Vorträge 2014

PDF Hier gehts zu den Workshops 2014!

Keynote: Datenschutz im Spannungsverhältnis zwischen Geheimdienstüberwachung und Nutzervertrauen

Mag. Andreas Krisch | Verein für Internet-Benutzer Österreichs (VIBE!AT)

Andreas Krisch wird in seiner Keynote den aktuellen Bereich “Datenschutz im Spannungsverhältnis zwischen Geheimdienstüberwachung und Nutzervertrauen” behandeln.
Dabei wird er neben einer kurzen Bestandsaufnahme der aktuellen Überwachungssituation vor allem auf Lösungsmöglichkeiten in technischer, rechtlicher und politischer Hinsicht eingehen. Der Bogen wird sich dabei von der EU-Datenschutzreform über die praktische Rechtsdurchsetzung im Bereich Datenschutz bis hin zu technischem Datenschutz (Privacy by Design and by Default) spannen.


 SSL Validation Checking vs. Go(ing) to Fail

DI (FH) Thomas Brandstetter, MBA | FH St. Pölten
DI Christian Stoiber, BSc | Cryptas IT Security GmbH

Die „goto fail“ Schwachstelle war ein ernstzunehmendes Thema für alle sicherheitsbedachten Apple Benutzer: Ein einfacher Programmierfehler führte dazu, dass die SSL Validierungsprüfungen unter iOS nicht vollständig durchgeführt wurden. Viele Applikationen nutzen SSL/TLS-Bibliotheken, aber deren Mechanismen (Verschlüsselung, Integritätsschutz, Replayschutz) sind wenig Wert ohne ordentliche Authentisierungsprüfung der zugehörigen Kommunikationspartner. Wir vermuteten, dass viele Programme, insbesondere mobile Apps, das vom Server präsentierte Zertifikat nicht ordentlich prüfen. Könnte der „goto fail“ Fehler und ähnliche unzureichende Zertifikatsvalidierungsprüfungen getestet und erkannt werden, auch ohne Quellcode? Um dies zu überprüfen entwickelten wir SVF, den „SSL Validation Fuzzer“ für einfacheres Testen von Zertifikatsvalidierungsprüfungen.
Obwohl die Software nach wie vor ein Prototyp ist, verwendeten wir SVF an einer Reihe von iOS, Android und Windows Mobile Apps. Die erste Gruppe von mobilen Apps die uns interessant erschien waren Mobile Banking Applikationen, da wir hier ordentliche Validierungsprüfungen erwarteten. Wir starteten mit Mobile Banking Apps aus Österreich, und dehnten unsere Untersuchung später auf internationale Banken aus – mit interessanten Ergebnissen und einem Ausblick auf den Verbreitungsgrad von Zertifikatsvalidierungsprüfungen im Allgemeinen.

PDF


Bitcoin/Namecoin/*coin: On Bitcoin like protocols and their relation to other IT-Security issues (en)

DI Aljosha Judmayer | SBA Research GmbH

Namecoin is a cryptocurrency which intends to be a decentralized alternative to the established Domain Name System. It heavily relies on Bitcoin and the Bitcoin network daemon bitcoind. The system’s main purpose is the registration and resolution of domain names, including certificate information of the respective domain.
Since the DNS protocol is very well established, it is highly unlikely that it will be completely replaceable in the medium-, or even in the long term. Therefore, different approaches like Namecoin will mainly be used in parallel to the existing DNS system. Because of the critical nature of DNS, it is important that alternative systems like Namecoin are extensively researched before they are used by a broader audience. An additional/parallel DNS infrastructure would pose an alternative to the current system and thereby improve the independence of service providers. Additionally, the possibility to resolve names (and certificate information) by using two or more different mechanisms provides a security benefit since the results are comparable.
This talk discusses the question if Bitcoin like protocols can be used in the design of decentralized and secure alternatives to currently centralized critical infrastructure like DNS. Thereby, Namecoin is used as an archetype to highlight the potential, as well as the issues of such systems. In the process, results of an empirical study on the P2P system of Bitcoin like protocols are presented.

PDF


Warum traditionelle Next Generation Firewalls heutzutage nicht mehr ausreichen

Ing. Manfred Brabec | Cisco Systems Austria GmbH

Das Security Problem und warum konventionelle Security Methoden nicht mehr reichen – auf der Suche nach dem “Next Generation” in der Firewall und wie sich Firewalls in den letzten 20 Jahren weiterentwickelt haben. Warum Innovation, Integration, Standards und Offenheit Teil einer modernen Firewall- oder besser Sicherheitsarchitektur sein müssen.
Durch den Einsatz neuer innovativer Technologien, die Integration offener de facto Standards, Akquisition von Sourcefire und Erweiterung des NGFW Portfolios ist Cisco bereit den wachsenden APTs (Advanced Persitent Threats) entgegen zu treten. Vorstellung eines neuen Security Modells und der Cisco ASA mit FirePOWER Services.

PDF


IT OK – Firma tot?

DI Dr. techn. Wolfgang H. Mahr, MBCI, BBA, CISA | governance & continuuuity GmbH

Dieser Beitrag beleuchtet die gemeinsamen Interessen und weitgehend ähnlichen Vorgangsweisen von Informationssicherheit und Business Continuity Management (BCM). Beide schützen das Unternehmen wobei BCM Risiken und Auswirkungen jenseits der IT berücksichtigt. Denn was nützt eine hochsichere und hochverfügbare IT, wenn das Unternehmen eventuell noch größeren Bedrohungen aus ganz anderen Richtungen ausgesetzt ist?
BCM schützt vor den Auswirkungen von plötzlichen Einwirkungen auf ein Unternehmen, die zu schwerwiegenden Betriebsunterbrechungen mit entsprechenden Auswirkungen auf die Lieferfähigkeit, die Kundenzufriedenheit und die Reputation führen.
Eine einseitige Fokussierung auf die Aspekte der Informationssicherheit unter Vernachlässigung anderer Schwachstellen stellt daher keinen ausgewogenen, risiko-basierten Ansatz dar. Nur der holistische Ansatz im Rahmen einer die ganze Unternehmung bzw. deren Schwachstellen vermag dieses umfassend zu schützen. Dabei ergeben sich Synergien mit einem eventuell schon implementierten Informationssicherheits-Managementsystem (ISMS).

PDF


Mobile Fail: Cracking Open „Secure“ Android Containers (en)

Chris John Riley | Raiffeisen Informatik GmbH

We’ve known for some time that physical access to a device means game over. In response, we’ve begun to rely more and more on „secure“ container applications to keep our private and company data secret. Whether you use LastPass to secure your passwords, or GOOD for Enterprise to make sure your company emails are safe and sound, this presentation will demonstrate that more often than not, the container isn’t as secure as you think.In this presentation I will discuss specific design flaws in the security of „secure“ Applications that promise to keep your data / password and even company email safe and sound should the device fall into the wrong hands.

PDF


SoC: Security Visibility is Key (en)

Martin Krumböck, MSc | T-Systems Austria GesmbH
In dem Vortag wird von dem Security Operations Center von T-Systems unter dem Standpunkt von Security Visibility berichtet.
* Was ist Security Visibility?
* Was ist ein SoC?
* Wozu das Ganze?
* Welche Tools und Prozesse benötige ich?
* Integrationsbeispiel anhand von AlienVault USM

PDF


no risk – more fun

DI Gerald Kortschak | sevian7 IT development GmbH / IT Security ExpertsGroup WKO

Krisenstab und Planspiele sind Begriffe die im militärischen Umfeld seit langer Zeit Anwendung finden.
Was ist aber eine Krise?
Wie spielt die IT hier hinein?
Wann wird es zu einer Katastrophe?
Welche Rolle spielt hierbei IT-Sicherheit, Social Z/Engineering?
Sind Heartbleed oder Shellshock schon Krisen?
Was ist Stabsarbeit und wie kann diese die Arbeit in der IT unterstützen?
Diese und weitere Fragen werden im Vortrag beantwortet.

PDF


Attacking Mobile Broadband Modems Like A Criminal Would (en)

Andreas Lindh | I Secure Sweden AB

While there has certainly been some interesting research into the security of mobile broadband modems, or „dongles,“ in the past, it has almost exclusively focused on novel attacks such as buffer overflows over text message, attacks on the device’s file system, and other advanced approaches. The level of skill and effort required to execute such an attack reduces the potential number of attackers, but there are easier ways to monetize from attacking these devices too.
This talk will focus on some more likely scenarios; web-based attacks that are not that hard to pull off but that will allow the attacker to cash in without too much effort. The speaker will demonstrate how to profit, steal sensitive information, and establish a persistent hold on the devices, and also how a seemingly modest attack could be used as part of a more advanced attack chain. There will also be an analysis of why it is easy being an Internet criminal, and how it will continue to be so unless drastic changes are made to how we approach and implement new consumer technology. Oh, and there will be demos.

PDF


Rise Of The Banking Trojans: Zeus Is Not Dead Yet (en)

DI Marion Marschalek | Cyphort Inc.

News about recently detected, highly advanced attacks hit the media on a frequent basis; this while the scariest threats aren’t the most recent ones but those who’ve come to stay. Malware families have come and gone, but most of them have gone – at some point. Few have had a model that allowed them going un-extinguished for almost a decade.
Zeus is not simply a Trojan, it is merely a concept that has revolutionized the cybercrime scene long time ago and still works perfectly fine. The first Zeus variant was detected in 2007, when it was still sold as a kit. In 2011 the Zeus source code for version 2.0.8.9 got leaked and short time later hell broke loose. The code got dissected, embedded, improved, modified and re-used over and over to aid other Trojans or form new ones. ICE-IX, Citadel, SpyEye, Zeus Gameover, ZeusVM and Zberp are just the descendants that got an actual name.
This talk will focus on a small set of samples of the newest miscreants and explain their unique features as well as their relationships. It will be shown how the binary code of a new variant can be mapped to formerly known malware. Key questions are: Why can this crappy old code still cause more financial damage in a month than the annual hurricane season? What are the assets that all the Z..Whatevers are after? And most critical, how can we defeat them?


Cloud – Chancen oder Risken, aus Security Sicht

Harald Wenisch | Wenisch Consulting e.U.

Das Thema Cloud wird künftig in den Unternehmen eine immer größere Rolle spielen, wenn es dies nicht bereits schon jetzt macht.
Aus Security Sicht ist das Thema Cloud noch immer als relativ heikel anzusehen, speziell wenn sich die Frage der Vertraulichkeit und Integrität stellt.
Gerade bei Cloud Dienstleistungen die grenzüberschreitend erbracht werden, damit ist gemeint, dass der Dienstleister meist geografisch fern vom Auftraggeber angesiedelt ist, sind die Rahmenbedingungen vorher abzuklären.
Beim Einstieg in die Cloud bzw. beim Ausstieg sind in puncto Datenschutz und den festzulegenden Vertragsbedingungen einige Dinge vor der Umsetzung jedoch zu beachten.

 

PDF


Adventures in Cyberspace – Security Strategien im Spannungsfeld zwischen globaler Überwachung und wirtschaftskriminellem Handeln

DI Robert Lamprecht, MSc | KPMG Austria GmbH

Unternehmen haben in den letzten Jahren in ihrer Security Strategie den präventiven Ansatz als oberste Prämisse gesehen. Durch das Bekanntwerden der Aktivitäten im Zusammenhang mit der globalen Überwachung stehen Entscheidungsträger vor der Herausforderung eine neue, unternehmensspezifische Strategie für Security zu finden, die interne und externe Bedrohungen sowie Compliance Anforderungen adressiert und dabei keine Beeinträchtigung der Abläufe mit sich bringt.
Im Rahmen des Vortrags werden unterschiedliche externe und interne Bedrohungen vorgestellt, die sich aufgrund der neuen, technologischen Entwicklung ergeben. Ein weiterer Fokus wird auf die rechtlichen Anforderungen und die psychologische Komponente gelegt, die einen maßgeblichen Einfluss darstellt.
Abgerundet wird der Vortrag mit Handlungsalternativen und Überlegungen für eine nachhaltige Ausrichtung der Security Strategie an die aktuellen Erfordernisse und Abenteuer im Cyberspace.

PDF


ProcDOT – Visuelle Malware Analyse

Ing. Christian Wojner | CERT.at

Bei der Untersuchung von Schadsoftware ist die verhaltensbasierte Analyse nach wie vor der vielversprechendste und damit wichtigste Ansatz wenn es darum geht, in möglichst kurzer Zeit möglichst viel über ein vorliegendes Sample herauszufinden. Üblicherweise kommen dabei „klassische Tools“ wie Sysinternals‘ Process Monitor (procmon) sowie PCAPs-produzierende Netwerksniffer (wie z.B. Wireshark, Windump, etc.) zum Einsatz. All diese Tools haben jedoch ein gemeinsames Problem: die Darstellung der dabei entstehenden schier unüberschaubaren Masse an Daten und Informationen.
Genau an diesem Punkt setzt das Tool ProcDOT an. Es verarbeitet jenen Datenberg und generiert daraus einen überschaubaren, interaktiv erkundbaren Graphen und ist darüber hinaus dabei auch noch im Stande, die korrekte Darstellung der zeitlichen Komponente zu berücksichtigen. Klingt nach einer Eierlegendenwollmilchsau? Lassen Sie sich überraschen!

PDF


Towards Dynamic Attack Recognition for SIEM

DI Stefan Langeder | Antares NetlogiX

Mit Security Incident and Event Management (SIEM) – Systemen können sicherheitsrelevante Events unterschiedlichster Netzwerkkomponenten gesammelt und konsolidiert werden. Auf Basis dieser Informationen können Angriffsmuster erkannt und Alarme generiert werden.
Die Definition der Angriffsmuster erfolgt üblicherweise über statische Regeln. Die Erstellung und Pflege eines Regelwerkes stellt sich im Allgemeinen als sehr anspruchsvoll dar.
Um diesen Vorgang zu erleichtern, wurde im Rahmen einer Diplomarbeit nach Möglichkeiten gesucht, die Erkennung von Angriffsmustern in den Eingangsdaten zu automatisieren. Dabei wurde auf Techniken aus dem Bereich Data-Mining zurückgegriffen.
Im Laufe der Arbeit wurden zum einen theoretische Ansätze evaluiert, die die selbstständige Erkennung von Mustern ermöglichen, zum anderen wurde praktisch nachvollzogen, ob die Kategorisierung von Events auf Basis von Machine Learning Algorithmen sinnvoll ist.

PDF


Fooling wired Network Access Control

Bernhard Thaler, BSc | FH St. Pölten

Network Access Control (NAC) Lösungen wie Port-Security, 802.1X, Network Access Protection (NAP) und andere sollen sicherstellen, dass nur „erlaubte“ Geräte/Benutzer Zugang ins Netzwerk erhalten. Will sich ein Angreifer Zugriff in derart gesicherte Netzwerke verschaffen, geht man in der Regel davon aus, dass er je nach Implementierung gültige Zugangsdaten in Form von MAC-Adressen, Benutzernamen, Passwörtern oder X.509 Zertifikaten vorab erlangen muss, um dann mit physischen Zugriff auf einen Patch-Dose / einen Switchport sich mit seinem Fremdgerät und den gestohlenen Zugangsdaten Zugriff zu verschaffen.
Dieser Vortrag geht der Frage nach, wie sehr wir wirklich darauf vertrauen sollten, dass NAC-Lösungen gerade wegen ihres Implementierungsaufwands und evtl. damit verbundener Investitionen uns vor einem Angreifer mit physischen Zugriff auf Netzwerkverbindungen autorisierter Geräte schützen. Es wird eine Attacke vorgestellt, in der die physische Netzwerkverbindung eines autorisierten Geräts mitgenutzt wird, um nicht autorisierte Geräte von gängigen NAC-Lösungen unbemerkt im LAN verwenden zu können. In einer LIVE-Demo wird ein dafür entwickeltes Tool „bypassNAC“ vorgestellt, um die Robustheit einer NAC-Lösung gegen eine solche Attacke einfacher testen zu können.

PDF


Security Through Obscurity – powered by TLS

DI Dr. Sebastian Schrittwieser | FH St. Pölten
DI Peter Frühwirt | SBA Research gGmbH

Smartphone-Applikationen sind gegen Analyse und Modifikation mit Hilfe einer Reihe von Sicherheitsmaßnahmen wie Verschlüsselung, Codesignierung und Sandboxing geschützt. Für Applikationen mit Netzwerkkommunikation können jedoch effektive Angriffsvektoren in deren Übertragungsprotokollen gefunden werden. Viele Entwickler von Smartphone-Applikationen verstecken die Implementierungsdetails ihrer Protokolle in SSL/TLS-Verbindungen. Während SSL/TLS gegen Mitlesen auf dem Transportweg schützt, ist es eine ungeeignete Schutzmaßnahme gegen Protokollanalyse. Das Konzept der SSL-Interception ermöglicht die Analyse und Modifikation von Übertragungsprotokollen mit nahezu unbegrenzten Möglichkeiten: Schummeln in Online-Spielen, kostenloses Freischalten von Zusatzfunktionalität in Applikationen, Sicherheitsanalyse von Protokollen, usw. In diesem Vortrag demonstrieren wir wie Applikationsentwickler unsichere Protokolle in SSL/TLS zu verstecken versuchen und zeigen, dass bekannte Gegenmaßnahmen in der Praxis kaum genutzt werden.

PDF


Exploit Kits: A Launching Platform for Malware

Thomas Kastner | cumulo Information System Security GmbH

Ein „exploit kit“ oder „exploit pack“ ist eine Sammlung von Werkzeugen, die es Angreifern vereinfacht einen Besucher einer scheinbar legitimen Seite anzugreifen und mit Schadsoftware zu infizieren. Normalerweise enthalten diese Exploit Kits eine Reihe an bereits bekannten Exploits gegen Schwachstellen in Adobe Reader, Java Runtime Environment, Adobe Flash oder ähnlichen Applikationen. Zusätzlich beiten einige Exploit Kits auch immer neue 0-Day Exploit über einen Updatemechanismus an. Während sich die Exploit Kits in Qualität, Aufmachung und Funktionsumfang teilweise deutlich voneinander unterscheiden, besitzen sie jedoch meist eine Gemeinsamkeit: Sie ermöglichen es Angreifern einfach Systeme mit Schadsoftware zu infizieren, ohne dass diese spezielles IT- oder IT-Sicherheits-Wissen benötigen. Der Angreifer braucht für die Benutzung der Exploit Kits oft nicht mehr Wissen als für die Installation einen Blog-Systems wie WordPress.
In diesem Vortrag soll die typische Funktionsweise von Exploit Kits an Hand von bekannten Beispielen (Blackhole Kit, Redkit, u.ä.) erklärt werden. Im Anschluss gibt der Vortrag noch Hilfestellung und Tipps wie man sich einfach und effektiv gegen Exploit Kits schützen kann.

PDF


SEcure Cloud computing for CRitical infrastructure IT (en)

Christian Wagner, MSc | AIT Austrian Institute of Technology
Aleksandar Hudic, MSc | AIT Austrian Institute of Technology

Cloud computing is one of the most important and successful recent trends in consumer market service provisioning. According to the definition from NIST, it is an operational service model, wherein services are deployed on remote data centre infrastructures, which make use of virtualisation technology. The use of virtualisation enables rapid and flexible (elastic) service deployment. Attracted by the benefits of cloud computing, critical infrastructure providers, e.g., utility companies and government bodies, are considering deploying their high assurance ICT services in the cloud. However, wide-scale use of cloud computing in this sector is significantly hampered because of privacy, security and resilience concerns, which are more stringent than in the general consumer market. In order to address these challenges, and enable the safe and secure usage of cloud computing for critical infrastructure ICT services, the EU-funded SECCRIT project addresses a number of objectives.

PDF


Security of Legacy Systems

Ing. DI (FH) Herbert Dirnberger, MA |Cyber Security Austria – Verein zur Förderung der Sicherheit Österreichs strategischer Infrastruktur
DI (FH) Thomas Brandstetter, MBA| FH St.Pölten

Die Entwicklung unserer modernen Gesellschaft wird durch den innovativen Einsatz von Technik ermöglicht. Fast jeder von uns nutzt moderne Smartphones zum Telefonieren, Surfen, Navigieren, Spielen oder zum Musikhören. In auch diesen gesättigten Märkten besteht jedoch für die Hersteller oft der einzige Weg die Innovationszyklen extrem zu verkürzen und laufend neuere, schnellere, stärkere und „coolere” Produkte anzubieten, die sich die Konsumenten wünschen. In Einklang ändert sich auch damit die Lebensdauer von Produkten am Markt und im praktischen Gebrauch.
Dieser Vortrag beleuchtet die Anforderungen und Herausforderungen, um Legacy Systeme sicherer zu machen bei gleichzeitiger Betrachtung der Wirtschaftlichkeit.

PDF


Spoiled Onions: Exposing Malicious Tor Exit Relays (en)

Richard Köwer, MSc | conspecta GmbH/FH Campus Wien

Tor exit relays are operated by volunteers, and by design, these volunteers are able to inspect and modify the anonymized network traffic. We seek to expose such malicious exit relays and document their actions. We monitored the Tor network after developing two fast and modular exit relay scanners—one for credential sniffing and one for active MitM attacks and used them to probe all exit relays over a period of several months. We discovered numerous malicious exit relays engaging in a multitude of different attacks. To reduce the attack surface users are exposed to, we patched Torbutton to fetch and compare certificates over independent Tor circuits. Our work makes it possible to continuously and systematically monitor Tor exit relays. We are able to detect and thwart many man-in-the-middle attacks, thereby making the network safer for its users. All our source code is available under a free license.

PDF


Cuckoo Sandbox: State-of-the-art Automated Malware Analysis (en)

Jurriaan Bremer | Cuckoo Foundation

In this talk we’ll get an introduction to Cuckoo Sandbox, an automated
malware analysis system; what it is, how it can be used, and what makes
it unique. We will then continue onwards to various interesting recent
developments in Cuckoo and of course a demo here and there.

PDF


Data Center Risk & Compliance Management

DI Memelauer Lukas, BSc | calpana business consulting gmbh

Der Vortrag soll die aktuellen Herausforderungen für das Betreiben eines Data Centers auf oder über dem Stand der Technik aufzeigen. Einer kurzen Einführung in die bestehende amerikanische Norm TIA942 folgen die wichtigsten Punkte aus dem neuen europäischen Standard EN50600. Aufbau und Struktur der Normen werden dabei ebenso betrachtet wie deren Ziele und Nutzen in der Praxis.
Anhand eines Musterbeispiels, welches auf Projekterfahrungen basiert, sollen die größten Herausforderungen aufgezeigt und mithilfe des Tools CRISAM® verständlich dargestellt werden. Der daraus resultierende Compliance Report unterstützt die Maßnahmenbildung um für kommende Bedrohungen gewappnet zu sein.

 

PDF


OnionCat und Tors neues Kryptosystem

DI Bernhard Fischer | FH St. Pölten

OnionCat ist ein auf Tor basiertes P2P IPv6-VPN, dessen IP-Adressen sich von den Onion-IDs der Hidden Services von Tor ableiten und dadurch eine kryptografische Verbindung zwischen Tor und dem IP-Layer hergestellt wird. Im Tor-Projekt werden seit einiger Zeit Änderungen des in die Jahre gekommenen Kryptosystems diskutiert. Obwohl die Ergebnisse noch nicht feststehen, kann in jedem Fall mit einer Vergrößerung der kryptografischen Hashes ausgegangen werden, wodurch das von OnionCat derzeit verwendete Verfahren zu IP-Adressberechnung nicht mehr anwendbar sein wird, da dieses auf 80 Bit limitiert ist.
Die Regeneration der über 80 Bit hinausgehenden Information kann nur über eine zusätzliche Datenbank erfolgen, wodurch sich weitere Schwierigkeiten wie die Betriebssicherheit und Fragen zur Wahrung der Anonymität ergeben.
In diesem Vortrag wird ein Konzept präsentiert, mit dem die Verknüpfung zwischen OnionCat-IP-Adressen und den Hidden-Service-Adressen (Onion-IDs) über das Hidden-Service-Directory von Tor selbst erfolgt, wodurch die Anonymität gewahrt bleibt und keine zusätzlichen Systeme betrieben werden müssen.

PDF


Anforderungen an ein modernes Mailsystem am Beispiel der Universität Wien

Wolfgang Breyha | ZID der Universität Wien

Das „Simple“ im Akronym SMTP ist schon lange Geschichte. Heutzutage ein Mailsystem mit guter Reputation zu betreiben ist keine einfache Aufgabe, die man nebenbei erledigt. Neben dem ewigen Kampf gegen einlangenden SPAM ergeben sich immer stärker neue Problembereiche wie Phishing samt dem folgenden Missbrauch von Accounts oder Techniken wie Transportverschlüsselung, DKIM-Signierung und DMARC. Sicherzustellen, dass die eigenen Kunden von möglichst geringen Mengen SPAM gestört werden und andererseits ihre eigenen E-Mails auch die gewünschten Empfänger erreichen, ist eine immer größer werdende Herausforderung.
Der Vortrag soll am Beispiel der Universität Wien alte und neue Techniken und damit gemachte Erfahrungen vorstellen. Nach einer kurzen Vorstellung der Komponenten des Mailsystems werden die Themen Phishing, Transportverschlüsselung und das Trio SPF/DKIM/DMARC in Theorie und Praxis gezeigt.

 

PDF

Kontaktloses Bezahlen per NFC – Risiken und Nebenwirkungen

DI Roland Giersig | Club Computer

Die neue kontaktlos arbeitende NFC-Technologie bringt bei bargeldlosen Zahlungsmitteln wie Quick, Bankomat- und Kreditkarten neuen Komfort, so verspricht es uns die Werbung. Wie diese Technologie funktioniert und was für Bedrohungsszenarien sich aus ihr ergeben, darüber gibt dieser Vortrag einen Überblick.
Neben technischen Details und Anwendungsbeispielen (mit Katzen) wird die Anwendung von NFC live vorgeführt und die Möglichkeiten und Gefahren, die in modernen NFC-fähigen Handys stecken werden eindrucksvoll demonstriert.

Zip


Browserbasierte Geräteerkennung in LANs

DI Manfred Ruzicka, BSc | FH St.Pölten

Immer mehr Geräte, wie Router, NAS oder Drucker, besitzen Webinterfaces, welche Sicherheitslücken besitzen, die ausgenutzt werden können um die Kontrolle über das Gerät zu erlangen. Dadurch ist es möglich das Netzwerk und weitere Rechner zu kompromittieren. Bisher war es jedoch schwierig herauszufinden, um welches Gerät es sich handelt, bzw. welche Firmware Version verwendet wurde. Eine genaue Kenntnis über die Firmware Versionen und deren Sicherheitslücken ist jedoch erforderlich um Schwachstellen gezielt ausnutzen zu können. In diesem Vortrag wird gezeigt, wie es möglich ist, die genaue Firmware Version anhand von statischen Dateien zu ermitteln. Hierbei wird ein aktueller Web Browser verwendet um zu demonstrieren, wie ein Webseitenbetreiber bei einem besucht seiner Webseite das lokale Netzwerk des/der BesucherIn analysieren kann. Bei diesem Verfahren werden keine Sicherheitslücken in den Webservices oder den Browsern ausgenutzt. Dies ermöglicht ein Plattform- und Browserübergreifendes Scannen eines Netzwerkes. Das Verfahren basiert auf Standardfunktionen der Browser wie das Error Handling oder neuen APIs, wie WebRTC.