Aktuelle Angriffsszenarien für Webanwendungen

RUHR-UNIVERSITÄT BOCHUM
Aktuelle Angriffsszenarien
für Webanwendungen
Prof. Dr. Jörg Schwenk
Lehrstuhl Netz- und Datensicherheit
RUHR-UNIVERSITÄT BOCHUM
Die Ruhr-Universität Bochum (RUB)
Das HGI 2014 | Rückblick
Die Ruhr-Universität
Bochum (RUB)
• Baubeginn Januar
1964
• Start im Juni 1965
• 20 Fakultäten
(Volluniversität)
• Mehr als 41.000
Studierende
• Mehr als 5.500
Beschäftigte
• Mehr als 450
Professuren
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Das Horst Görtz Institut für IT-Sicherheit
Das HGI 2014 | Rückblick
Das Horst Görtz Institut für ITSicherheit
• 
• 
• 
• 
• 
• 
• 
• 
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
Gründung: 2002
14 Arbeitsgruppen
80+ WissenschaftlerInnen
800+ ITS-Studierende
4 Studiengänge
60+ Absolventen pro Jahr
100+ Projektpartner
Viele (internationale)
Preise
RUHR-UNIVERSITÄT BOCHUM
Struktur
Beteiligte Lehrstühle und Arbeitsgruppen
•  Text…
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Studium der IT-Sicherheit
Studienangebot und Aufbau
•  Text…
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Das ist IT-Sicherheit
• 
Netz- und Datensicherheit
Beispiel: Internetsicherheit
• 
Systemsicherheit
Beispiel: Telemedizin
• 
Eingebettete Sicherheit
Beispiel: Autotüren öffnen
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Teil 1: Der BSI-Lagebericht 2014
Prof. Dr. Jörg Schwenk
Lehrstuhl Netz- und Datensicherheit
RUHR-UNIVERSITÄT BOCHUM
Die Lage der IT-Sicherheit in Deutschland
2014 (BSI)
•  Klare Beschreibung der Situation
–  Sta$s$ken und Fallbeispiele •  Vorteile einer Meldepflicht für
Sicherheitsvorfälle werden dargestellt
–  exis$ert für Bundesbehörden •  Im Vorwort Verweis auf das geplante ITSicherheitsgesetz
–  wird gerade im Bundestag disku$ert •  Die Lage ist nicht gut!
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Die Lage der IT-Sicherheit in Deutschland
2014 (BSI)
•  Ursachen
–  Generische Angriﬀspla0orm Internet –  "Digitale Sorglosigkeit" (Ungeprü<e APPs!) –  Schwachstellen in So<ware –  Veraltete und ungepatchte So<ware –  Mobile Endgeräte ("Always on"!) –  Unzureichende Absicherung industrieller Steuerungssysteme (Fallbeispiel) DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
Produktsupport ausgelaufen ist, sollten nicht
Ŕ
Ŕ
Ŕ
ŔGÇ¥öçúçºāNº»¥¯ Ungepatchte Systeme
der Regel
auchnur
keine
Bedeutung. Diese
sind zunehmend gezwunsind nicht
im Sicherheitsaktualisierungen
DesktopŔ
Ŕ von
bereich ein Problem,
sondern
betreffen
in gleicher
gen, eine Priorisierung
bei der Beseitigung
mehr
erfolgen.
Aktuelles
Beispiel ist Microsoft
Weise
auch
den
Serverund
Mobilbereich:
Schwachstellen
vorzunehmen
und
sich
auf
Ŕ
Ŕ
Windows XP, dessen erweiterter Produktsupport
RUHR-UNIVERSITÄT BOCHUM
Die
Lage derzu IT-Sicherheit
in Deutschland
kritische Schwachstellen
konzentrieren.
Ŕ
Ŕ
im April 2014 endete. Seit diesem Zeitpunkt gibt
Webseiten,
2014 (BSI)
Ŕ
Ŕ
Version 1.3 der Serversoftware Apache verwende8
Sicherheitsupdates. Dennoch lag der Marktanteil
Ŕ
Herausgabe eines Sicherheitsupdates („Patch“)
ten. Im Mobilbereich sind insbesondere auf
von Windows XP in Deutschland
Mitte des Jahres
durch den Softwarehersteller bekannt. Daher ist
Tabelle
1: Auswahl von
Softwareprodukten
mit hoher Relevanz versionen anzutreffen.
noch 9bei
über
acht Prozent,
Viele
Hersteller
von End-weltweit bei mehr als
eine rasche
Einspielung
dieser
Softwareaktualisie10
geräten stellen die Aktualisierungen nur für eine
rungen zwingend erforderlich. Falls Details oder
kurze Zeitspanne bereit. Spätestens mit Erscheigar Exploits, die eine bestimmte Schwachstelle
nen des jährlichen Nachfolgemodells wird die
ausnutzen, vor dem Patch des Softwareherstellers
Unterstützung älterer Versionen eingestellt. Neu
an die Öffentlichkeit
gelangen
(Zero-Day-Exploits),
2.1.4 Einsatz
veralteter
Software und
entdeckte Sicherheitslücken
werden dann nicht
ist bei einem Einsatz
der
betroffenen
Software
1.200
ungepatchter Systeme
mehr gepatcht und stellen somit eine Gefahr für
höchste Vorsicht geboten. 2014 gab es bis Ende Juli
1.000
ältere Geräte dar.
fünf öffentlich bekannte Vorfälle dieser Art.
•  Schwachstellen in Software
–  Hoher Zeitdruck in der SW-‐Entwicklung bedingt Sicherheitslücken Ŕ
Ŕ
Ŕ
Ŕ
Ŕ
Ŕ
Ŕ
Das Einspielen von Softwareaktualisierungen ist
eine Grundvoraussetzung für ein sicheres Generell
ITgilt: Softwareprodukte, bei denen der
System. Veraltete Patchstände von BetriebssysteProduktsupport ausgelaufen ist, sollten nicht
men und Applikationen
sind dennoch eines der
Ŕ
der Regel auch keine Sicherheitsaktualisierungen
Hauptprobleme,ŔGÇ¥öçúçºāNº»¥¯
die bei Audits und Penetratimehr erfolgen. Aktuelles Beispiel ist Microsoft
onstests des BSI Ŕin Behörden festgestellt werden.
Ŕ
XP, dessen erweiterter Produktsupport
Auch viele Systeme von PrivatanwendernWindows
sind
nicht immer aufŔ dem aktuellen Stand. im April 2014 endete. Seit diesem Zeitpunkt gibt
Ŕ
Sicherheitsupdates. Dennoch lag der Marktanteil
Trotz der gängigen Empfehlung, Auto-Updatevon Windows XP in Deutschland Mitte des Jahres
Funktionalitäten
nutzen,
Tabelle 1: Auswahl
von Softwareprodukten mitzu
hoher
Relevanz haben in Deutschnoch bei über acht Prozent, weltweit bei mehr als
10
Schwachstellen
Davon kritisch
land nach Erkenntnissen von IT-Experten
mindestens zehn Prozent aller eingesetzten
Windows-Betriebssysteme und anderer gängiger
Abbildung 1: Anzahl aller Schwachstellen der gelisteten Softwareprodukte
7
2.1.4 Einsatz
veralteter
Software
und
*Die Werte für das Jahr 2014 wurden auf Basis der ermittelten Anzahl der
Softwareprodukte veraltete Patchstände.
1.200
ungepatchter Systeme
Schwachstellen bis September hochgerechnet.
1.000
DASEinspielen
HORST GÖRTZ
INSTITUT
FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT
BOCHUM
Das
von
Softwareaktualisierungen
ist
eine Grundvoraussetzung für ein sicheres IT-
Quelle: BSI RUHR-UNIVERSITÄT BOCHUM
Die Lage der IT-Sicherheit in Deutschland
2014 (BSI)
•  Fallbeispiele
–  Bundesverwaltung: 15-‐20 Angriﬀe auf das Regierungs-‐
netz, die mit normalen Methoden nicht erkannt werden können; davon 1 pro Tag von Nachrichtendiensten –  Privatanwender: 34 Millionen Benutzernamen/
Passwörter "aufgefunden"; mehrere Millionen Fritz!Box Homerouter kompleV übernehmbar; Geodo Onlinebanking-‐Trojaner (Drive-‐by-‐Download); iBanking-‐
Schadso^ware gegen smsTAN; –  Wirtscha<: Heartbleed (SSL); Dragonﬂy (Produk$onsnetze); Ebury (SSH); ShellShock (Bash-‐
Shell); BankroV Fa. CodeSpaces nach Datenlöschung in der Cloud DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
Quelle: BSI RUHR-UNIVERSITÄT BOCHUM
Die Lage der IT-Sicherheit in Deutschland
2014 (BSI)
•  Angriffsmethoden
–  SPAM, Botnetze, Social Engineering, IdenStätsdiebstahl, DoS –  Schadprogramme –  Drive-‐By-‐Exploits und Exploit-‐Toolkits –  Advanced Persistent Threats (APT) –  Nachrichtendienstliche Cyberangriﬀe •  Angreifer
–  Cyber-‐Kriminelle, Nachrichtendienste, HackSvisten, Innentäter DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
oder im Betr
ggf. ungeschützt. Klassische signaturbasierte
programme u
Komponenten von Virenschutzprogrammen
RUHR-UNIVERSITÄT BOCHUM
Webseitenbe
stoßen dadurch zunehmend an die Grenzen ihrer
Die Lage derWirksamkeit,
IT-Sicherheit
in eine
Deutschland
wodurch
Fortentwicklung der
nannten Exp
2014 (BSI) Schutzmaßnahmen notwendig wird. Weiterhin
Exploits kom
betreiben die Entwickler der Schadprogramme
Einsatz, die a
viel Aufwand, um mit immer neuen Methoden
•  Schadprogramme
Schwachstell
eine manuelle Analyse von Schadprogrammen
Vorfällenndurch
und Forensiker
–  täglich und
300.000 eue Analysten
Schadso<warevarianten grammen zu
–  kein InformaSonsvorteil für Verteidiger Watering-Ho
Exploits für g
Lage
• Drive-by-E
gezielt kom
platziert.
Abbildung 3: Anzahl Windows-Schadsoftwarevarianten
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
• Laut einer A
sing-Daten
Drive-by-E
Schadsoftw
Quelle: BSI Deutschlan
gezielt kompromittierten verwundbaren Webseiten
platziert.
RUHR-UNIVERSITÄT BOCHUM
• Laut einer Auswertung der Google Safe-Browsing-Daten12 lag der Anteil von Webseiten mit
Drive-by-Exploits oder anderer Verbreitung von
Schadsoftware in den letzten zwölf Monaten in
Deutschland bei vier Prozent.
Die Lage der IT-Sicherheit in Deutschland
2014 (BSI)
Abbildung 3: Anzahl Windows-Schadsoftwarevarianten
•
•  Drive-By-Exploits und Toolkits
Schwachstellen im Internet Explorer. Auch Oracle
Java ist weiterhin ein beliebtes Angriffsziel, wenn
auch nicht mehr so im Fokus wie noch 2013.
–  Rechner wird nach bloßem Betrachten der Webseite kompromi_ert (Landing Page)
Code-Einbettung einer Exploit-Webseite
Opfersystem
Aufruf einer Exploit-Website über beliebig viele Umleitungen
Exploit-Webseite
Auslieferung von Exploit-Code, Ausnutzung einer Schwachstelle,
Befehl zur Installation eines „Dropper“-Schadprogramms
Nachladen des „Dropper“-Schadprogramms über beliebig viele Weiterleitungen
Nachlade-Webseite
für Schadprogramme
Auslieferung des „Dropper“-Schadprogramms, das von diesem
oder anderen Servern die eigentlichen Schadprogramme nachlädt
Abbildung 4: Beispiel einer Schadprogramminfektion per Drive-by-Exploit
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
Quelle: BSI RUHR-UNIVERSITÄT BOCHUM
Die Lage der IT-Sicherheit in Deutschland
2014 (BSI)
•  Drive-By-Exploits und Toolkits
–  Google Safe-‐Browsing: 4% aller Webseiten sind verseucht –  Inﬁzierung über Werbebanner (350 Server in Deutschland verseucht in 2013) –  Toolkits: Viele ältere Exploits werden auf einer Webseite gebündelt; professionelle Erstellung der Toolkits DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
Quelle: BSI RUHR-UNIVERSITÄT BOCHUM
Die Lage der IT-Sicherheit in Deutschland
2014 (BSI)
•  APT-Fallbeispiel: Angriff auf Stahlwerk
–  IniSaler Zugriﬀ auf das Büronetz migels Spear-‐
Phishing und Social Engineering –  Von dort sukzessiver Zugriﬀ auf die ProdukSonsnetze (keine klare Trennung!) –  Ausfälle einzelner Komponenten häu<en sich –  Ein Hochofen konnte nicht mehr kontrolliert heruntergefahren werden! DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
Quelle: BSI RUHR-UNIVERSITÄT BOCHUM
Teil 2: Sicherheit von
Webanwendungen
Prof. Dr. Jörg Schwenk
Lehrstuhl Netz- und Datensicherheit
RUHR-UNIVERSITÄT BOCHUM
Übersicht
•  Cross-Site-Scripting (XSS)
–  Scriptless Agacks –  mXSS •  Cloud Computing
–  SaaS-‐Studie –  OpenNebula •  SSL/TLS
–  Historie der Angriﬀe: kriSsch oder unkriSsch? –  Bleichenbacher-‐Angriﬀe DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Reflected XSS (non-persistent)
3: GET+
JS-XSS
AJAX engine Javascript Rendering vic$m.com 4: HTML +
JS-XSS
(active)
1
2:
HTML +
JS-XSS
(inactive) aVacker.org DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Stored XSS (persistent)
2: GET
3: HTML +
JS-XSS
AJAX engine Javascript Rendering vic$m.com 1:
HTML +
JS-XSS
1
aVacker.org DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
DOM based XSS (Local XSS)
GET welcome.html
3: GET HTTP 1.1
host: www.vulnerable.site
AJAX engine Javascript Rendering vic$m.com 4: HTML
5: XSS executed during
(local) rendering
1: GET
2:
HTML +
<a href=″http://www.vulnerable.site/welcome.html#
JS-XSS
name= <script>alert(document.cookie)</script>″>Klick
me!</a>
(inactive) aVacker.org DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Wie häufig ist XSS?
•  Masterarbeit C. Korolczuk
•  "HTMLSec Sweeper"
•  reflected XSS
–  Typisch für Eingaben in Suchfeldern •  Alexa Top 500
–  # Webanwendungen: 382 –  100 Seiten: 31,4% verwundbar, 354 Schwachstellen –  500 Seiten: 41,6% verwundbar, 527 Schwachstellen –  ohne Login! DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
HTMLsec sweeper
RUHR-UNIVERSITÄT BOCHUM
HTML5: Scriptless Attacks
•  World Wide Web Consor$um (www.w3.org) konnte sich mit XHTML nicht durchsetzen •  Web Hypertext Applica$on Technology Working Group (WHATWG), gegründet 2004, standardisiert HTML5 DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
23 RUHR-UNIVERSITÄT BOCHUM
HTML5: XSS and Scriptless Attacks
No. Time Source 20 4.815.266 134.147.40.27 24 4.990.687 192.220.74.179 26 5.143.559 134.147.40.27 32 5.324.836 192.220.74.179 36 5.553.898 134.147.40.27 41 5.734.461 192.220.74.179 43 5.940.252 134.147.40.27 47 6.114.131 192.220.74.179 56 6.393.312 134.147.40.27 61 6.564.836 192.220.74.179 64 7.293.367 134.147.40.27 69 7.464.361 192.220.74.179 Des$na$on 192.220.74.179 134.147.40.27 192.220.74.179 134.147.40.27 192.220.74.179 134.147.40.27 192.220.74.179 134.147.40.27 192.220.74.179 134.147.40.27 192.220.74.179 134.147.40.27 Protocol HTTP HTTP HTTP HTTP HTTP HTTP HTTP HTTP HTTP HTTP HTTP HTTP Info GET /?s HTTP/1.1 HTTP/1.1 200 OK (text/html) GET /?e HTTP/1.1 HTTP/1.1 200 OK (text/html) GET /?c HTTP/1.1 HTTP/1.1 200 OK (text/html) GET /?r HTTP/1.1 HTTP/1.1 200 OK (text/html) GET /?e HTTP/1.1 HTTP/1.1 200 OK (text/html) GET /?t HTTP/1.1 HTTP/1.1 200 OK (text/html) DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
24 RUHR-UNIVERSITÄT BOCHUM
HTML5: XSS and Scriptless Attacks
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
25 RUHR-UNIVERSITÄT BOCHUM
HTML5: Even More Scriptless Agacks •  Paul Stone: Pixel Perfect Timing AVacks –  Scalable Vector Graphics (SVG)-‐Bilder erlauben den Einsatz verschiedener Graﬁkﬁlter –  Aus der Verarbeitungszeit dieser Filter kann man auf Inhalte einer anderen Webseite schließen (z.B. History) •  mXSS: Muta$on based XSS •  DOM Clobbering •  Problem: Browser werden zunehmend in sicherheitskri$schen Anwendungen eingesetzt: APP-‐
Entwicklung, Cloud (siehe Demo) DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
26 RUHR-UNIVERSITÄT BOCHUM
HTML5: mutation XSS
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
HTML5: mutation XSS
•  Harmloses Markup wird erst im Browser
"scharfgeschaltet"
•  Beispiel
IN: <img src="foo"
alt="``onerror=alert(1)" />
OUT: <IMG alt=``onerror=alert(1)
src="x">
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Übersicht
•  Cross-Site-Scripting (XSS)
–  Scriptless Agacks –  mXSS •  Cloud Computing
–  SaaS-‐Studie –  OpenNebula •  SSL/TLS
–  Historie der Angriﬀe: kriSsch oder unkriSsch? –  Bleichenbacher-‐Angriﬀe DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Cloud Computing: Architekturübersicht
hVps://www.cloud.de Starte neue VM Speichere Daten Berechne Bilanzsumme Persistente Datenspeicherung 2 4 Cloud Controller, z.B. Eucalyptus, Open Nebula, Nimbus 3 DHCP DNS 1 VM VM VM VM VM VM VM VM Hypervisor Hypervisor Hypervisor Betriebssystem Betriebssystem Betriebssystem Compute Node 1 Compute Node 2 Compute Node 3 DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
30 VM ... RUHR-UNIVERSITÄT BOCHUM
Amazon AWS: Überblick
•  Screenshot webinterface DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
31 RUHR-UNIVERSITÄT BOCHUM
2011: Angriff auf das SOAP-Interface von
Amazon AWS und Eucalyptus
•  XML Signature Wrapping, auch für Eucalyptus (private Cloud) DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
32 RUHR-UNIVERSITÄT BOCHUM
2014: Angriff auf OpenNebula (private
Cloud)
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Your Software at my Service: Security Analysis
of SaaS Single Sign-On Solutions in the Cloud
•  Analyse von 22 SaaS-Providern: 20 konnten
kompromittiert werden
•  Erfolgreiche Kompromittierung:
–  Login mit fremdem Account –  Zugriﬀ auf fremde Daten ohne Login •  Angriffsmethoden:
–  Signature Exclusion, fake Cer$ﬁcates –  XML External En$ty AVacks, XSLT, Replay –  Recipient Confusion, XSW, Cer$ﬁcate Injec$on DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Evalua$on Results DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Übersicht
•  Cross-Site-Scripting (XSS)
–  Scriptless Agacks –  mXSS •  Cloud Computing
–  SaaS-‐Studie –  OpenNebula •  SSL/TLS
–  Historie der Angriﬀe: kriSsch oder unkriSsch? –  Bleichenbacher-‐Angriﬀe DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
SSL/TLS: Historie der Angriffe
•  2014: Heartbleed, 3Shake, Poodle,
Bleichenbacher
•  2015: Freak, SmackTLS
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Neue Bleichenbacher-Seitenkanäle
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Neue Bleichenbacher-Seitenkanäle
Oracle JSSE 1
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Neue Bleichenbacher-Seitenkanäle
Oracle JSSE 2
•  Exception-Handling in Java ist ein Problem
–  JSSE-‐Server überprü< PKCS#1-‐Struktur –  Im Fehlerfall wird eine ExcepSon geworfen –  Zeitunterschied: 20μs, meßbar über das Netzwerk DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Neue Bleichenbacher-Seitenkanäle
Cavium Chip
•  Eigenimplementierung der PKCS#1Prüfung im Cavium-Chip
–  Chip überprü< nur, ob 0x?? 0x02 gegeben ist –  Falls nicht, meßbarer Zeitunterschied von 10μs DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Neue Bleichenbacher-Seitenkanäle
Fazit
DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Fazit
Prof. Dr. Jörg Schwenk
Lehrstuhl Netz- und Datensicherheit
RUHR-UNIVERSITÄT BOCHUM
Fazit
•  BSI-Lagebericht 2014
–  Sicherheitsvorfälle häufen sich und werden zunehmend gefährlicher –  Angreifer verwenden überwiegend alte, bekannt Methoden •  Forschung
–  Akademisch sind sehr viel mehr Systeme angreipar, durch "Responsible Disclosure" Beitrag zur Verbesserung der IT-‐Sicherheit –  Zusammenarbeit muss verbessert werden, viele Anregungen werden von der Industrie nicht aufgenommen: Fachkrä<emangel! DAS HORST GÖRTZ INSTITUT FÜR IT-SICHERHEIT | RUHR-UNIVERSITÄT BOCHUM
RUHR-UNIVERSITÄT BOCHUM
Horst Görtz Institut
für IT-Sicherheit

Download Report