SECURITY CONFERENCES Q3/Q IN A NUTSHELL SBA Research ggmbh

Transkript

1

2 SECURITY CONFERENCES Q3/Q IN A NUTSHELL

3 Agenda PETS DFRWS USENIX Security Blackhat, Defcon Was sind die Trends? Upcoming

4 PETS Symposium on Privacy Enhancing Technologies Juli 2016 Darmstadt Automobile Driver Fingerprinting : Moderne Autos haben viele Sensoren Strecke von 50 km, getestet mit 15 Personen 100% identifizierbar, nur mit Bremspedal 100% identifizierbar für Kurzstrecken, alle Sensoren

5 PETS HOnions: Towards Detection And Identification Of Misbehaving Tor HSDirs : Hidden Services in Tor z.b. Facebook, DuckDuckGo, Riccochet Neu erstellte werden nur bestimmten HSDirs angekündigt Sollten es nicht weitergeben oder verwenden Aber: In 72 Tagen 110 schädliche HSDirs gefunden (von ca. 3000)

6 DFRWS Digital Forensics Conference August 2016 Seattle, WA Deleting collected digital evidence by exploiting a widely adopted hardware write blocker Tableau TD3 Embedded Linux, bootet von SD Karte SSH aktivierbar (root/secret) Updates werden zuerst installiert, dann überprüft

7 DFRWS Rapid differential forensic imaging of mobile devices : Normalerweise: Custom ROM & Physikalische Verbesserungen: o o o Page sampling: 64kb anstatt ganze Speicherseiten Reverse-tethering asynchrone Kommunikation (RabbitMQ) <10 Minuten anstatt Stunden Lizensiert für Oxygen Forensics

8 USENIX Security August 2016 Austin, TX U.a. mit WOOT, FOCI, HotSec Poking Holes in Information Hiding : ASLR-Angriff gegen Server Reserviert größtmöglichen Speicherbereich Macht Speicher Mapping sichtbar Erfolgreich gegen z.b. nginx, bind, mysql

9 USENIX Security Lock It and Still Lose It On the (In)Security of Automotive Remote Keyless Entry Systems : Funkfernbedienung für Autos RFID für Wegfahrsperre VW verwendet gleichen Schlüssel pro Baureihe Auch RFID konnte überwunden werden Ähnlich zu MEGAMOS Paper, 2013 (2015)

10 Blackhat, Defcon Blackhat Defcon Las Vegas, NV The Year in Flash : Natalie Silvanovich (Google Project Zero) >50% aller Sicherheitslücken in Flash im letzten Jahr Dynamische Objekte, implizite Typen, In Browsern nicht mehr nötig, oder wenn sandboxed

11 Blackhat, Defcon SGX Secure Enclaves in Practice: Security and Crypto Review : Intel Prozessorerweiterung: sichere Enklave Code & Schlüssel verlassen die Enklave nicht Schützen auch vor Admins, Betriebssystem, Skylake+ Sehr mächtig

12 Blackhat, Defcon HTTP/2 & QUIC Teaching Good Protocols To Do Bad Things : HTTP SPDY HTTP/2 TCP MPTCP QUIC Schneller, weniger Overhead, Roaming > 10% der beliebtesten Webseiten verwenden eines von beiden Sicherheitstools sind noch hinten nach

13 Blackhat, Defcon HTTP/2 HTTP 1.1 von 1999 Binäres Protokoll Kompression Multiplexing Server Push De-facto TLS 1.2+ QUIC: UDP statt TCP Schnellere Verbindung Weniger round-trips

14 Blackhat, Defcon Cheating at Poker James Bond Style :

15 Blackhat, Defcon Cheating at Poker James Bond Style :

16 Blackhat, Defcon Cheating at Poker James Bond Style :

17 Blackhat, Defcon

18 DARPA Cyber Grand Challenge Vollautomatisierter Wettbewerb, 11 Stunden lang Ziel: Echtzeit statt Wochen/Monate für Patch Minimales 32bit Linux mit 7 Syscalls Hohe Preisgelder (2x10^6 $, 1x10^6 $, 750k $) Binärdateien, keine Quelltexte Team von der CMU vor Univ. Virginia vor UCSB Fuzzing & symbolic Execution

19 DARPA Cyber Grand Challenge

20 DARPA Cyber Grand Challenge

21 DARPA Cyber Grand Challenge

22 DARPA Cyber Grand Challenge

23 Was sind die Trends? Im Moment: Rowhammer: 3x Usenix, 2x CCS Content Security Policy (CSP): 3x CCS ASLR-bypass: 1x Usenix, 2x CCS Intel SGX: Blackhat

24 Upcoming ACM CCS, diese Woche in der Hofburg Blackhat EU, Anfang November 33c3, zwischen Weihnachten & Silvester NDSS 2017, Februar IEEE S&P 2017, Mai

25 Dr. Martin Schmiedecker PGP: 0x8FFA97C3