurückgewonnenen Rechenarbeit. Damit wurde aus einer legitimen Abbruchfunktion ein asymmetrischer Verstärker — und aus der…
Fallakte
Der Patch, der einen Schlüssel nicht stilllegen konnte: Debian OpenSSL und das Nachleben schwacher Zugangsdaten
Die reparierte Bibliothek erzeugte künftig bessere Geheimnisse. Bereits verteilte Schlüssel blieben wirksam, bis jeder Server, Client und Gegenpart seine eigene Ablehnung ausführte.