Das OWASP-Projekt ist vor allem bekannt für seine regelmäßig aktualisierten Top Ten der häufigsten Schwachstellen in Webapplikationen. Mittlerweile gibt es jedoch auch ein Team, das sich mit der Zusammenstellung einer Liste der häufigsten Schwachstellen im Internet of Things (IoT) beschäftigt. Von Glühbirnen, über die Hausautomatisierung bis hin zu Connected Cars haben diese smarten Produkte eins […]
Dr. Martin Klein-Hennig
Posts by Dr. Martin Klein-Hennig:
#35C3 Angriffsvektor Voicemail
„Kennen Sie Ihre Voicemail-PIN?“ – bei der Frage gingen im Publikum nicht viele Hände hoch. Die Frage stellte der Produktsicherheitsforscher Martin Vigo in seinem 35C3-Vortrag „Compromising online accounts by cracking voicemail systems“, der sich mit der Sicherheit von Voicemail-Systemen auseinandersetzt. Historische Parallelen Zu Beginn seiner Vortrags stellte Vigo einige Schwachstellen vor, die Anrufbeantworter in den […]
#35C3 Der steinige Weg zur besseren Verschlüsselung
Der Einsatz von Verschlüsselung bei der Kommunikation mit Webseiten oder beim Abrufen der eigenen Mails ist in den letzten Jahren selbstverständlich geworden. Auf diese Weise werden sensible Daten wie personenbezogene Daten oder Anmeldeinformationen nicht im Klartext übertragen, was bei der Verbreitung von kostenlosen WLAN-Hotspots und der zunehmenden Anzahl an Teilnehmen im Firmen- oder Heimnetzwerk wichtig […]
Schwerwiegende Sicherheitslücke in Prozessoren
Aktuelle Prozessoren enthalten eine hardwarebasierte Sicherheitslücke, die nur durch Sicherheits-Updates des Betriebssystems behoben werden kann. Die Schwachstelle erlaubt das Auslesen von sensiblen Daten aus dem Arbeitsspeicher des Computers. Hintergrund Eine Grundlage der Sicherheit von Computersystemen und Software ist die Trennung von Speicherbereichen. Programm A darf nicht auf den Speicherbereich von Programm B zugreifen, Programme dürfen […]
Ausgewählte Talks vom #34C3:“Known Beacons Wi-Fi Automatic Association Attack“
Mobile Geräte wie Smartphones, Tablets oder Notebooks verbinden sich gewöhnlich automatisch mit bekannten WLAN-Hotspots oder Heimroutern. Eine Komfortfunktion, die auch ein Sicherheitsrisiko birgt. Vortäuschung bekannter WLANs Ein Mobilgerät, das aktiv nach bekannten Verbindungen sucht, sendet Anfragen (sog. „probe requests“), ob ein bekannter Hotspot in der Nähe ist. Antwortet dieser, kann eine Verbindung zustande kommen. Angreifer […]
Ausgewählte Talks vom #34C3: „Die fabelhafte Welt des Mobilebankings“
In seinem Vortrag auf dem 34. Chaos Communication Congress (34C3) beschreibt Vincent Haupert, Sicherheitsforscher an der Friedrich-Alexander-Universität (FAU), Angriffsmöglichkeiten auf Mobile-Banking-Apps. Im Rahmen seines Talks stellte er ein von seiner Arbeitsgruppe entwickeltes Tool vor, mit dem Sicherheitsfunktionen und Härtungsmaßnahmen von 31 Mobile-Banking-Apps ausgehebelt werden konnten. Aus dem deutschen Finanzsektor waren 20 Apps betroffen. Der vorgestellte […]
Unsichere Smartphone-Komponenten
Mobile Geräte wie Smartphones und Tablets enthalten eine Vielzahl an Hardware-Komponenten wie Beschleunigungssensoren, Controller für das kabellose Aufladen der Akkus oder NFC-Lesegeräte für Funkkommunikation auf kurzen Strecken. Diese Hardware kommt meist von Drittanbietern, die sowohl die Hardware als auch die Software zum Betrieb der Komponenten an Smartphone-Hersteller ausliefern. Da die Komponenten fest verbaut sind, vertraut […]
Marktwächter-Studie „Wearables, Fitness-Apps und Datenschutz“
Am 26.04.2017 haben die Verbraucherzentrale Nordrhein-Westfalen (als Herausgeber) und der Bundesverband der Verbraucherzentralen (vzbv) die Ergebnisse einer Marktwächter-Studie zum Thema Wearables und Fitness-Apps veröffentlicht [1]. Die technische Analyse und Teile der datenschutzrechtlichen Untersuchung zum Datensendungsverhalten von zwölf Wearables und 24 Fitness-Apps wurden von der datenschutz nord GmbH durchgeführt und den Verbraucherzentralen als Grundlage für ihren […]
Webtracking mit browserunabhängigen Fingerabdrücken
Webtracking erlaubt die langfristige Beobachtung des Nutzungsverhaltens von Website-Besuchern. Dafür ist eine individuelle Identifizierung und Verfolgung der Besucher nötig. Anhand von Merkmalen wie Cookies, Zählpixeln, der IP-Adresse und dem „User-Agent“-String, der Browser- und Betriebssystemversion enthält, lassen sich die meisten Nutzer verfolgen. Mit einer kürzlich vorgestellten Methode lassen sich jedoch auch Nutzer identifizieren, die als Gegenmaßnahme […]
OWASP Top Ten: A10 – Ungeprüfte Um- und Weiterleitungen
Mit diesem Beitrag zu unserer Reihe zur OWASP Top Ten, den zehn häufigsten Sicherheitslücken in Webapplikationen, sind wir auf Platz 10 angekommen. Dabei geht es um ungeprüfte Um- und Weiterleitungen. Um- und Weiterleitungen werden in Webapplikationen häufig eingesetzt, um den Nutzer automatisch auf die gewünschte Zieladresse zu navigieren. Hierbei wird zwischen externen und internen Weiterleitungen […]
OWASP Top Ten: A9 – Nutzung von Komponenten mit bekannten Schwachstellen
Dieser Beitrag aus unserer Reihe zur OWASP Top Ten, den häufigsten Sicherheitslücken in Webapplikationen, beschäftigt sich mit Platz 9: Nutzung von Komponenten mit bekannten Schwachstellen. Webapplikationen wie Onlineshops, Portale oder Content Management Systeme haben mittlerweile einen großen Funktionsumfang und damit eine hohe Komplexität. In der Entwicklung wird daher auf fertige Komponenten zurückgegriffen, die allenfalls noch […]
33c3: Sicherheit und Hackability des Amazon Dash Buttons
Zur Einführung von Amazons Dash Button in Deutschland hatten wir bereits zu Aspekten des Daten- und Verbraucherschutzes des Produkts berichtet. Mit der Sicherheit und der “Hackability” des kleinen Geräts hat sich der Hardware-Hacker hunz beschäftigt und in seinem Vortrag “Shining some light on the Amazon Dash Button” im Rahmen des 33. Chaos Communication Congress seine […]
33c3: Smarte Schlösser geknackt
Neben Autos, Kaffemaschinen und Glühbirnen hat das Internet of Things auch in Schlösser Einzug gehalten. Schlösser mit Bluetooth Smart (auch Bluetooth LE genannt) ermöglichen bequemes Schließen per Smartphone-App. Aber nicht nur das – über einen vom Hersteller angebotenen Internetdienst kann ein Schloss mit Freunden kurz- oder langfristig „geteilt“ werden – sehr praktisch z.B. für das […]
Verizon veröffentlich jährlichen Sicherheitsbericht
Zum neunten Mal hat der Kommunikationskonzern Verizon seinen jährlichen Bericht über Datenlecks und deren Untersuchung herausgegeben. Der knapp 80-seitige „2016 Data Breach Investigations Report“ (DBIR) analysiert Untersuchungsergebnisse zu über 100.000 Sicherheitsvorfällen, darunter 2.260 bestätigte Datenlecks. Außentäter mit finanziellem Interesse Ein zentrales Ergebnis kündigt der Bericht bereits auf seiner Titelseite an: 89% aller Angriffe (mit unautorisiertem […]
Gefährliche Neugierde: Gefundene USB-Sticks
Sie gehen über einen Parkplatz, als Ihnen in einer Parklücke ein USB-Stick auffällt, der auf dem Boden liegt. Sie heben ihn auf. Auf ihm klebt ein kleines Etikett mit der Aufschrift „VERTRAULICH“. Was tun Sie? Was viele Finder eines solchen Datenträgers tun, haben Sicherheitsforscher der Universitäten Illinois und Michigan in einer Peer-Review-Studie ermittelt: Ihn in […]