RUBcast-Portal

Ste­fan Esser / Ben Fuhr­man­nek, Sek­tionEins GmbH

Si­cher­heits­pro­ble­me in Web­ap­pli­ka­ti­on fern­ab der üb­li­chen In­jek­ti­ons­ver­wund­bar­kei­ten

Ste­fan Esser be­schäf­tigt sich seit 14 Jah­ren mit dem Thema Si­cher­heit und kon­zen­trier­te sich die letz­ten 10 Jahre vor­nehm­lich auf das Thema PHP und Web-Ap­pli­ka­ti­ons­si­cher­heit. Im Jahr 2007 grün­de­te er die Sek­tionEins GmbH mit, die sich haupt­säch­lich mit der Si­cher­heit von Web-Ap­pli­ka­tio­nen be­schäf­tigt.

Ben Fuhr­man­nek hat zu­nächst ei­ni­ge Jahre als Ent­wick­ler ge­ar­bei­tet. Er spricht Pro­gram­mier­spra­chen von denen an­de­re nicht­mal wis­sen, dass sie exis­tie­ren. Als Freund aus­ge­fal­le­ner Pro­ble­me be­schäf­tigt er sich seit vie­len Jah­ren en­thu­si­as­tisch mit der Si­cher­heit von Soft­ware. Seit 2009 ar­bei­tet er für die Sek­tionEins GmbH als Be­ra­ter.

Neue Si­cher­heits­pro­ble­me in Web-Ap­pli­ka­tio­nen wer­den tag­täg­lich auf­ge­deckt. In der Regel han­delt es sich dabei um Stan­dard­pro­ble­me wie In­jek­ti­on­ver­wund­bar­kei­ten oder aber die An­fäl­lig­keit für CSRF. Zwi­schen all die­sen Pro­ble­men schlum­mern je­doch meist noch viel ge­fähr­li­che­re Si­cher­heits­lü­cken in Ap­pli­ka­tio­nen die auf lo­gi­schen Feh­lern, schlech­ten Zu­falls­zah­len, schwa­cher Ver­schlüs­se­lung oder un­über­leg­ten Si­cher­heits­fi­xes be­ru­hen. In die­sem Vor­trag wer­den ei­ni­ge sol­cher Lü­cken die im letz­ten Jahr in be­kann­ten (und we­ni­ger be­kann­ten) Ap­pli­ka­tio­nen auf­ge­deckt wur­den, ex­em­pla­risch vor­ge­stellt. Der Lehrstuhl für Netz- und Datensicherheit von Prof. Dr. Schwenk bietet daher seit dem WiSe 09/10 ein Praktikum zur Hackertechnik an. Weitere Informationen lassen sich auf folgenden Webseiten finden:

http://www.nds.rub.de/chair/lectures/439/

Bei Fragen oder Anregungen wenden Sie sich bitte an Dominik Birk:
dominik.birk@rub.de

Se­bas­ti­an Schin­zel ist seit mehr als sie­ben Jah­ren Ent­wick­ler und Si­cher­heits­be­ra­ter. Sein Fokus liegt auf Si­cher­heits­un­ter­su­chun­gen und si­che­rer Soft­ware­ent­wick­lung von Ge­schäfts­an­wen­dun­gen. Bei Vir­tu­al Forge führt er Si­cher­heits­un­ter­su­chun­gen von SAP-Ge­schäfts­an­wen­dun­gen durch, berät SAP-Kun­den zu si­che­rer Soft­ware­ent­wick­lung und ist Co-Au­tor des Bu­ches "Si­che­re AB­AP-Pro­gram­mie­rung" (SAP-Press 2009). Wei­ter­hin forscht er an der Uni­ver­si­ty Er­lan­gen zum Thema Sei­ten­ka­nal­an­grif­fe im Web. Sei­ten­ka­nal­schwach­stel­len er­lau­ben es An­grei­fern an­hand des Ver­hal­tens einer an­fäl­li­gen An­wen­dung auf sen­si­ble In­for­ma­tio­nen zu schlie­ßen. So kann der An­grei­fer an­hand klei­ner Un­ter­schie­de in der Ser­ver-Re­s­pon­se Rück­schlüs­se auf sen­si­ble In­for­ma­tio­nen zie­hen (Sto­r­a­ge-Sei­ten­ka­nal). In einem wei­te­ren Sze­na­rio kann der An­grei­fer bei­spiels­wei­se an­hand der Ant­worts­zeit der Web-An­wen­dung auf die Exis­tenz ein­zel­ner Da­ten­sät­ze oder sogar auf die An­zahl der vor­han­den In­for­ma­tio­nen schlie­ßen (Ti­ming-Sei­ten­ka­nal). In die­ser Prä­sen­ta­ti­on stel­le ich meine bis­he­ri­gen Er­geb­nis­se zur Er­for­schung von Sei­ten­ka­nal­schwach­stel­len in netz­werk­ba­sier­ten Soft­ware­an­wen­dun­gen vor und gebe einen Aus­blick auf die künf­ti­gen Her­aus­for­de­run­gen. Se­cu­ri­ty Bugs in SAP Sys­tems Daten in SAP-Sys­te­men sind oft un­ter­neh­mens­kri­ti­sche Daten mit sehr hohem Schutz­be­darf, die zu­neh­mend über Web-Schnitt­stel­len er­reich­bar sind. SAP bie­tet gleich meh­re­re Ent­wick­lungs­frame­works zur Ent­wick­lung von ei­ge­nen Web-An­wen­dun­gen auf Basis des SAP Web Ap­p­li­ca­ti­on Ser­vers (WebAS) an. Davon zäh­len Busi­ness Ser­ver Pages (BSP) und Web Dyn­pro ABAP zu den Web-Ent­wick­lungs-Frame­works mit der größ­ten Ver­brei­tung. Beide Frame­works nut­zen die SAP-ei­ge­ne Pro­gram­mier­spra­che ABAP für die Ent­wick­lung. In die­sem Vor­trag stel­le ich vor, wie man si­che­re Web-An­wen­dun­gen mit BSP ent­wi­ckelt. Ich zeige wei­ter­hin, wie Ent­wick­ler gän­gi­ge Web-Schwach­stel­len wie bei­spiels­wei­se Cross Site Script­ing, SQL-In­jec­tion und Cross Site Re­quest For­ge­ry in SAP-Web-An­wen­dun­gen ver­hin­dern kön­nen. Zu jeder Schwach­stel­le zeige ich eben­falls, wie man die Schwach­stel­len im Laufe eines Code Au­dits ent­de­cken kann.

Der Lehrstuhl für Netz- und Datensicherheit von Prof. Dr. Schwenk bietet daher seit dem WiSe 09/10 ein Praktikum zur Hackertechnik an. Weitere Informationen lassen sich auf folgenden Webseiten finden:

http://www.nds.rub.de/chair/lectures/439/

Bei Fragen oder Anregungen wenden Sie sich bitte an Dominik Birk:
dominik.birk@rub.de

Ronny Sack­mann, Be­ra­ter bei der ci­ro­sec GmbH

iPho­nes und iPads im Un­ter­neh­men - Her­aus­for­de­run­gen, Lö­sungs­we­ge und Li­ve-Ha­cking

Ronny Sack­mann stu­dier­te an der Hoch­schu­le Aalen Elek­tro­tech­nik mit der Ver­tie­fungs­rich­tung Me­di­en- und Kom­mu­ni­ka­ti­ons­tech­nik. Seit 2008 ar­bei­tet Ronny Sack­mann als Be­ra­ter bei der ci­ro­sec GmbH. Sein Auf­ga­ben­feld um­fasst die Durch­füh­rung von Si­cher­heits­über­prü­fun­gen von IT-Sys­te­men, Net­zen und Web-Ap­pli­ka­tio­nen.

iPho­nes we­cken Emo­tio­nen: Po­si­ti­ve wie ne­ga­ti­ve. Der Ma­na­ger, der stolz seine Kon­tak­te und Emails syn­chro­ni­siert steht auf der einen Seite und der Si­cher­heits­be­auf­trag­te, der zu viele of­fe­ne Si­cher­heits­fra­gen sieht, steht mög­li­cher­wei­se auf der an­de­re Seite. In die­sem Vor­trag zeigt der Re­fe­rent Ihnen den ak­tu­el­len Stand der Tech­nik zum Thema iPho­nes und iPads im Un­ter­neh­men. Er de­mons­triert An­griffs­sze­na­ri­en und stellt Ab­si­che­rungs­tech­ni­ken und zen­tra­le Ver­wal­tungs­werk­zeu­ge vor.

Der Lehrstuhl für Netz- und Datensicherheit von Prof. Dr. Schwenk bietet daher seit dem WiSe 09/10 ein Praktikum zur Hackertechnik an. Weitere Informationen lassen sich auf folgenden Webseiten finden:

http://www.nds.rub.de/chair/lectures/439/

Bei Fragen oder Anregungen wenden Sie sich bitte an Dominik Birk:
dominik.birk@rub.de

Kars­ten Tell­mann hat IT-Si­cher­heit an der Ruhr-Uni­ver­si­tät Bo­chum stu­diert und ar­bei­tet seit Fe­bru­ar 2010 als Se­cu­ri­ty Re­se­ar­cher in den Se­cu­ri­tyL­abs der G Data Soft­ware AG in Bo­chum. Neben dem ana­ly­sie­ren von ak­tu­el­len Mal­wa­re-Trends, ins­be­son­de­re im Um­feld des WWW, ent­wi­ckelt er zur­zeit ein emu­la­ti­ons ba­sier­tes Pro­gram­me zur au­to­ma­ti­schen Er­ken­nung von schäd­li­chen PDF-Da­tei­en.

Das Por­ta­ble Do­cu­ment For­mat (PDF) ist ein viel­sei­ti­ges und weit ver­brei­te­tes di­gi­ta­les Do­ku­men­ten­for­mat, das heut­zu­ta­ge in fast jeder De­sk­to­p­um­ge­bung be­ar­bei­tet wer­den kann. Der enor­me Funk­ti­ons­um­fang und die weite Ver­brei­tung, ins­be­son­de­re in Form von Brow­ser Plug-ins, ma­chen PDFs zu einem at­trak­ti­ven Ziel für Mal­wa­re-Au­to­ren. Egal ob in Form von ge­ziel­ten At­ta­cken per E-Mail oder ein­ge­bet­tet in Web­sei­ten, das PDF wird in un­ter­schied­lichs­ten Sze­na­ri­en als An­griffs­vek­tor be­nutzt. Die­ser Vor­trag stellt die grund­le­gen­de Struk­tur des For­ma­tes vor und zeigt die Ver­wen­dung im Kon­text von Web­sei­ten. Ex­em­pla­risch wird ge­zeigt, wie PDF-ba­sier­te Mal­wa­re funk­tio­niert und wel­che Tricks von Mal­wa­re-Au­to­ren ein­ge­setzt wer­den, um eine ma­nu­el­le Ana­ly­se zu er­schwe­ren und um au­to­ma­ti­sier­te Ana­ly­se-Sys­te­me zu um­ge­hen.

Der Lehrstuhl für Netz- und Datensicherheit von Prof. Dr. Schwenk bietet daher seit dem WiSe 09/10 ein Praktikum zur Hackertechnik an. Weitere Informationen lassen sich auf folgenden Webseiten finden:

http://www.nds.rub.de/teaching/lectures/439/

Bei Fragen oder Anregungen wenden Sie sich bitte an Dominik Birk:
dominik.birk@rub.de

Das Netz be­fin­det sich in er­neut in einem gros­sen Um­bruch. Das se­man­ti­sche Web nimmt zu­neh­mend Ge­stalt an, ge­schlos­se­ne Eko­sys­te­me drän­gen das freie Web in die Ni­sche, die mo­bi­le Re­vo­lu­ti­on mün­det nun die "em­bed­ded" re­vo­lu­ti­on. Zur glei­chen Zeit wälzt sich der Um­bruch auch auf tech­ni­scher Ebene und för­dert eine neue Ge­ne­ra­ti­on an Soft­ware Ent­wick­lern. Na­ti­ve Hoch­spra­chen er­le­ben ein Come­back, Ja­va­script eta­bliert sich nun auch als ser­ver­sei­ti­ge Skript­spra­che, zahl­rei­che spe­zia­li­sier­te Da­ten­bank­kon­zep­te (nosql) nagen der jah­re­lan­gen Do­mi­nanz von SQL, und ohne API's geht gar nicht mehr. Eray Basar, Mit­grün­der der Soft­ware Schmie­de 9ele­ments, zeigt eine Mo­men­tauf­nah­me die­ses Um­bruchs aus der Ent­wick­ler­per­spek­ti­ve und gibt Ein­bli­cke in die neue Tech­no­lo­gi­en und in ihre An­wen­dungs­mög­lich­kei­ten.

Der Lehrstuhl für Netz- und Datensicherheit von Prof. Dr. Schwenk bietet daher seit dem WiSe 09/10 ein Praktikum zur Hackertechnik an. Weitere Informationen lassen sich auf folgenden Webseiten finden:

http://www.nds.rub.de/teaching/lectures/439/

Bei Fragen oder Anregungen wenden Sie sich bitte an Dominik Birk:
dominik.birk@rub.de

Mario Hei­de­rich forscht für die RUB im Be­reich Mal­wa­re-Ana­ly­se und Brow­ser­si­cher­heit und ar­bei­tet in sei­ner frei­en Zeit an Dis­ser­ta­ti­on und di­ver­sen Pro­jek­ten im Be­reich Web-Si­cher­heit und An­griffs­er­ken­nung. Mario rief einst das PHPIDS Pro­jekt ins Leben, be­treut den HTML 5 Se­cu­ri­ty Cheat­s­heet und hat Freu­de an mög­lichst schlecht les­ba­rem Code und ver­schach­tel­ten HTML Struk­tu­ren.

In die­sem Talk dreht sich alles um HTML5 - aber aus­nahms­wei­se nicht aus der Sicht des be­geis­ter­ten Ent­wick­lers. Der Talk prä­sen­tiert neue Sicht­wei­sen auf HTML5, zeigt wie be­reits heute An­grei­fer die reich­hal­ti­gen Mög­lich­kei­ten für sub­ti­le At­ta­cken nut­zen kön­nen - und warum das Ge­samt-Kon­zept in vie­ler­lei Hin­sicht eher als Re­gres­si­on zu be­grei­fen ist. Im letz­ten Teil des Talks wird ein grau­si­ger Wan­der­tag durch die mo­ras­ti­gen Un­tie­fen des HTML Cheat Sheets un­ter­nom­men - der zeigt was An­grei­fer und Ver­tei­di­ger aus den Feh­lern der Brow­s­er­her­stel­ler ler­nen kön­nen.

Der Lehrstuhl für Netz- und Datensicherheit von Prof. Dr. Schwenk bietet daher seit dem WiSe 09/10 ein Praktikum zur Hackertechnik an. Weitere Informationen lassen sich auf folgenden Webseiten finden:

http://www.nds.rub.de/chair/lectures/439/

Bei Fragen oder Anregungen wenden Sie sich bitte an Dominik Birk:
dominik.birk@rub.de