Www.datenschutz.rlp.de poststelle@datenschutz.rlp.de LfD Rheinland-Pfalz H. Eiermann.

www.datenschutz.rlp.de poststelle@datenschutz.rlp.de
LfD Rheinland-Pfalz H. Eiermann

Europäischer Datenschutztag 28. Januar 2008
“Denn Sie wissen nicht, was sie tun...” Datenschutz in der Online-Generation Info-Shop 3 “Wie sicher ist die Technik ?” Sicherheitsaspekte von Web-Anwendungen LfD Rheinland-Pfalz H. Eiermann

Web-Anwendungen LfD Rheinland-Pfalz H. Eiermann

IT-Struktur Web-Anwendung

Schulverwaltungsnetz
Datei-/Anwendungsserver LfD Rheinland-Pfalz H. Eiermann

Schulverwaltungsnetz Pädagogisches Netz
Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-Pfalz H. Eiermann

Intranet-Server Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-Pfalz H. Eiermann

Intranet-Server Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-Pfalz H. Eiermann

rlp-Netz Schulverwaltungsnetz Pädagogisches Netz Web- / Intranet-Server Mailserver Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-Pfalz H. Eiermann

 IP Spoofing Manipulation von Datenpaketen  ICMP-Attacken
Angriffsszenarien  IP Spoofing Manipulation von Datenpaketen  ICMP-Attacken Missbrauch von Kontrollnachrichten  Replay-Attacken Aufzeichnen und erneutes Einspielen von Datenpaketen  Buffer-Overflow-Attacken Einschleußen von Programmcode durch Speicherüberlauf  ARP-Spoofing Manipulation von Datenströmen im LAN  DNS Spoofing Vortäuschen/Manipulation von DNS-Angaben  Web Spoofing Kontrolle der Verbindung zwischen Client und Server  Protokoll-Tunneling Kapselung in unverdächtigen Protokollen  Denial of Service-Attacken (DOS, DDoS) SYN-Flooding, Mail-Bomben  Schadenssoftware Viren, Würmer, Trojanische Pferde Aktive Komponenten (ActiveX, Java) LfD Rheinland-Pfalz H. Eiermann

rlp-Netz Schulverwaltungsnetz Pädagogisches Netz Webserver/Intranet-Server Mailserver Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-Pfalz H. Eiermann

rlp-Netz Schulverwaltungsnetz Pädagogisches Netz Webserver/Intranet-Server Router/Firewall Mailserver Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-Pfalz H. Eiermann

Firewall LfD Rheinland-Pfalz H. Eiermann

Firewall # ipfwadm -F -f # ipfwadm -F -p deny
# ipfwadm -F -a accept -P tcp -S /24 -D 0/0 80 # ipfwadm -F -a accept -P tcp -S 0/0 80 -D /24 # ... LfD Rheinland-Pfalz H. Eiermann

Sicherheitsmaßnahmen (Filterung nach IP-Adressen, Ports, Diensten)
Netzwerkebene LfD Rheinland-Pfalz H. Eiermann

Sicherheitsmaßnahmen
Anwendungsebene Sicherheitsmaßnahmen (Applikationssicherheit, Systemhärtung, Konfiguration) LfD Rheinland-Pfalz H. Eiermann

# ipfwadm -F -a accept -P tcp -S ANY -D 172.16.1.0/24 -port 80
Pädagogisches Netz Webserver/Intranet-Server Router/Firewall # ipfwadm -F -a accept -P tcp -S ANY -D /24 -port 80 Router/Firewall Datei-/Anwendungsserver LfD Rheinland-Pfalz H. Eiermann

Online-Kontrollen des LfD
• Schwerpunkt Internet-basierte Anwendungen • Nutzung frei verfügbarer Software für Analyse und Test • Nutzung frei verfügbarer Informationen LfD Rheinland-Pfalz H. Eiermann

Brutus, WebCrack, wwwhack Hydra
Tools Brutus, WebCrack, wwwhack Hydra nikto Manuelle Exploits (!) LfD Rheinland-Pfalz H. Eiermann

Beispiele für Vorgehensweisen / festgestellte Defizite
Beispiel 1: Directory Traversal Beispiel 2: SQL-Injection Beispiel 3: Wörterbuch-/BruteForce-Attacke LfD Rheinland-Pfalz H. Eiermann

Beispiel 1: „Directory Traversal“
Gemeinsames Internet-Angebot mehrerer Bundesländer • Ausbrechen aus der vorgegebenen Verzeichnisstruktur eines Webservers • Hintergrund: Fehlerhafte Zugriffsrechte Hinweise im Seitenquelltext „ratbare“ Verzeichnisstruktur • Probleme: Unbefugter Datenzugriff; Manipulation LfD Rheinland-Pfalz H. Eiermann

1. Quelltextanalyse src=”http://f009.internet.shop.net/counter.js“>

2. Browseraufruf: http://f009.internet.shop.net ... erfolglos
1. Quelltextanalyse src=” 2. Browseraufruf: erfolglos LfD Rheinland-Pfalz H. Eiermann

2. Browseraufruf: http://f009.internet.shop.net ... erfolglos
1. Quelltextanalyse src=” 2. Browseraufruf: erfolglos 3. Browseraufruf: LfD Rheinland-Pfalz H. Eiermann

4. Browseraufruf: https://internet.shop.net/f009/logs/
/internet.shop.net/f009/logs/counter2.csv LfD Rheinland-Pfalz H. Eiermann

IP-Adresse des Nutzers
4. Browseraufruf: /internet.shop.net/f009/logs/counter2.csv Datum/Uhrzeit IP-Adresse des Nutzers Zugangsknoten URL LfD Rheinland-Pfalz H. Eiermann

Im Ergebnis konnten in 19 Fällen Zugriffsdaten heruntergeladen werden.
Das Gesamtvolumen der Daten betrug ca MB (entspricht etwa Druckseiten DIN A 4- Seiten). Zeitaufwand insgesamt: ca. 1 Std. LfD Rheinland-Pfalz H. Eiermann

(Server-Root, Document-Root)
Vorbeugung • Gestaltung des Web-Angebots • Reduzierung der Hinweise im Seitenquelltext • Anpassung der Zugriffsrechte, Konfiguration des Webservers (Server-Root, Document-Root) LfD Rheinland-Pfalz H. Eiermann

Beispiel 2: „SQL-Injection“ Internet-basierte Register-Anwendung
• Kompromittierung der Web-Anwendung durch die Eingabe von SQL-Anweisungen • Hintergrund: Web-Applikation mit nachgeschalteter Datenbank Eingabefelder Mangelnde Prüfung von Benutzereingaben • Problem: Umgehung der Authentifizierung Unbefugter Datenzugriff Datenveränderung LfD Rheinland-Pfalz H. Eiermann

Web-Anwendung LfD Rheinland-Pfalz H. Eiermann

Web-Anwendung Dahinter stehende SQL-Anweisung:
rlpuser01 sE5Am Dahinter stehende SQL-Anweisung: select ... from ... where name=‘ rlpuser01‘ and passwd=‘ sE5Am‘ LfD Rheinland-Pfalz H. Eiermann

Web-Anwendung LfD Rheinland-Pfalz H. Eiermann

select ... from ... where name=‘ ... ‘ and passwd=‘ ...‘ LfD Rheinland-Pfalz H. Eiermann

select ... from ... where name=‘ ... ‘ and passwd=‘ ...‘ Benutzereingabe führt zu: select ... from ... where name=‘4711‘ or ‘1=1‘-- LfD Rheinland-Pfalz H. Eiermann

Anmeldung ohne gültige Benutzerkennung
Ergebnis: Anmeldung ohne gültige Benutzerkennung oder Passwort war möglich Zeitaufwand ca. 5 sec LfD Rheinland-Pfalz H. Eiermann

Anmeldung ohne gültige Benutzerkennung
Ergebnis: Anmeldung ohne gültige Benutzerkennung oder Passwort war möglich Zeitaufwand ca. 5 sec Innerhalb der Anwendung sind bei fehlender Prüfung der Benutzereingaben SQL-Anweisungen für jeden angemeldeten Benutzer möglich. LfD Rheinland-Pfalz H. Eiermann

Webserver/Intranet-Server Router/Firewall Mailserver Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-Pfalz H. Eiermann

Variationen ... ... ‘4711‘ or ‘1=1‘ LfD Rheinland-Pfalz H. Eiermann

Variationen ... ... ‘4711‘ or ‘1=1‘ ... ‘4711‘ or ‘1=1‘; insert user ... LfD Rheinland-Pfalz H. Eiermann

Variationen ... ... ‘4711‘ or ‘1=1‘ ... ‘4711‘ or ‘1=1‘; insert user ... ... ‘4711‘ or ‘1=1‘; delete ... LfD Rheinland-Pfalz H. Eiermann

Variationen ... ... ‘4711‘ or ‘1=1‘ ... ‘4711‘ or ‘1=1‘; insert user ... ... ‘4711‘ or ‘1=1‘; delete ... ... ‘4711‘ or ‘1=1‘; drop table LfD Rheinland-Pfalz H. Eiermann

Variationen ... ... ‘4711‘ or ‘1=1‘ ... ‘4711‘ or ‘1=1‘; insert user ... ... ‘4711‘ or ‘1=1‘; delete ... ... ‘4711‘ or ‘1=1‘; drop table ... ‘4711‘ or ‘1=1‘; exec master.dbo.xp_cmdshell ‘cmd.exe dir c: (MS SQL-Server, DB-User „sa“) LfD Rheinland-Pfalz H. Eiermann

Canonicalization ‘4711‘ or ‘1=1‘ LfD Rheinland-Pfalz H. Eiermann

‘ = 0x27 Canonicalization ‘4711‘ or ‘1=1‘
0x x27+or+0x27+1=1+=0x27 0x27+0x34+0x37+0x31+0x31+0x27+0x20+0x64+0x72+0x20+0x27+0x31+0x3d+0x31+0x27 LfD Rheinland-Pfalz H. Eiermann

‘ = 0x27 0x27 = char(39) Canonicalization ‘4711‘ or ‘1=1‘
0x x27+or+0x27+1=1+=0x27 0x27+0x34+0x37+0x31+0x31+0x27+0x20+0x64+0x72+0x20+0x27+0x31+0x3d+0x31+0x27 0x27 = char(39) char(39)+char(52)+char(55)+char(49)+char(49)+char(39)+char(11)+char(114) MS-SQL char(39,52,55,49,49,39,11, ) MySQL LfD Rheinland-Pfalz H. Eiermann

(Prepared Statements, Stored Procedures)
Vorbeugung • Gestaltung der Anwendung / Sichere Programmierung • Verwendung vorgefertigter Abfragen (Prepared Statements, Stored Procedures) • Filterung / Prüfung der Benutzereingaben (Input Validation) • Konfiguration des Webservers • Datenbank-Konfiguration “All user input is evil!” LfD Rheinland-Pfalz H. Eiermann

Mailserver mit Internet-basiertem Zugang (Outlook Web Access)
Beispiel 3: Mailserver mit Internet-basiertem Zugang (Outlook Web Access) „Wörterbuch- / Brute-Force-Attacke“ • Automatisiertes Ausprobieren möglicher Benutzerkennungen / Passwörter • Hintergrund: HTTP Basic Authentication • Problem: Aushebeln der Authentifizierung Unbefugter Datenzugriff Datenveränderung LfD Rheinland-Pfalz H. Eiermann

Anmeldeaufforderung .HTACCESS

Tool-Unterstützung (wwwhack) ...

Tool-Unterstützung ... ... für die Kennung „test“ mit beliebigem Passwort LfD Rheinland-Pfalz H. Eiermann

Tool-Unterstützung ... ... für eine beliebige Kennung mit einem beliebigem Passwort (Brute Force) Versuche mit einem Protokollvolumen von 500 MB wurden nicht erkannt. LfD Rheinland-Pfalz H. Eiermann

Tool-Unterstützung ... ... für vorgewählte Kennungen in einer Datei mit einem beliebigem Passwort (Wörterbuchattacke) z.B. admin administrator system sa nimda service lvarp test ... LfD Rheinland-Pfalz H. Eiermann

Ergebnis: gültige Kombinationen Benutzerkennung: Passwort
27078:lvarp 80610:lvarp 80624:lvarp 80670:lvarp 80683:lvarp 90002:lvarp 90004:lvarp 90005:lvarp 90007:lvarp 90201:lvarp 90202:lvarp 90205:lvarp 90302:lvarp 90505:lvarp lvarp:lvarp test:test Zeitaufwand insgesamt: ca. 30 min LfD Rheinland-Pfalz H. Eiermann

Zugriff auf Postfächer und Ablagestruktur

Versand von Mails unter der ermittelten Kennung.
=> Identitätsdiebstahl LfD Rheinland-Pfalz H. Eiermann

Vorbeugung • Passwortgestaltung und -gebrauch
• Verlässliche Authentifizierung • Serverkonfiguration • Gestaltung der Anwendung • Protokollierung / Auswertung LfD Rheinland-Pfalz H. Eiermann

Zugang zu Administrationsoberflächen via Internet
Sonstiges Zugang zu Administrationsoberflächen via Internet LfD Rheinland-Pfalz H. Eiermann

zugehöriges SQL-Statement: SELECT ... FROM ... WHERE $az=
Browserzeile: ... zugehöriges SQL-Statement: SELECT ... FROM ... WHERE $az= LfD Rheinland-Pfalz H. Eiermann

zugehöriges SQL-Statement: SELECT ... FROM ... WHERE $az=
Browserzeile: ... zugehöriges SQL-Statement: SELECT ... FROM ... WHERE $az= az= /2005 LfD Rheinland-Pfalz H. Eiermann

Anwendungsentwicklung (Konzeption, Programmierung)
Erkenntnisse: • Alle Angriffe erfolgten auf Anwendungsebene • Vorkehrungen auf Netzebene sind ohne Wirkung • Schwachstellen resultieren zum Teil aus Versäumnissen bei der Anwendungsentwicklung (Konzeption, Programmierung) • Mögliche Risiken wurden nicht thematisiert • Kommunikationsdefizite • Verbundentwicklungen bieten nicht zwangsläufig höheren Schutz • Risikobetrachtung / Sicherheitsuntersuchungen sind nicht erfolgt • Defizite bei der Überwachung sicherheitsrelevanter Ereignisse • Administrative Defizite • Arglosigkeit ... LfD Rheinland-Pfalz H. Eiermann

122 Mio WebSites LfD Rheinland-Pfalz H. Eiermann

... admin.asp, admin.js, admin.html
Ich finde Dich ... ! LfD Rheinland-Pfalz H. Eiermann

... login.asp, login.js, login.html Ich finde Dich ... ! LfD Rheinland-Pfalz H. Eiermann

... login.asp, login.js, login.html Ich finde Dich ... ! ... anmeldung.asp, anmeldung.js, anmeldung.html LfD Rheinland-Pfalz H. Eiermann

Konsequenzen: • Risikobetrachtung
• Sicherheit als Aspekt der eGovernment-Tauglichkeit • Sicherheitskonzept / Evaluation • Filterung der Benutzereingaben (Input-Validation) • Überwachung sicherheitsrelevanter Ereignisse • Sichere Konfiguration der Anwendungsplattform („Härtung“) • Sicherheitsbewusste Administration („Betriebshandbuch“) • Sichere Anwendungsentwicklung („Pflichtenheft Anwendungssicherheit“) LfD Rheinland-Pfalz H. Eiermann

Verfahrenskomponenten
Anwendung Server- / Plattform Netzwerk LfD Rheinland-Pfalz H. Eiermann

Verfahrenskomponenten Sicherheitsmaßnahmen:
Anwendung Server- / Plattform Administration, Konfiguration, Betrieb Netzwerk Netzstruktur, Firewall LfD Rheinland-Pfalz H. Eiermann

Verfahrenskomponenten Sicherheitsmaßnahmen:
Anwendung Entwicklung, Administration, Konfiguration Server- / Plattform Netzwerk LfD Rheinland-Pfalz H. Eiermann

Quelle: www.microsoft.com/germany/msdn/library/security/
Handbuch „Erhöhen der Sicherheit von Webanwendungen“ LfD Rheinland-Pfalz H. Eiermann

Quelle: www.bsi.de/literat/studien/websec/index.htm

Www.datenschutz.rlp.de poststelle@datenschutz.rlp.de LfD Rheinland-Pfalz H. Eiermann.

Ähnliche Präsentationen

Präsentation zum Thema: "Www.datenschutz.rlp.de poststelle@datenschutz.rlp.de LfD Rheinland-Pfalz H. Eiermann."— Präsentation transkript:

Ähnliche Präsentationen

Über Projekt

Feedback

Anmelden

Anmeldung über soziales Netzwerk:

Www.datenschutz.rlp.de poststelle@datenschutz.rlp.de LfD Rheinland-Pfalz H. Eiermann.

Ähnliche Präsentationen

Präsentation zum Thema: "Www.datenschutz.rlp.de poststelle@datenschutz.rlp.de LfD Rheinland-Pfalz H. Eiermann."— Präsentation transkript:

Ähnliche Präsentationen

Über Projekt

Feedback