PRIVACYSCORE.ORG Sicherheit und Privatheit auf deutschen Hochschulwebseiten: Eine Analyse mit PrivacyScore

Transkript

1 PRIVACYSCORE.ORG Sicherheit und Privatheit auf deutschen Hochschulwebseiten: Eine Analyse mit PrivacyScore Tobias Mueller Universität Hamburg mit Max Maass, Dominii Herrmann, Henning Pridöhl, Matthias Marx und Pascaal #icahmann

2 Motvaton 3

3 Wer weiß eigentlich, dass ich mich mir mein Studium nicht leisten kann? brave new world?

4 Existerende ccaanning-dienste ionzentrieren sicah auf einzelne ceiten 5

5 htttps://// htttps:////observatory.mozilla.org// htttps:////secaurityheaders.io// htttp:////urlscaan.io// 6

6 htttps:////webbioll.datasiydd.net//en// htttps://// htttps:////htttps.jpetzt// 7

7 Existerende Scanning-Dienste n ricahten sicah an cerver-betreiber verwenden ein vordefniertes Bewertungsscahema Descripton Modifer HcTc tpreloaded 5 HcTc header max age 6 months 0 HcTc header max age < six months -10 HcTc header not imtplemented -20 HcTc header caannot be set, as site caontains an invalid caertfcaate cahain -20 htttps:////github.caom//mozilla//htttp-observatory//blob//master//htttpobs//docas//scaoring.md 8

8 PrivacyScore hat anderen Fokus Ziel: öffentliche Benchmarks, um Anreize für Betreiber scahafen, den ccahutz der Privatstphäre zu verbessern. Jeder iann (annoterte) Listen von #ebseiten hocahladen und (bald ) das Ranking beeinfussen. Otpen courcae (GPLv3+) und Otpen Data Out of scope: Pentestng, cqli, Xcc,? NUTZERDEFINIERTE ATTRIBUTE Schneiden öfentliche Unis besser ab als private? Korreliert Größe einer Uni mit dem Rang ihrer Webseite? 9

9 Ausgewählte Listen 10

10 Check-Gruppen No Tracking Third Partes Beiannte Tracaier cerver-ctandorte Encrypton to Website Encrypton to Mailserver HTTPc//cTARTTLc verfügbar? Zertfiat: validity // iey size Unsicahere Protoiollversionen: cclv3 Beiannte ccahwacahstellen: Heartbleed HcTc HPKP Automatscahe Umleitung zu HTTPc Protecton Against Other Atacks Informatonslecai Referer-Policay cecaurity-header

11 Raniing und Detail-Ergebnisse 12

12 corterung ändern Öfentlicahes Raniing

13 Detail-Ergebnisse

14 Prüfung auf typische Informatonslecks phpinfo.php test.php.git.svn backup.sql server.key server-info <domain>.key server-status 15

15 phpinfo.php test.php.git Rechtliche Zulässigkeit backup.sql.svn server-info server.key <domain>.key server-status Dürfen wir #ebseiten ohne Zustmmung scaannen? ciehe Privacayccaore: Analyse von #ebseiten auf cicaherheits- und Privatheitstprobleme -- Konzetpt und recahtlicahe Zulässigieit htttp:////arxiv.org/abs/ (GI INFORMATIK 2017) TL;DR: Betrieb in Deutschland grundsätzlich erlaubt Ethische Abwägungen Privacayccaore ist ein Dual-Use-Tool. nicaht alle Ergebnisse leicht zugänglich Rate-Limitng als ccahutz vor Doc Blacklistng auf #unscah 16

16 21 Leais 93 s RFC 2142: 17

17 18

18

19 ctatstien 23

20 TLc NoTracai 24

21 Ausgewählte Statstken (Februar 2018) Anzahl Seiten Anzahl ccaans HTTPS Mixed caontent % 3% 15 6% ,0 % 67 % Retpositories (git//svn) 5 24 % Core dumtps 2 10 % Private-Keys 0 0,0 % veraltetes ccl: v2//v3 Informatonslecks ctatus//debuginfo Anz. Cookies (Mitelwert) für Third-Party-Tracaiing 3,5 1,0

22 Wie verbreitet ist Tracking auf Seiten von Universitäten? (Februar 2018) URL Requests 3rd Pty Trackers Cookies

23 PrivacyScore.org: Ein Benchmarking-Portal zur Analyse von Webseiten auf Sicherheitsund Privatheitsprobleme TODOs Listen editeren, tprivate Listen, User-Management, Raniing-Temtplates, benutzbarere Auswertungen OCcP, OCcP-ctatpling, Browser-Fingertprintng, Inferieren von Versionsnummern Containment, Was fehlt Tobias Mueller OWASP-Ranking-Schema Listen! Patches!!1 Follow