Security-Webinar. Dezember Dr. Christopher Kunz, filoo GmbH

Transkript

1 Security-Webinar Dezember 2015 Dr. Christopher Kunz, filoo GmbH

2 Ihr Webinar-Team _ Referent: Dr. Christopher Kunz _ CEO Hosting filoo GmbH / TK AG _ Promotion IT Security _ Vorträge auf Konferenzen _ Autor von Artikeln & Büchern _ Moderation: Sibylle Blöchl _ Marketing Thomas-Krenn.AG _ Sammelt Fragen / Feedback

3 filoo GmbH _ Wir sind die Hosting-Tochter der Thomas- Krenn.AG _ Sicheres, hochperformantes Hosting in Frankfurt _ Mitarbeiter in Gütersloh und Freyung _ Primärer Rechenzentrumsstandort Frankfurt _ Tier3, ISO _ Fläche in zwei Brandabschnitten _ Managed Services _ Planung & Deployment _ Security Services _ Systemadministration

4 Agenda _ Security im November/Dezember _ OpenSSL Security Advisory _ Dell schießt sich ins Knie _ Let s Encrypt _ Security-Bugs in Spielzeug _ Telekom-Volksverschlüsselung _ Jahresrückblick _ Security-Bug des Jahres _ Zahlen & Fakten

5 OpenSSL Security _ Mathemathischer Fehler _ Macht Rechenoperationen etwas angreifbarer _ Keine praktischen Auswirkungen befürchtet _ Betroffen: (<q) und (<e) _ Denial of Service gegen Zertifikatsprüfung _ Verifikation von X.509-Zertifikaten kann zum Absturz gebracht werden _ Jede Anwendung, die das tut, ist verwundbar _ API-Anbindungen, X.509-Login zu Web-GUIs, SMTP mit TLS,... _ Betroffen: (<zh), (<t), (<q), (<e) _ PSK Race-Condition und möglicher DoS in Key-Exchange _ Gefahrstufe: Niedrig _ Außerdem: OpenSSL und abgekündigt! _ Das betrifft u.a. Debian Squeeze!

6 Dell SSL GAU _ Dell installiert eigene CA auf Laptops _ Vertrauenswürdige CA kann beliebige Zertifikate ausstellen _ So kann Dell Zertifikate für MITM ausstellen _...aber nicht nur Dell, denn: _ Private Key des CA-Zertifikats war auch vorinstalliert _ Diverse Hotfixes von Dell und anderen _ Microsoft hat Patches herausgegeben _ Security Advisory _ Dell System Detect installiert noch ein solches Zertifikat

7 Dell Foundation Bug _ Dell Foundation Services sind zu Servicezwecken installiert _ Öffnen Webserver auf Port 7779 _ Eingehende Requests müssen eigentlich signiert sein _...außer bei einer bestimmten JSON API _ Hier kann das Dell Service Tag remote ausgelesen werden _ Auswirkungen _ Dell-PC-Besitzer können remote identifiziert werden _ Dell gelobt Besserung und tauscht API aus _...durch eine, die noch mehr Informationen preisgibt

8 Let s Encrypt _ Neue CA (Initiatoren u.a. EFF, Mozilla, Akamai, Cisco) _ Verteilt kostenlose TLS-Zertifikate _ Public Beta seit Anfang Dezember _ Motto: Zertifikate so einfach wie möglich _ Es gibt einen Unix-Client in Python _ Github: letsencrypt/letsencrypt _ Der ist noch buggy _ Use Cases: Apache, (nginx), Standalone _ Verifizierung des Zertifikats über Webserver _ Zertifikate nur kurz gültig (90 Tage)

9 Let s Encrypt Verfahren Quelle: letsencrypt.org

10 Let s Encrypt Demo

11

12

13

14

15

16

17 Geowntes Spielzeug _ vtech ist ein Lernspielzeughersteller _ Betreibt eigenes Portal für Kinder mit Appstore & Chat _ Zugangs- und Profildaten wurden gestohlen _ Betroffen in D: Konten _ Hello Barbie mit Spracherkennung _ Unsichere Implementierung _ Angebliche Datenlecks

18 Volksverschlüsselung _ Ende-zu-Ende-Verschlüsselung für _ Kooperation mit Fraunhofer SIT _ Unterstützt: Windows und Outlook/Tbird _ Später: Android, ios, Linux, OSX, weitere Mailclients _ Technische Basis: S/MIME mit X.509-Zertifikaten _ Open Source!

19 Jahresrückblick Quelle: OSVDB

20 2015 in Webinarzahlen _ Webinare: 11 _ Sommerpause im Juli _ 2 pre-recorded _ Slides: 173 _ Meist auffällige Anwendungen: _ Wordpress - 5 _ Virtualisierung (Xen, Citrix, KVM, vmware) 4 _ SSL / OpenSSL 3 _ Typo3, Magento, glibc, Drupal, Froxlor, Joomla - 1

21 Seltsamste Slide des Jahres _ $=~[];$={ :++$,$$$$:(![]+"")[$], $:++$,$_$_:(![]+"")[$],_ $_:++$,$_$$:({}+"")[$],$$_$:($[$]+"")[$],_$$:++$,$$$_:(!""+ "")[$],$ :++$,$_$:++$,$$ :({}+"")[$],$$_:++$,$$$:++$,$ :++$,$ $:++$};$.$_=($.$_=$+"")[$.$_$]+($._$=$.$_[$. $])+($.$$=($.$+"")[$. $])+((!$)+"")[$._$$]+($. =$.$_[$.$$ _])+($.$=(!""+"")[$. $])+($._=(!""+"")[$._$_])+$.$_[$.$_$] +$. +$._$+$.$;$.$$=$.$+(!""+"")[$._$$]+$. +$._+$.$+$.$ $;$.$=($. )[$.$_][$.$_];$.$($.$($.$$+"\""+$.$_$_+(![]+"") [$._$_]+$.$$$_+"\\"+$. $+$.$$_+$._$_+$. +"(\\\"\\"+$. $+$. $+$. +$.$_$_+(![]+"")[$._$_]+(![]+"")[$._$_]+$. _$+"\\"+$.$ +$. +"\\"+$. $+$._$_+$.$$$+$.$$$_+$.$ _$$+"\\"+$. $+$.$_$+$. $+"\\"+$. $+$.$_$+$.$$_+$.$ _$_+"\\"+$. $+$.$$_+$._$_+"\\\"\\"+$.$ +$. +")"+"\ "")())();

22 Lücke des Jahres _ Ghost-Lücke _ Lücke in glibc _ Pufferüberlauf in einer DNS-Funktion _ Sehr langer Hostname in Exim triggert Buffer Overflow _ Damit kann man eigenen Code ausführen _ Lücke des Jahres wegen Impact und Kreativität

23 Vorschau _ Nächster Termin: _ Ich freue mich auf Ihre Themenvorschläge!

24 Vielen Dank _ Ich freue mich auf Ihre Themenvorschläge und Fragen! _ Kontaktdaten: _ chris@filoo.de _ Telefon: 05241/ _ Besuchen Sie filoo! _ _