Die Flexibilität von USB ermöglicht es eine Vielzahl unterschiedlicher Geräte über eine gemeinsame Schnittstelle ohne Authentifizierung einzubinden. Weil ein Computer im Vorhinein nicht wissen kann, welches USB-Gerät angeschlossen ist, verwendet er die Informationen, die das Gerät bereitstellt um sich zu identifizieren. Ein Benutzer wiederum erwartet von USB-Geräten die Funktionalität, für die sie konzipiert wurden. In der jüngeren Vergangenheit traten vermehrt präparierte USB-Geräte in Erscheinung, die von gegenwärtigen Schutzmaßnahmen nicht als Bedrohung erkannt werden können.

Im Rahmen einer Kurzstudie wurde erörtert, anhand welcher Methoden USB-Geräte manipuliert werden können um damit unentdeckt Computer anzugreifen. Nach einer kurzen Einleitung zum USB-Standard wurden bekannte Angriffsmöglichkeiten zusammengefasst. Ein besonderes Augenmerk wurde auf die Manipulierbarkeit der Firmware bei USB-Sticks gelegt (“BadUSB”-Angriff). Praktische Fallbeispiele dienten als Unterstützung beim Aufzeigen der Problematik und Veranschaulichung der mögliche Tragweite eines Angriffs. Abschließend wurde der Einsatz möglicher Schutzmechanismen diskutiert.
Weiter lesen…

Dieses Projekt beschreibt eine flexible und modulare Herangehensweise für bestehende peer-to-peer Frameworks um sichere Kommunikation, unter Verwendung von etablierten und erprobten Protokollen und Algorithmen. Es wird eine Kompatibilitätsschicht beschrieben an die sich bestehende peer-to-peer Frameworks sowie Verfahren für Transportsicherheut nahtlos angekoppeln werden können. Außerdem werden die Komponenten von Ende-zu-Ende Sicherheit im Kontext von peer-to-peer Netzwerken und TLS analysiert. Auf diesem Framework basierend wurde eine Proof-of-Concept Applikation entwickelt die im Downloadbereich angeboten wird. Weiter lesen…

Peter Teufl hat am 15.10.2014 im Rahmen der Veranstaltung SecurITy 2014 einen Vortrag zum Thema “Sicherheit von Bring Your Own Device Lösungen” gehalten.

• SecurITy 2014: http://www.iir.at/veranstaltungen/rueckblick/forum-it-security-14/
• Presentation: Mobile Geräte – Sicherheit vs Komplexität

In diesem Projekt wurden die Eigenschaften von österreichischen gv.at Domänen analysiert. Der Fokus wurde dabei auf die Unterstützung von TLS (Anbieten der Dienste über HTTPS) gelegt. Im Rahmen dieses Projekts wurde das Rahmenwerk für die automatische Analyse geschaffen und die ersten Ergebnisse im Rahmen einer Kurzsstudie präsentiert. Weiter lesen…

Cloud-basierte Signaturelösungen fordern ihre Papier-basierte Konkurrenz heraus. Geschäftsprozesse lernen den Geschwindigkeitsvorteil digitaler Unterschrift immer mehr zu schätzen und legen die klassische Unterschrift ad acta. In dieser Studie beleuchten wir 7 representative Cloud-Signatur-Vertreter und evaluieren sie nach den verwendeten kryptographischen Methoden, den angebotenen Interfaces, den Authentifizierungsmethoden und der Schlüsselspeicherlösung. Die Studie zeigt, dass Mehrfaktor-Authentifizierung und Hardware-unterstützes Speichern von Schlüsseln weit verbreitet sind. Verschiedene Interfaces, von APIs über Web Userinterfaces hin zu proprietären Programmen, stehen im Rennen. Dennoch konnten wir einige Schwachstellen in Flexibilität und Sicherheit finden.

Weiter lesen…

Web-Applikationen ersetzen zunehmend traditionelle Desktop-Applikationen. Dahingehend findet oftmals auch eine Verarbeitung sensibler Daten im Browser statt. Applikationen, die sicherheitskritische Daten verarbeiten, fehlen jedoch wichtige kryptographische Komponenten. Basiskomponenten wie RSA oder AES Verschlüsselung sind zwar mittlerweile ausreichend durch Javascript-Bibliotheken abgedeckt, jedoch werden keine darauf aufbauenden Bibliotheken beispielsweise zur Unterstützung von Cryptographic Message Syntax Containern angeboten. Im Zuge dieses Projektes wurde eine Basiskomponente entwickelt, die basierend auf bestehenden Kryptographie Bibliotheken eine Verschlüsselung und Entschlüsselung von Daten in CMS-Containern ermöglicht.

Weiter lesen…

Zweifaktorauthentifizierung ist ein essentieller Mechanismus, der den sicheren Zugriff auf entfernte Dienste ermöglicht. Die österreichische Bürgerkarte ist nur eines von vielen Beispielen, das auf dem Grundkonzept der Zweifaktorauthentifizierung beruht. Die meisten Methoden der Zweifaktorauthentifizierung wurden für klassische Endnutzergeräte wie Desktop-PCs oder Laptops entwickelt. Chipkartenbasierte Ansätze oder auch das SMS-TAN-Verfahren sind Beispiele dafür. In den letzten Jahren konnten jedoch mobile Endnutzergeräte entscheidend an Bedeutung gewinnen. Da sich diese Geräte in Handhabung, Sicherheitsmerkmalen und Funktionalität mitunter signifikant von klassischen Endnutzergeräten unterscheiden, können etablierte Methoden der Zweifaktorauthentifizierung auf diesen Geräten nicht oder nur bedingt eingesetzt werden.

Um sich dem Thema Zweifaktorauthentifizierung unter diesem Gesichtspunkt zu nähern und mögliche Varianten der sicheren Remote-Authentifizierung unter Verwendung mobiler Endnutzergeräte zu analysieren, wurde von A-SIT eine Studie erstellt. Dazu wurden im Wesentlichen folgende Tätigkeiten durchgeführt, die sich im Inhalt der Studie widerspiegeln.

• Es wurde zunächst ein allgemeiner Überblick über die grundlegenden Konzepte hinter dem Konzept der Zweifaktorauthentifizierung erarbeitet.
• Danach wurden anhand eines abstrakten Modells generische Anforderungen an Methoden der Zweifaktorauthentifizierung auf mobilen Geräten definiert.
• Mit Hilfe der definierten Anforderungen wurden bestehende Ansätze systematisch evaluiert.
• Aus den erhaltenen Ergebnissen der Evaluierung wurde eine geeignete Lösung erarbeitet.
• Die prinzipielle Anwendbarkeit dieser Lösung wurde evaluiert, indem diese auf den konkreten Anwendungsfall serverbasierter Signaturlösungen angewendet wurde.
• Die praktische Umsetzbarkeit der Lösung wurde schließlich anhand einer prototypischen Implementierung nachgewiesen.

Insgesamt zeigt diese Studie damit, dass moderne mobile Endnutzergeräte trotz zu berücksichtigender Limitierungen Möglichkeiten bieten, alternative Methoden der Zweifaktorauthentifizierung umzusetzen. Die Studie zeigt außerdem, dass diese Methoden auch in bestehende Applikationen integriert werden können und somit deren Sicherheit auch im Falle eines Zugriffs über mobile Endnutzergeräte gewährleistet werden kann.

Die von A-SIT erstellte Studie kann unter folgendem Link heruntergeladen werden:

Alternative Zweifaktorauthentifizierung (DE, PDF)

Durch die Weiterentwicklungen bestehender und Einführung neuer Smartphone-Plattformen sind sowohl Betreiberinnen und Betreiber von IT-Systemen als auch Benutzerinnen und Benutzer gefordert, Überblick über die ständig wachsenden Funktionen zu behalten. Mittlerweile verfügen Smartphones über beinahe dieselben Möglichkeiten zur Datenverarbeitung wie herkömmliche Desktop-Computer und führen so zunehmend auch zur Verarbeitung kritischer Unternehmensdaten am mobilen Gerät.
Aus diesem Grund wurde gängige Smartphone-Plattformen in den letzten Jahren um viele Sicherheitsfunktionen ergänzt, die zu Beginn aufgrund der Ausrichtung für den privaten Benutzer fehlten. Die aktuellen Versionen von Android, iOS, Windows Mobile und Blackberry unterstützen eine große Anzahl von Sicherheitsfunktionen, die für den Einsatz im Unternehmen und den Umgang mit sicherheitskritischen Daten geeignet sind. Beispiele für diese Funktionen sind die Integration von Verschlüsselungssystemen, Management-Schnittstellen, die es ermöglichen Policies für die Geräte zu definieren, oder sichere Speicher für das Ablegen von Schlüsselmaterial und Passwörtern. Ziel der von A-SIT erarbeiteten Studie ist es, eine Grundlage für die Bewertung der Eignung einer Smartphone-Plattform für den Einsatz im Unternehmen zu bieten. Weiter lesen…

Die Vorteile des Betriebs von IT Services in der Cloud wie z.B. Kostenersparnis, bessere Skalierung etc. lassen die Verwendung von Cloud Services auch für E-Government Services attraktiv erscheinen. Da unterschiedliche PaaS-Provider beim Deployment von Services Einschränkungen auferlegen, wurde mit diesem Projekt die Cloud-Fähigkeit von Signatur-Basiselementen analysiert. Konkret wurden der Signaturprüfdienst und in weiterer Folge MOA-SPSS in einer aktuellen Cloud-Umgebung installiert. Dieses Projekt analysiert die technischen Einschränkungen eines möglichen Betriebs von Kernelement in der Cloud, die rechtlichen Rahmenbedingungen bleiben jedoch unbeachtet. Weiter lesen…

Das SmartCard Applet erkennt Chipkarten anhand des ATR (Answer to Reset). Zusätzlich zu den hier angeführten Karten werden auch eID Karten aus EU Staaten erkannt (österreichische eCard, finnische eID Karte etc.). Weiter lesen…