Posts nach Kategorien: IT-Sicherheit

Im vorliegenden Projekt wurde eine Sammlung ausgewählter Android-Applikationen untersucht. Dabei sollte evaluiert werden, ob die inspizierten Anwendungen möglichen Bedrohungen bzw. Angriffen standhalten können. Aus gängigen Angriffsvektoren wurden konkrete Untersuchungskriterien abgeleitet, die folglich auf den Datensatz angewandt wurden. Im Zuge der vorgenommenen Analyse wurden schließlich Auffälligkeiten in 8 von 10 Applikationen festgestellt. Die aufgedeckten Missstände beeinträchtigen das erreichbare Maß an Sicherheit signifikant und können dazu führen, dass geheime oder sensible Daten an Dritte veruntreut werden. Weiter lesen…

Browser beschränken sich bei der Anzeige sicherheitsbezogener Informationen über Webseiten zumeist auf ein Minimum. Obwohl deutlich erkennbar ist, ob die Verbindung zu einer Seite verschlüsselt ist oder nicht, werden detailliertere Informationen darüber ausgespart oder sind nur umständlich auslesbar.

Als Konsequenz wurde in diesem Projekt ein modular erweiterbares Plugin für Mozilla Firefox entwickelt, das aufgerufene Domains auf sicherheitskritische Aspekte hin untersucht und die Ergebnisse für sicherheits-affine Anwender visuell ansprechend aufbereitet. Weiter lesen…

In diesem Projekt wurde ein Android Plugin für das Cross-Plattform Framework Apache Cordova implementiert. Dieses Plugin bietet kryptographische Funktionen über eine zur Web Crypto API idente Schnittstelle an. Schlüsselmaterial wird dabei im Schlüsselspeicher des mobilen Gerätes abgelegt. Da der Schlüsselspeicher bei vielen Android Geräten unter Verwendung eines Secure Element realisiert wurde, ergibt sich somit ein besserer Schutz für Schlüsselmaterial gegen Softwareangriffe.

Weiter lesen…

Diese Kurzstudie beschreibt die aktuellen Applikationsanalysemöglichen für Windows Phone 8 und Windows Phone 8.1 Applikationen. Es werden die verschiedenen Applikationsquellen beleuchtet, die verschiedenen Freischaltstufen von Windows Phone Geräten sowie die zur Verfügung stehenden Analysemethoden kurz besprochen. Die Studie kommt zum Entschluss, dass die Windows Plattform viele Möglichkeiten in Hinblick auf die Applikationsanalyse liefert. Weiter lesen…

Die Technologie „Trusted Computing“ bietet im Bereich der IT Sicherheit interessante Konzepte und Methoden an, um vernetzte Systeme für jeden einzelnen Teilnehmer insgesamt vertrauenswürdiger zu machen. Durch die Einführung neuer Komponenten in derzeit übliche Computerplattformen können diese ständig überwacht und vor unerwünschtem Verhalten, wie es beispielsweise durch Schadsoftware verursacht werden könnte, geschützt werden. Neben dem Schutz des eigenen Systems unterstützt Trusted Computing auf diese Weise auch die Möglichkeit, Informationen über den aktuellen Sicherheitszustand entfernter Systeme zu beziehen. A-SIT hat bereits im Jahr 2009 eine erste Evaluierung von Trusted Computing und der zentralen Komponente, dem Trusted Platform Module vorgenommen. Die damalige Studie beschäftigt sich mit dem auf dem Markt eingeführten TPM v1.2.

Vor kurzem wurde die Spezifikation des TPM v2 von der Trusted Computing Group vorgestellt. Diese neue Version des TPM ist noch nicht in Systeme integriert, aber bereits als Chipmuster von ersten Herstellern erhältlich. A-SIT hat einen Überblick zu TPMv2 erstellt und einen TPMv2 Emulator aus dem Spezifikationsdokumenten synthetisiert. Das Ergebnis wird derzeit aufbereitet und in Kürze hier dargestellt.

KeePass ist ein freies Programm zur Kennwortverwaltung. Der Zugriff kann mittels Passwort, Schlüsseldatei oder Bindung an den jeweiligen Windows Account abgesichert werden.

Dieses A-SIT „Smartcard“ Plugin fügt Unterstützung für Österreichische Bürgerkarten (Ecard G2 & G3 Karten, ACOS Karten) zur Funktionalität von KeePass hinzu. Bei Verwendung dieses Plugins kann der Zugriff auf die Passwort-Datenbank mittels Bürgerkarte geschützt werden. Dafür wird ein zufälliger Schlüssel generiert und mittels der Bürgerkarte verschlüsselt. Bei jedem Zugriff auf die Passwort-Datenbank wird der gespeicherte verschlüsselte Schlüssel geladen und mittels Bürgerkarte entschlüsselt und an KeePass übergeben. Zusätzlich zur Bürgerkarte kann die Datenbank auch weiterhin mittels Passwort oder Bindung an den Windows Account geschützt werden um die Sicherheit weiter zu erhöhen.

Weiter lesen…

Die Flexibilität von USB ermöglicht es eine Vielzahl unterschiedlicher Geräte über eine gemeinsame Schnittstelle ohne Authentifizierung einzubinden. Weil ein Computer im Vorhinein nicht wissen kann, welches USB-Gerät angeschlossen ist, verwendet er die Informationen, die das Gerät bereitstellt um sich zu identifizieren. Ein Benutzer wiederum erwartet von USB-Geräten die Funktionalität, für die sie konzipiert wurden. In der jüngeren Vergangenheit traten vermehrt präparierte USB-Geräte in Erscheinung, die von gegenwärtigen Schutzmaßnahmen nicht als Bedrohung erkannt werden können.

Im Rahmen einer Kurzstudie wurde erörtert, anhand welcher Methoden USB-Geräte manipuliert werden können um damit unentdeckt Computer anzugreifen. Nach einer kurzen Einleitung zum USB-Standard wurden bekannte Angriffsmöglichkeiten zusammengefasst. Ein besonderes Augenmerk wurde auf die Manipulierbarkeit der Firmware bei USB-Sticks gelegt („BadUSB“-Angriff). Praktische Fallbeispiele dienten als Unterstützung beim Aufzeigen der Problematik und Veranschaulichung der mögliche Tragweite eines Angriffs. Abschließend wurde der Einsatz möglicher Schutzmechanismen diskutiert.
Weiter lesen…

Dieses Projekt beschreibt eine flexible und modulare Herangehensweise für bestehende peer-to-peer Frameworks um sichere Kommunikation, unter Verwendung von etablierten und erprobten Protokollen und Algorithmen. Es wird eine Kompatibilitätsschicht beschrieben an die sich bestehende peer-to-peer Frameworks sowie Verfahren für Transportsicherheut nahtlos angekoppeln werden können. Außerdem werden die Komponenten von Ende-zu-Ende Sicherheit im Kontext von peer-to-peer Netzwerken und TLS analysiert. Auf diesem Framework basierend wurde eine Proof-of-Concept Applikation entwickelt die im Downloadbereich angeboten wird. Weiter lesen…

Peter Teufl hat am 15.10.2014 im Rahmen der Veranstaltung SecurITy 2014 einen Vortrag zum Thema „Sicherheit von Bring Your Own Device Lösungen“ gehalten.

• SecurITy 2014: http://www.iir.at/veranstaltungen/rueckblick/forum-it-security-14/
• Presentation: Mobile Geräte – Sicherheit vs Komplexität

In diesem Projekt wurden die Eigenschaften von österreichischen gv.at Domänen analysiert. Der Fokus wurde dabei auf die Unterstützung von TLS (Anbieten der Dienste über HTTPS) gelegt. Im Rahmen dieses Projekts wurde das Rahmenwerk für die automatische Analyse geschaffen und die ersten Ergebnisse im Rahmen einer Kurzsstudie präsentiert. Weiter lesen…