Softwaresicherheit. Sicherheitsschwachstellen im größeren Kontext. Ulrich Bayer

Transkript

1 Softwaresicherheit Sicherheitsschwachstellen im größeren Kontext Ulrich Bayer Conect Informunity,

2 2 Begriffe - Softwaresicherheit

3 Agenda 1. Einführung Softwaresicherheit 1. Begrifflichkeiten 2. Softwaresicherheit für Webserver 3. Softwaresicherheit für Client PCs 1. Zusammenhang zwischen Exploits und Malware 4. Softwaresicherheit für mobile Geräte Conect Informunity, [3]

4 Softwaresicherheit Definition: Sichere Software Ist frei von Sicherheitsschwachstellen Sie tut das wofür sie implementiert wurde Wird weniger getestet Verfügt über Features, um die Sicherheit der Daten zu gewährleisten Authentifizierung, Zugriffskontrolle, Verschlüsselung der Kommunikation Wird normalerweise besser getestet Unsichere Software Haupteinfallstor für Hacker Beinhaltet Sicherheitsschwachstellen vulnerabilities (Buffer Overflows, SQL Injection,..) Exploit : bösartiger Code, der eine Sicherheitsschwachstelle ausnutzt Ohne die Einwilligung und meistens ohne Wissen des Benutzers [4]

5 Datendiebstahl durch Hackingmethoden Quelle: Verizon 2012 Data Breach Investigations Report [5]

6 Software-Sicherheit Sicherheit von Software ist wichtig Beim Einsatz von Software Software aktuell halten, um bekannt gewordene Sicherheitsschwachstellen zu beheben Beim Entwickeln von Software Sicherer Entwicklungszyklus Unterschiedliche Arten von Software Webapplikationen Natives Programm Android/Iphone App [6]

7 Risikoklassifizierung von Webapplikationen Intern Eigenentwicklung Extern Eigenentwicklung Intern Standardprodukt Extern Standardprodukt [7]

8 Auswirkungen von Sicherheitsschwachstellen bei Software (Web-) Server Desktop- PC Mobile Devices Stehlen von Daten Eindringen in das Unternehmensnetzwerk Website Defacement Mitglied eines Botnet Installation von Banking-Trojanern Diebstahl von Passwörtern, Kreditkartendaten Installation von Überwachungssoftware Handy fernsteuern Auslesen von Passwörtern [8]

9 Softwaresicherheit für Webserver [9]

10 Anonymous Austria Hacks 1. Juli 2011: Defacing von FPÖ- und SPÖ-Websites 12. Juli 2011: Defacing von GIS-Website Diebstahl der Datenbank, Datensätze mit Kontodaten 28. Juli 2011: Website der Grünen Diebstahl von Login-Daten von Usern und Admins 28. September 2011: Tiroler Gebietskrankenkasse: Veröffentlichung von Daten von versicherten Personen 4. Oktober 2011 Veröffentlichung von 6200 Kundendaten der WKÖ [10]

11 Hacks 2012 Quelle: [11]

12 Softwaresicherheit bei Desktop-PCs [12]

13 Applications containing vulnerabilities targeted by web exploits in 2012 Quelle: [13]

14 Zero-Day Schwachstelle Zero-day Schwachstelle, die noch nicht öffentlich bekannt ist Kaum Verteidigung möglich Es existieren keine Antivirus/IPS Signaturen Kein Patch verfügbar => besonders kritisch Marktwert: $5,000 bis $250,000 Quelle: [14]

15 Java Zero-Day Exploits Drei Java Zero-Day Exploits in den letzten 6 Monaten Schwachstelle wurde in-the-wild ausgenutzt bevor die Schwachstelle öffentlich wurde Bevor ein Patch zur Verfügung stand All diese drei Exploits betrafen das Browser Plugin zur Ausführung von Applets Kein Thema für in Java geschriebene serverseitige Anwendungen Wachsender Konsens in IT Sicherheits-Community Java-Applet sollte nicht per Default in allen Browsern aktiv sein [15]

16 Java-Plugin deaktivieren Seit Java 7 Update 11 einheitlich für alle Browser im Java Control Panel einstellbar [16]

17 Sicherheitsempfehlungen für Desktop-PCs Software aktuell halten Vor allem den Browser IE (Microsoft Update) Chrome, Firefox (prüfen selbsttätig Betriebssystem (Microsoft Update) Browser-Plugins Online-Check für alle Browser hier möglich: Einsatz von Antivirus Software sinnvoll [17]

18 Prüfen von Browser Plugins [18]

19 Drive-by-Downloads Unbewusstes und unbeabsichtigtes Herunterladen von Schadsoftware durch Aufruf einer präparierten Webseite Vorgangsweise Website-Manipulation Ausnutzen bekannter Schwachstellen in Webanwendungen 19

20 Malware? Malware = Sammelbegriff für Computerviren, Trojaner, Würmer, etc. Kunstwort aus malicious software Software mit dem Ziel, auf einem Computersystem unerwünschte, in der Regel schädliche, Aktionen durchzuführen!= Fehlerhafte Software 20

21 BlackHole Das verbreiteteste Exploit Kit Erscheinung: 2011 Kosten: $1500 und mehr Quellcode: PHP mit ioncube geschützt 21

22 Blackhole Administration Panel Anzahl infizierter PCs Erfolgsquote Angewandte Exploits 22

23 Sicherheitsschwachstellen in mobiler Software 23

24 24 Zusammenfassung

25 Security Research Dr. Ulrich Bayer Favoritenstrasse 16 A-1040, Vienna Austria +43/1/ /1/