Es wurde ein Framework entwickelt, das die systemübergreifende Definition sowie die Darstellung von Ressourcen und Sicherheitsrichtlinien ermöglicht. Weiter lesen…
In diesem Projekt wurden einige Windows Phone Applikationen statisch analysiert. Ziel war es, gängige Sicherheitsprobleme zu finden. Dafür wurden zuerst einige ausgewählte Applikationen manuell analysiert. Die gewonnenen Erkenntnisse wurden zur Erstellung eines automatischen Analyse-Frameworks genutzt. Mit diesem Framework wurden ~40000 Applikationen analysiert, in 8.5% der Applikationen wurden Sicherheitsprobleme gefunden.
Online-Dienste zur Ablage von Daten (z.B. Dropbox, Google Drive) bieten keine Möglichkeit, die hinterlegten Daten vor dem Hochladen zu verschlüsseln. Desktop-Programme von Drittherstellern sind prinzipiell in der Lage, dieser Aufgabe nachzukommen. Jedoch sind diese Applikationen teils nicht für das jeweils eingesetzte (Mobil-)Betriebssystem verfügbar oder schützen die eingesetzten kryptographischen Schlüssel nur unzureichend. Als Konsequenz wurde in diesem Projekt im Rahmen eines Prototyps ein Browser-Plugin für Google Chrome umgesetzt, das ohne Umweg über tertiäre Applikationen bestehende Browser-Schnittstellen so umleitet, dass von AnwenderInnen gegebene Daten über eine sichere Plattform (SkyTrust) einer kryptographischen Operation unterzogen werden. Der Vorteil dieses Ansatzes ist, dass existierende Web-Applikationen keiner speziellen Anpassung bedürfen, damit die Daten von BenutzerInnen kryptographisch geschützt werden. Weiter lesen…
Durch die ständige Verfügbarkeit von mobilen Geräten halten diese unaufhaltsam Einzug in das tägliche Leben der Benutzer. Außerdem werden mobile Geräte immer leistungsfähiger, sind aber trotzdem stark eingeschränkt in Bezug auf deren Laufzeit wegen einer begrenzten Kapazität der verwendeten Akkus. Um sich diesem Problem anzunehmen, wurden unterschiedliche Systeme entwickelt um dynamisch externe Ressourcen zu allokieren und diese dem mobilen Gerät zur Verfügung zu stellen. Es stellt sich aber heraus, dass einerseits alle verfügbaren Systeme sehr stark auf ausgewählte Plattformen beschränkt sind und andererseits keines der vorhandenen Systeme sich Sicherheitsaspekten widmet.
Weiter lesen…
Im vorliegenden Projekt wurde eine Sammlung ausgewählter Android-Applikationen untersucht. Dabei sollte evaluiert werden, ob die inspizierten Anwendungen möglichen Bedrohungen bzw. Angriffen standhalten können. Aus gängigen Angriffsvektoren wurden konkrete Untersuchungskriterien abgeleitet, die folglich auf den Datensatz angewandt wurden. Im Zuge der vorgenommenen Analyse wurden schließlich Auffälligkeiten in 8 von 10 Applikationen festgestellt. Die aufgedeckten Missstände beeinträchtigen das erreichbare Maß an Sicherheit signifikant und können dazu führen, dass geheime oder sensible Daten an Dritte veruntreut werden. Weiter lesen…
Browser beschränken sich bei der Anzeige sicherheitsbezogener Informationen über Webseiten zumeist auf ein Minimum. Obwohl deutlich erkennbar ist, ob die Verbindung zu einer Seite verschlüsselt ist oder nicht, werden detailliertere Informationen darüber ausgespart oder sind nur umständlich auslesbar.
Als Konsequenz wurde in diesem Projekt ein modular erweiterbares Plugin für Mozilla Firefox entwickelt, das aufgerufene Domains auf sicherheitskritische Aspekte hin untersucht und die Ergebnisse für sicherheits-affine Anwender visuell ansprechend aufbereitet. Weiter lesen…
In diesem Projekt wurde ein Android Plugin für das Cross-Plattform Framework Apache Cordova implementiert. Dieses Plugin bietet kryptographische Funktionen über eine zur Web Crypto API idente Schnittstelle an. Schlüsselmaterial wird dabei im Schlüsselspeicher des mobilen Gerätes abgelegt. Da der Schlüsselspeicher bei vielen Android Geräten unter Verwendung eines Secure Element realisiert wurde, ergibt sich somit ein besserer Schutz für Schlüsselmaterial gegen Softwareangriffe.
Diese Kurzstudie beschreibt die aktuellen Applikationsanalysemöglichen für Windows Phone 8 und Windows Phone 8.1 Applikationen. Es werden die verschiedenen Applikationsquellen beleuchtet, die verschiedenen Freischaltstufen von Windows Phone Geräten sowie die zur Verfügung stehenden Analysemethoden kurz besprochen. Die Studie kommt zum Entschluss, dass die Windows Plattform viele Möglichkeiten in Hinblick auf die Applikationsanalyse liefert. Weiter lesen…
Die Technologie „Trusted Computing“ bietet im Bereich der IT Sicherheit interessante Konzepte und Methoden an, um vernetzte Systeme für jeden einzelnen Teilnehmer insgesamt vertrauenswürdiger zu machen. Durch die Einführung neuer Komponenten in derzeit übliche Computerplattformen können diese ständig überwacht und vor unerwünschtem Verhalten, wie es beispielsweise durch Schadsoftware verursacht werden könnte, geschützt werden. Neben dem Schutz des eigenen Systems unterstützt Trusted Computing auf diese Weise auch die Möglichkeit, Informationen über den aktuellen Sicherheitszustand entfernter Systeme zu beziehen. A-SIT hat bereits im Jahr 2009 eine erste Evaluierung von Trusted Computing und der zentralen Komponente, dem Trusted Platform Module vorgenommen. Die damalige Studie beschäftigt sich mit dem auf dem Markt eingeführten TPM v1.2.
Vor kurzem wurde die Spezifikation des TPM v2 von der Trusted Computing Group vorgestellt. Diese neue Version des TPM ist noch nicht in Systeme integriert, aber bereits als Chipmuster von ersten Herstellern erhältlich. A-SIT hat einen Überblick zu TPMv2 erstellt und einen TPMv2 Emulator aus dem Spezifikationsdokumenten synthetisiert. Das Ergebnis wird derzeit aufbereitet und in Kürze hier dargestellt.
KeePass ist ein freies Programm zur Kennwortverwaltung. Der Zugriff kann mittels Passwort, Schlüsseldatei oder Bindung an den jeweiligen Windows Account abgesichert werden.
Dieses A-SIT „Smartcard“ Plugin fügt Unterstützung für Österreichische Bürgerkarten (Ecard G2 & G3 Karten, ACOS Karten) zur Funktionalität von KeePass hinzu. Bei Verwendung dieses Plugins kann der Zugriff auf die Passwort-Datenbank mittels Bürgerkarte geschützt werden. Dafür wird ein zufälliger Schlüssel generiert und mittels der Bürgerkarte verschlüsselt. Bei jedem Zugriff auf die Passwort-Datenbank wird der gespeicherte verschlüsselte Schlüssel geladen und mittels Bürgerkarte entschlüsselt und an KeePass übergeben. Zusätzlich zur Bürgerkarte kann die Datenbank auch weiterhin mittels Passwort oder Bindung an den Windows Account geschützt werden um die Sicherheit weiter zu erhöhen.