1 / 80

LfD Rheinland-Pfalz H. Eiermann

www.datenschutz.rlp.de poststelle@datenschutz.rlp.de. LfD Rheinland-Pfalz H. Eiermann. Europäischer Datenschutztag 28. Januar 2008 “Denn Sie wissen nicht, was sie tun...” Datenschutz in der Online-Generation Info-Shop 3 “Wie sicher ist die Technik ?”. Sicherheitsaspekte von

quana
Download Presentation

LfD Rheinland-Pfalz H. Eiermann

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. www.datenschutz.rlp.de poststelle@datenschutz.rlp.de LfD Rheinland-Pfalz H. Eiermann

  2. Europäischer Datenschutztag 28. Januar 2008 “Denn Sie wissen nicht, was sie tun...” Datenschutz in der Online-Generation Info-Shop 3 “Wie sicher ist die Technik ?” Sicherheitsaspekte von Web-Anwendungen LfD Rheinland-Pfalz H. Eiermann

  3. Web-Anwendungen LfD Rheinland-PfalzH. Eiermann

  4. IT-Struktur Web-Anwendung LfD Rheinland-Pfalz H. Eiermann

  5. Schulverwaltungsnetz Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  6. Schulverwaltungsnetz Pädagogisches Netz Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  7. Schulverwaltungsnetz Pädagogisches Netz Intranet-Server Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  8. Schulverwaltungsnetz Pädagogisches Netz Intranet-Server Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  9. Schulverwaltungsnetz Pädagogisches Netz Intranet-Server Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  10. rlp-Netz Schulverwaltungsnetz Pädagogisches Netz Web- / Intranet-Server Mailserver Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  11. Angriffsszenarien IP SpoofingManipulation von Datenpaketen ICMP-Attacken Missbrauch von Kontrollnachrichten Replay-Attacken Aufzeichnen und erneutes Einspielen von Datenpaketen Buffer-Overflow-Attacken Einschleußen von Programmcode durch Speicherüberlauf ARP-Spoofing Manipulation von Datenströmen im LAN DNS Spoofing Vortäuschen/Manipulation von DNS-Angaben Web Spoofing Kontrolle der Verbindung zwischen Client und Server Protokoll-TunnelingKapselung in unverdächtigen Protokollen Denial of Service-Attacken (DOS, DDoS) SYN-Flooding, Mail-Bomben Schadenssoftware Viren, Würmer, Trojanische Pferde Aktive Komponenten (ActiveX, Java) LfD Rheinland-Pfalz H. Eiermann

  12. rlp-Netz Schulverwaltungsnetz Pädagogisches Netz Webserver/Intranet-Server Mailserver Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  13. rlp-Netz Schulverwaltungsnetz Pädagogisches Netz Webserver/Intranet-Server Router/Firewall Mailserver Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  14. rlp-Netz Schulverwaltungsnetz Pädagogisches Netz Webserver/Intranet-Server Router/Firewall Mailserver Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  15. rlp-Netz Schulverwaltungsnetz Pädagogisches Netz Webserver/Intranet-Server Router/Firewall Mailserver Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  16. Firewall LfD Rheinland-Pfalz H. Eiermann

  17. Firewall # ipfwadm -F -f # ipfwadm -F -p deny # ipfwadm -F -a accept -P tcp -S 172.16.1.0/24 -D 0/0 80 # ipfwadm -F -a accept -P tcp -S 0/0 80 -D 172.16.1.0/24 # ... LfD Rheinland-Pfalz H. Eiermann

  18. Sicherheitsmaßnahmen (Filterung nach IP-Adressen, Ports, Diensten) Netzwerkebene LfD Rheinland-Pfalz H. Eiermann

  19. Sicherheitsmaßnahmen (Applikationssicherheit, Systemhärtung, Konfiguration) Anwendungsebene LfD Rheinland-Pfalz H. Eiermann

  20. Pädagogisches Netz Webserver/Intranet-Server Router/Firewall # ipfwadm -F -a accept -P tcp -S ANY -D 172.16.1.0/24 -port 80 Router/Firewall Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  21. Online-Kontrollen des LfD •Schwerpunkt Internet-basierte Anwendungen • Nutzung frei verfügbarer Software für Analyse und Test •Nutzung frei verfügbarer Informationen LfD Rheinland-Pfalz H. Eiermann

  22. Tools Brutus, WebCrack, wwwhack Hydra nikto Manuelle Exploits (!) LfD Rheinland-Pfalz H. Eiermann

  23. Beispiele für Vorgehensweisen / festgestellte Defizite Beispiel 1:Directory Traversal Beispiel 2:SQL-Injection Beispiel 3:Wörterbuch-/BruteForce-Attacke LfD Rheinland-Pfalz H. Eiermann

  24. Beispiel 1: „Directory Traversal“ Gemeinsames Internet-Angebot mehrerer Bundesländer •Ausbrechen aus der vorgegebenen Verzeichnisstruktur eines Webservers •Hintergrund: Fehlerhafte Zugriffsrechte Hinweise im Seitenquelltext „ratbare“ Verzeichnisstruktur •Probleme: Unbefugter Datenzugriff; Manipulation LfD Rheinland-Pfalz H. Eiermann

  25. LfD Rheinland-Pfalz H. Eiermann

  26. 1. Quelltextanalyse src=”http://f009.internet.shop.net/counter.js“> LfD Rheinland-Pfalz H. Eiermann

  27. 1. Quelltextanalyse src=”http://f009.internet.shop.net/counter.js“> 2. Browseraufruf:http://f009.internet.shop.net ... erfolglos LfD Rheinland-Pfalz H. Eiermann

  28. 1. Quelltextanalyse src=”http://f009.internet.shop.net/counter.js“> 2. Browseraufruf:http://f009.internet.shop.net ... erfolglos 3. Browseraufruf:http://internet.shop.net/f009 LfD Rheinland-Pfalz H. Eiermann

  29. 1. Quelltextanalyse src=”http://f009.internet.shop.net/counter.js“> 2. Browseraufruf:http://f009.internet.shop.net ... erfolglos 3. Browseraufruf:http://internet.shop.net/f009 https://internet.shop.net/f009 LfD Rheinland-Pfalz H. Eiermann

  30. 1. Quelltextanalyse src=”http://f009.internet.shop.net/counter.js“> 2. Browseraufruf:http://f009.internet.shop.net ... erfolglos 3. Browseraufruf:http://internet.shop.net/f009 https://internet.shop.net/f009 LfD Rheinland-Pfalz H. Eiermann

  31. 4. Browseraufruf:https://internet.shop.net/f009/logs/ /internet.shop.net/f009/logs/counter2.csv LfD Rheinland-Pfalz H. Eiermann

  32. 4. Browseraufruf:https://internet.shop.net/f009/logs/ /internet.shop.net/f009/logs/counter2.csv Datum/Uhrzeit IP-Adresse des Nutzers Zugangsknoten URL LfD Rheinland-Pfalz H. Eiermann

  33. https://internet.shop.net/f002/logs/counter2.csv https://internet.shop.net/f003/logs/counter2.csv https://internet.shop.net/f004/logs/counter2.csv https://internet.shop.net/f005/logs/counter2.csv https://internet.shop.net/f006/logs/counter2.csv https://internet.shop.net/f007/logs/counter2.csv https://internet.shop.net/f008/logs/counter2.csv https://internet.shop.net/f009/logs/counter2.csv https://internet.shop.net/f010/logs/counter2.csv https://internet.shop.net/f011/logs/counter2.csv https://internet.shop.net/f012/logs/counter2.csv https://internet.shop.net/f013/logs/counter2.csv https://internet.shop.net/f014/logs/counter2.csv https://internet.shop.net/f015/logs/counter2.csv https://internet.shop.net/f016/logs/counter2.csv https://internet.shop.net/f017/logs/counter2.csv https://internet.shop.net/f018/logs/counter2.csv https://internet.shop.net/f019/logs/counter2.csv

  34. Im Ergebnis konnten in 19 Fällen Zugriffsdaten heruntergeladen werden. Das Gesamtvolumen der Daten betrug ca. 300 MB (entspricht etwa 1.600 Druckseiten DIN A 4-Seiten). Zeitaufwand insgesamt: ca. 1 Std. LfD Rheinland-Pfalz H. Eiermann

  35. Vorbeugung •Gestaltung des Web-Angebots •Reduzierung der Hinweise im Seitenquelltext •Anpassung der Zugriffsrechte, Konfiguration des Webservers (Server-Root, Document-Root) LfD Rheinland-Pfalz H. Eiermann

  36. Beispiel 2: „SQL-Injection“ Internet-basierte Register-Anwendung •Kompromittierung der Web-Anwendung durch die Eingabe von SQL-Anweisungen •Hintergrund: Web-Applikation mit nachgeschalteter Datenbank Eingabefelder Mangelnde Prüfung von Benutzereingaben •Problem: Umgehung der Authentifizierung Unbefugter Datenzugriff Datenveränderung LfD Rheinland-Pfalz H. Eiermann

  37. LfD Rheinland-Pfalz H. Eiermann

  38. LfD Rheinland-Pfalz H. Eiermann

  39. Web-Anwendung LfD Rheinland-Pfalz H. Eiermann

  40. Web-Anwendung rlpuser01 sE5Am Dahinter stehende SQL-Anweisung: select ... from ... where name=‘ rlpuser01‘ and passwd=‘ sE5Am‘ LfD Rheinland-Pfalz H. Eiermann

  41. Web-Anwendung LfD Rheinland-Pfalz H. Eiermann

  42. Web-Anwendung Dahinter stehende SQL-Anweisung: select ... from ... where name=‘ ... ‘ and passwd=‘ ...‘ LfD Rheinland-Pfalz H. Eiermann

  43. Web-Anwendung Dahinter stehende SQL-Anweisung: select ... from ... where name=‘ ... ‘ and passwd=‘ ...‘ Benutzereingabe führt zu: select ... from ... where name=‘4711‘ or ‘1=1‘-- LfD Rheinland-Pfalz H. Eiermann

  44. Ergebnis: Anmeldung ohne gültige Benutzerkennung oder Passwort war möglich Zeitaufwand ca. 5 sec LfD Rheinland-Pfalz H. Eiermann

  45. Ergebnis: Anmeldung ohne gültige Benutzerkennung oder Passwort war möglich Zeitaufwand ca. 5 sec Innerhalb der Anwendung sind bei fehlender Prüfung der Benutzereingaben SQL-Anweisungen für jeden angemeldeten Benutzer möglich. LfD Rheinland-Pfalz H. Eiermann

  46. Schulverwaltungsnetz Pädagogisches Netz Webserver/Intranet-Server Router/Firewall Mailserver Router/Firewall Datei-/Anwendungsserver Datei-/Anwendungsserver LfD Rheinland-PfalzH. Eiermann

  47. Variationen ... ... ‘4711‘ or ‘1=1‘ LfD Rheinland-Pfalz H. Eiermann

  48. Variationen ... ... ‘4711‘ or ‘1=1‘ ... ‘4711‘ or ‘1=1‘; insert user ... LfD Rheinland-Pfalz H. Eiermann

  49. Variationen ... ... ‘4711‘ or ‘1=1‘ ... ‘4711‘ or ‘1=1‘; insert user ... ... ‘4711‘ or ‘1=1‘; delete ... LfD Rheinland-Pfalz H. Eiermann

  50. Variationen ... ... ‘4711‘ or ‘1=1‘ ... ‘4711‘ or ‘1=1‘; insert user ... ... ‘4711‘ or ‘1=1‘; delete ... ... ‘4711‘ or ‘1=1‘; drop table LfD Rheinland-Pfalz H. Eiermann

More Related