Gleich zwei Sicherheitslücken sind in den letzten Tagen bei Google Wallet aufgetaucht. Beide beziehen sich auf die PIN-Eingabe von Wallet und können diese aushebeln. Zum einen handelt es sich um eine Android-App die den aktuellen PIN auslesen kann, bei der anderen Sicherheitslücke kann der PIN sogar neu überschrieben werden.

PIN auslesen

Der Login-PIN für Wallet ist zwar nicht im Klartext auf dem Android-Gerät gespeichert, kann aber dennoch mit Hilfe einer App einfach ausgelesen werden. Alles was es dafür braucht ist ein gerootetes Smartphone (womit diese Lücke schonmal keine großen Kreise ziehen wird) und die entsprechende App. Diese findet durch Brute-Force (also schlichtes austesten der 10.000 möglichen Kombinationen) den PIN heraus und zeigt ihn an.

Google ist über diese Möglichkeit bereits informiert und arbeitet derzeit daran die Lücke zu stopfen. Bis die Lücke gestopft ist, empfiehlt Google einen sicheren Lock-Screen und bietet eine kostenfreie Nummer zum deaktivieren der Google Prepaid-Karte an.

PIN ändern

Viel gefährlicher, und weitaus simpler, ist da schon die Methode den PIN einfach zu ändern. Dazu muss man lediglich über die Android-Einstellungen die User-Daten von Wallet löschen. Startet man die App dann erneut, beginnt der Einrichtungsprozess von vorne und es kann eine neue PIN eingegeben werden – die Verbindung mit dem vorher verwendeten Google-Account funktioniert automatisch, ohne dass nach einem Passwort gefragt wird.

Laut dem Video ist das Prepaid-Konto von Google Wallet nicht an einen Google-Account sondern an das Smartphone gebunden, so dass bei einem Gerätewechsel der Anbieter kontaktiert werden muss. Durch dieses System wird diese Sicherheitslücke erst möglich, denkbar also dass Google dies ändern wird.

Der Europa-Start von Wallet steht zwar noch in den Sternen, aber hoffen wir mal dass Google bis dahin alle Sicherheitslücken geschlossen hat.

[TechCrunch, futurezone]

Google Wallet Sicherheitslücken: PIN auslesen & ändern — GoogleWatchBlog — Wir auf

Google hat gestern nun endlich bestätigt, dass die schwarze Leiste nicht verschwinden wird. Die im November 2011 vorgestellte Google Bar mit einem Drop-Menü erfüllt bei vielen Nutzern nicht die Erwartungen, die Google hatte. Es gibt nun wieder eine schwarze Leiste, die aber dennoch einige Features aus der Google Bar übernommen hat. 

So gibt es etwa die Features aus Google+ wie Benachrichtigungen oder das Teilen von verschiedenen Google Seiten aus auch weiterhin. Zudem ist auch die Suchbox bei den einzelnen Diensten ähnlich groß und an gleicher Position platziert.

Hier ein Vergleich aus den drei GoogleBars. In der Mitte findet man die alte Google Linkbar. Links die Google Bar aus dem November und rechts die gestern Abend angekündigte. Diese wurde vor wenigen Tagen getestet.

In der Ankündigung schreibt Google, dass das neue Design in den kommenden Wochen bei allen Nutzern aktivieren wird. Bei mir selbst ist diese schon auf den englischen Seiten vorhanden. In einem Artikel in der Hilfe geht Google auf die Änderungen ein. Derzeit gibt es diesen nur auf Englisch, so dass der Rollout auf Deutsch wohl noch nicht geplant ist.

Wie findet Ihr das neue Design? Ich persönlich brauche diese eigentlich gar nicht, da ich zum Navigieren zwischen den Diensten entweder Lesezeichen verwende oder die URL direkt eingeben bzw. diese von Chrome sofort vorgeschlagen wird.

Updates bei der Google Bar — GoogleWatchBlog — Wir auf

Nur einen Tag nachdem Chrome 17 stabil wurde, hat Google nun Chrome 18 als Beta veröffentlicht. Diese Version bringt weniger sichtbare Features mit. Bei den meisten Mac und Windows-Nutzern sollte es aber nun die Hardwarebeschleunigung geben.

Dazu hat Google wohl einige Änderungen vorgenommen und es geschafft auch ältere GPUs zum Rendern von großen Grafiken zu verwenden. Über chrome://gpu kann man sich ansehen, welche Bereiche beschleunigt werden. Google ruft die Nutzer der Beta dazu auf Performance Probleme zu melden.

Weiterhin hat Google auch 2D Canvas ausgebaut. Mit einer Technik von TransGaming gibt es die Hardwarebeschleunigung auch auf Windows XP. Das Tool  SwiftShader wird automatisch aktiv, wenn der Nutzer eine GPU verwendet, die von Chrome nicht unterstützt wird oder es keine Treiber dafür mehr gibt.

Weitere Änderungen in dieser Version: Bei den Chrome Flags kamen einige Experimente hinzu und andere wurden umbenannt. Better session restore soll eine bessere Wiederherstellung der Sitzung ermöglichen, wobei hier dann auch Session-Cookies erhalten bleiben sollen. Enable Tab Browser Dragging zeigt beim herausdraggen eines Tabs ein richtiges Fenster an.

Gamepad aktivieren schafft den Zugriff auf ein eventuell vorhandenes Gamepad für Apps. Aggressive history URL scoring soll das Ranking in den Vorschlägen aggressiver machen. Außerdem gibt es ein optionales Design für die Einstellungen.

Chrome 18 steht als Beta für Windows, Linux und Mac zum Download bereit. Die finale Version dürfte ungefähr in 6 Wochen folgen. Weitere Details im Chromium Blog.

Google Chrome 18 bringt GPU-Beschleunigung für älter GPUs — GoogleWatchBlog — Wir auf

Einer der schlimmsten Produktnamen von Google im deutschsprachigen Raum verabschiedet sich: Ab sofort heißt “Google Text & Tabellen” auch hierzulande schlicht “Google Docs“. Als Grund nennt Google, dass das Office-Tool mittlerweile sehr viel mehr als eben nur Texte & Tabellen bietet. Die englische Version hat ihren Zusatz “& Spreadsheets” schon 2008 aus dem Namen gestrichen.

» Ankündigung im Produkt-Blog

Aus Google Text & Tabellen wird Google Docs — GoogleWatchBlog — Wir auf

Google hat nun eine neue Version seines Browsers im Stable Channel veröffentlicht. Die Beta von Chrome 17 wurde seit einigen Wochen getestet. Chrome 17.0.963.46 bringt einige neuen Features mit.

Schon seit einigen Versionen gibt es das sogenannte Prerendering. Ein Webmaster kann mittels einer Zeile in seiner Webseite auslösen, dass eine Webseite vollständig im Hintergrund geladen werden kann. Im Gegensatz zum Prefetching des Firefox wird die Webseite (fast) komplett korrekt dargestellt. Im Idealfall ist die Webseite schon fertig bevor der Nutzer die andere Seite aufruft.

Google setzt es etwa bei der Google Suche ein. Mit Chrome 17 kommt Prerendering aus der Omnibox hinzu. Eine Webseite, die man möglicherweise aufrufen könnte, wird komplett im Hintergrund geladen. Die meisten Vorschläge stammen dabei aus dem Verlauf und sind somit schon einmal besucht worden.

Wer das nicht möchte, kann es derzeit über die chrome://flags diese Funktion abschalten. Dazu muss bei Vorab aus Omnibox rendern im Dropdown-Menü “deaktiviert” auswählen.

Als weiteres Sicherheitsfeature analysiert Chrome nun auch exe und msi-Files auf Schadprogramme. Sollte Google Malware finden, dann wird eine Warnung angezeigt. Die Technik basiert auf der Technologie der SafeBrowsing API und diese soll die Internetnutzer vor gefährlichen Webseiten schützen. Noch ist diese Technik aber nicht ausgereift. Auch in Zukunft muss der Anwender aber selbst mit einem Virenscanner im Zweifel noch einmal schauen, ob es wirklich keine Schadprogramme gibt.

Weiterhin gibt es für Entwickler einige neue APIs. Das Update schließt wieder einige Sicherheitslücken. Eine Liste gibt es hier.

Google Chrome 17 lädt Webseite dank Prerendering noch schneller — GoogleWatchBlog — Wir auf

Für Nutzer eines Smartphones oder Tablets mit Android 4.0 gibt es seit wenigen Minuten eine erste Beta veröffentlicht. Damit gibt es nun auf Android gleich zwei Browser, die von Google stammen, da schließlich auch der Default-Browser von Google entwickelt wurde. 

Google Chrome für Android ist eine erste Beta-Version und wird laut Ankündigung nur in einigen Ländern sowie für einige Geräte angeboten. Den Browser habe ich soeben auf meinem Handy (Galaxy Nexus) installiert und bin vom ersten Eindruck her extrem zufrieden. Der seit Android 3.0 integrierte Sync der Lesezeichen funktioniert nur teilweise gut. Das ist in Chrome für Android deutlich besser.

So fragt die App nach der Passphrase, wenn der Nutzer eine festgelegt hat. Chrome für Android steht für ähnliches wie auch die Desktop-Version: Einfachheit und Geschwindigkeit. Von der Bedingung her ist er etwas anders als der Default-Browser aufgebaut aber dennoch findet ich das Konzept sehr gut. Viele Features, die man regelmäßig braucht, sind besser reichbar. So schließt sich der Browser auch nicht, wenn man das letzte Tab schließt, wie es im Standardbrowser der Fall ist.

So schaut Chrome für Android aus. Über das Menü oben rechts erreicht man die Einstellungen, kann neue Tabs öffnen, auch Inkognito-Tabs sind möglicht. Chrome Sync ist teilweise integriert. Es werden die Lesezeichen, der Verlauf sowie andere Einstellungen abgeglichen.

Weiterhin kann man auf die Sitzung des Rechners zugreifen und mit Chrome to Mobile soll man mit nur einem Klick hinhalte auf das Handy schicken können. Also in etwa das, was Chrome to Phone macht.

Weitere Screenshots und Details gibt es in der Ankündigung. Chrome steht als Beta für Android 4 zum Download bereit. Es ist übrigens ein Chrome 16.0.912.7 und steht auch komplett auf Deutsch zur Verfügung.

Google Chrome für Android als Beta — GoogleWatchBlog — Wir auf

In einer der kommenden Versionen von Google Chrome wird sich ein Sicherheitsfeature ändern. Es wird keine Abfrage mehr erfolgen, ob ein SSL-Zertifikat noch gültig ist. Stattdessen soll auf eine lokale Liste zurückgegriffen werden. 

Die Sache hat zwei Gründe: Mit Online Certificate Status Protocol (OCSP) kann der Browser abfragen, ob ein Zertifikat widerrufen wurde. Da die Server nicht immer schnell genug antworten, lassen die meisten Browsern das Zertifikat zu, wenn das Timeout überschritten wurde. Ein Angreifer kann diese Abfragen zudem unterdrücken und könnte somit eine SSL-Verbindung manipulieren.

Weiterhin verbraucht die Abfrage Zeit, auf die Google gerne verzichten möchte und nur noch auf die andere Methode zur Überprüfung der Gültigkeit zurückgreifen: Certificate Revocation Lists (CRLs). Diese Liste enthalten die widerrufenen Zertifikate der ausgebenden Stellen. Diese sind schon heute in den Browsern integriert. Nach den Einbrüchen bei einige Zertifikat-Anbietern im letzten Jahr wurden die Root CAs bei den meisten Herstellern per Browser-Update.

Google ruft nun die Herausgeber von Zertifikaten vorab solche Listen anzubieten. Für den Nutzer bedeutet, dass dann wohl öfters Updates, wobei Chrome diese ja sowieso schon immer einspielt, ohne dass der Nutzer Hand anlegen muss. Erst wenn Chrome circa 12-24 Stunden nach dem Downloaden und der Installation des Updates nicht neugestartet wurde, gibt es über den Schraubenschlüssel einen Hinweis dazu.

Weitere Details gibt es im Posting des Googlers Adam Langley.

Google möchte Online-Check der SSL-Zertifikate abschaffen — GoogleWatchBlog — Wir auf

Google testet derzeit mal wieder ein kleines Update an der Bildersuche. Der aktuelle Test soll die Suche nach ähnlichen Bildern erleichtern, und zeigt zu diesem Zweck eine Vorschau auf andere Suchanfragen an. Bisher wird an dieser Stelle einfach nur eine Liste mit vorgeschlagenen Suchen angezeigt.


Normalerweise zeigt die Bildersuche zwischen der Suchbox und den Ergebnissen eine Reihen von Vorschlägen für eine genauere oder ähnliche Suchanfrage an. Diese Vorschläge sind in dem Test immer noch vorhanden, enthalten allerdings auch ein kleines Vorschaubild. Fährt man mit der Maus darüber, bekommt man die ersten 3 Suchergebnisse in einem kleinen Fenster präsentiert.

Ich kann das ganze zur Zeit nicht reproduzieren und es gibt aktuell auch keinen Cookie mit dem ihr das selbst testen könntet. Meiner Meinung nach aber eine gelungene Idee welche die Bildersuche mal wieder um ein Stück besser macht.

[Google OS]

Google Bildersuche: Design-Test zeigt Suchvorschläge als Thumbnails — GoogleWatchBlog — Wir auf