Lehrstuhl für Informatik 1 (IT-Sicherheitsinfrastrukturen)

Transkript

1 Lehrstuhl für Informatik 1 (IT-Sicherheitsinfrastrukturen) Friedrich-Alexander-Universität Erlangen-Nürnberg Felix Freiling Vorstellung der Vertiefungsgebiete

2 2 2

3 Lehrstuhlübersicht 2 Professoren und 1 Akad. Rätin 2 Postdoktoranden 7 wissenschaftliche Mitarbeiter Forschungsthemen: Klassische Festplattenforensik Hauptspeicherforensik Mobilfunksicherheit Reverse Engineering und Obfuskation Human Factors Datenschutz Forensig² mwanalysis.org 3

4 Veranstaltungen allgemein eher offensivere und psychologische Ausrichtung Vorlesungen z.b. Angewandte IT-Sicherheit Konzepte und Methoden der IT-Sicherheit (Fortgeschrittene) Forensische Informatik IT-Beweismittelsicherung und -analyse Human Factors in IT Security etc. Hacker-Praktikum Entdeckung und Ausnutzung von Schwachstellen 4

5 Bachelor: Vertiefung IT-Sicherheit Angewandte IT-Sicherheit (Wintersemester, 5 ECTS) Forensische Informatik (Sommersemester, 5 ECTS) Security and Privacy in Pervasive Computing (Wintersemester, 5 ECTS) Elektronische Signaturen (Wintersemester, 2,5 ECTS) Aspekte des Datenschutzes und ausgewählte Sicherheitsstrukturen in der Informationstechnik (Sommersemester, 2,5 ECTS) in verschiedenen Kombinationen denkbar... Hackerpraktikum (Sommersemester) 5

6 Master: Vertiefung IT-Sicherheit Fortgeschrittene Forensische Informatik (Wintersemester, 5 ECTS) N.N. (Sommersemester, 5 ECTS) Human Factors in IT-Security (Sommersemester, 5 ECTS) Hackerprojekt (ganzes Jahr) plus Bachelorangebot, falls nicht bereits gehört 6

7 Werbung: CTF Hackerwettbewerbe: Capture the Flag (CTF) rwthctf, ructf, UCSB ictf,... Angriff- und Verteidigung in einem VPN weltweit verteilte studentische Teams FAU Security Team (FAUST) aktiv Bei Interesse stellen wir konspirativen Kontakt her 7

8 Beispiel: Anwendungsforensik 8

9 Das Irak-Dossier Die britische Regierung erstellte 2003 ein Dossier über die Gefahren, die vom Irak ausgehen Autoren kopierten Inhalte ohne Quellenangabe Autoren veränderten lediglich Zahlen (z.b. Schätzungen der irakischen Truppenstärke wurden erhöht) Siehe Dossier wurde als Word-Datei online gestellt Word-Dateien enthalten eine versteckte Änderungshistorie, die in Word selbst nicht ausgelesen werden kann 9

10 Änderungshistorie Quelle: Berghel 10

11 Erläuterungen Genannte Usernames: phamil, jpratt, ablackshaw, MKahn Wurden später identifiziert als: Paul Hamill - Foreign Office official John Pratt - Downing Street official Alison Blackshaw - The personal assistant of the Prime Minister's press secretary Murtaza Khan - Junior press officer for the Prime Minister cic22 ist das Communications Information Centre der britischen Regierung Arbeit für einen Praktikanten Kopie auf Diskette in Eintrag 5 wurden an Colin Powell (US Außenminister) geschickt und in einer Präsentation vor der UN verwendet Mehr Informationen inklusive Original-Dossier: 11

12 Word-Dateien Word-Dateien enthalten versteckte Textfelder, z.b.: Namen und Benutzernamen von Autoren Namen der Organisationen der Autoren Word-Programmversion und Dokumentformat Verzeichnisnamen im Dateisystem, an dem das Dokument abgelegt ist Informationen über die verwendete Hardware Namen von Druckern, Zeitpunkt des letzten Druckens Teilweise auch gelöschter Text Mit einfachen Word-Parsern können die Daten extrahiert werden Studie von Byers (2003) 12

13 pdf-dateien pdf entwickelt sich zu einem sehr komplexen Dokumentformat Schwierig, alle Features in der Tiefe abzubilden Problem mit geschwärzten Stellen in Dokumenten z.b. Regierungsdokumente oder Dokumente aus Gerichtsverfahren, die offengelegt werden müssen Umsetzung oft: weißer Text auf weißem Grund, schwarzer Text auf schwarzem Grund 13

14 Quelle: Murdoch und Dornseif (2004) 14

15 Umgehung Oft mit einfachem Copy/Paste auslesbar Spätestens im pdf-quelltext noch vorhanden Ansatz von Murdoch und Dornseif: Umwandlung in Postscript Entfernung aller schwarzen Boxen Wirksames Schwärzen ist ziemlich schwer 15

16 Windows-Papierkorb Der Windows-Papierkorb speichert gelöschte Dateien so ab, dass sie notfalls wiederherstellbar sind Wiederherstellungsdaten müssen auch gespeichert werden Ursprünglicher Ort Löschzeitpunkt Geparster Inhalt der entsprechenden Datei (Quelle: Berghel): 16

17 Thumbnails Windows Explorer zeigt kleine Versionen von Bildern an Bilder werden in Datei Thumbs.db zwischengespeichert Bleiben erhalten, selbst wenn Dateien gelöscht sind Verwandt: Vorschau-Bilder in Bilddateien Vorschaubilder oft Teil von EXIF-Daten Bildverarbeitungsprogramme ignorieren unbekannte EXIF-Einträge Bildveränderungen (z.b. Zuschneiden) können durch Betrachtung des Thumbnails entlarvt werden Studie von Murdoch und Dornseif (2004) Einige Beispiele aus dieser Studie folgen... 17

18 18

19 19

20 20

21 21

22 22

23 23

24 24

25 Quellen Hal Berghel: BRAP Forensics. Comm. ACM, 51 (6), Juni Simon Byers: Information Leakage Caused by Hidden Data in Published Documents. IEEE Security & Privacy, Vol. 2, No. 2, pp S. Murdoch, M. Dornseif: Hidden Data in Internet Published Documents. 21. Chaos Communication Congress, Berlin,