Security on Damien Dyes Blog https://blogs.damiendye.uk/de/tags/security/ Recent content in Security on Damien Dyes Blog Hugo de-DE Sun, 27 Sep 2026 18:00:00 +0100 DNSSEC: Deinen Verkehr vor Fälschung schützen https://blogs.damiendye.uk/de/dns/dnssec-the-root-is-signed-you-are-not/ Sun, 27 Sep 2026 18:00:00 +0100 https://blogs.damiendye.uk/de/dns/dnssec-the-root-is-signed-you-are-not/ Aus der Live-Root-Zone gezählt: 1.351 von 1.438 TLDs sind signiert, jede einzelne gTLD darunter. Dann hört es auf. 39 von 2.390 aktiven gov.uk-Domains, 1 von 9 Zertifizierungsstellen, und windowsupdate.com hat gar kein DS. Was DNSSEC verhindert, was es wirklich blockiert, und ob wir DNS bis heute nicht verstanden haben. DNS over HTTPS spaziert glatt an deinen Kontrollen vorbei https://blogs.damiendye.uk/de/dns/dns-over-https-walks-past-your-controls/ Thu, 24 Sep 2026 09:00:00 +0100 https://blogs.damiendye.uk/de/dns/dns-over-https-walks-past-your-controls/ DoH schickt deine DNS-Anfrage über Port 443 an einen Resolver nach Wahl des Clients, den dein eigener nie sieht, also kann er nichts blocken oder loggen. Verkauft als Privatsphäre, die DNS over TLS schon 2016 gab. DoH bringt nur das Umgehen des Netzadmins. Mechanismus, Malware, wer ihn pushte, die Gerichte gegen die Resolver, und die Lösung. Deine Firewall nimmt Anweisungen von Fremden entgegen. Schalte die Protokoll-Helper ab. https://blogs.damiendye.uk/de/networking/protocol-helpers-turn-them-off/ Mon, 14 Sep 2026 09:00:00 +0100 https://blogs.damiendye.uk/de/networking/protocol-helpers-turn-them-off/ Ein NAT-Helper liest in deine Pakete hinein und öffnet eingehende Ports nach dem, was er dort findet. Diesen Text kann jeder schreiben — seit 2010 genügt eine Webseite. Wie Helper arbeiten, wie geprägte Pakete daraus einen Portöffnungsdienst machen, was IPsec-Pass-through tut, warum sie Cyber Essentials reißen, und wie man sie abschaltet. Was dein MSP dir gebaut hat, und wer sonst noch drankommt https://blogs.damiendye.uk/de/random/is-your-msp-lying-to-you-part2/ Fri, 28 Aug 2026 17:00:00 +0100 https://blogs.damiendye.uk/de/random/is-your-msp-lying-to-you-part2/ Teil 2 von 3. Cloud für ein Unternehmen, das komplett in einem Gebäude sitzt. Die Firewall-Marke mit den meisten ausgenutzten Lücken auf CISAs Liste. Backups, die nie jemand zurückgespielt hat, Berichte, die dich nie erreichen, ein Agent auf jeder Maschine an einer Konsole, die du nie gesehen hast. Und die Schlüssel dazu. Hintertüren, und wem sie vorgeworfen werden https://blogs.damiendye.uk/de/random/backdoors-and-who-is-accused/ Tue, 25 Aug 2026 07:00:00 +0100 https://blogs.damiendye.uk/de/random/backdoors-and-who-is-accused/ Teil 6 von 8. Einen Anbieter aus Sicherheitsgründen zu sperren braucht einen Maßstab für alle. Eine Schweizer Untersuchung bestätigte: zwei Nachrichtendienste besaßen eine Verschlüsselungsfirma, geschwächte Geräte an 120+ Regierungen. Ein Kryptostandard fiel wegen vermuteter Schwäche. Hardware wird unterwegs abgefangen. Dann 2024. Samba4 und das Sichern von AD-Einträgen mit DNSSEC https://blogs.damiendye.uk/de/dns/samba4-securing-ad-records-with-dnssec/ Mon, 24 Aug 2026 09:00:00 +0100 https://blogs.damiendye.uk/de/dns/samba4-securing-ad-records-with-dnssec/ Jede domänenverbundene Maschine findet ihren DC über einen SRV-Eintrag im DNS, also sind die _msdcs-Locators deine sicherheitskritischsten Einträge. Sie von einem Samba4-DC signieren: BIND mit dlz_bind9, Inline-Signing, ein Hidden Primary, dynamische Updates aus der Locator-Zone heraus, dann Windows- und Linux-Clients zur Prüfung zwingen.