Skip to content

Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 11

Weiter geht es mit der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP. Zur Zeit sind wir beim Punkt 2: "Insufficient Authentication/Authorization".

Die verschiedenen Möglichkeiten zur Authentifizierung habe ich bereits beschrieben. Ebenso erste Angriffe: Default-Zugangsdaten und schlechte (= unsichere) Passwörter sowie Brute-Force- und Wörterbuch-Angriffe, die durch verräterische Fehlermeldungen erleichtert werden können. Ein weiteres Problem sind ungeschützt übertragene Zugangsdaten und die unsichere Verwendung von HTTPS. Aber auch Funktionen rund um die Passwortverwaltung können zu einer Schwachstelle werden, z.B. unsicher gespeicherte Passwörter. Auch nicht ungefährlich ist die Funktion zur Passwortänderung. Und auch der Passwort-Reset oder eine unsichere "Recovery-" oder "Remember me"-Funktion können zur Gefahr werden. Genauso wie eine

Unsichere "User Impersonation"

"Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 11" vollständig lesen

Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 10

Weiter geht es mit der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP. Zur Zeit sind wir beim Punkt 2: "Insufficient Authentication/Authorization".

Die verschiedenen Möglichkeiten zur Authentifizierung habe ich bereits beschrieben. Ebenso erste Angriffe: Default-Zugangsdaten und schlechte (= unsichere) Passwörter sowie Brute-Force- und Wörterbuch-Angriffe, die durch verräterische Fehlermeldungen erleichtert werden können. Ein weiteres Problem sind ungeschützt übertragene Zugangsdaten und die unsichere Verwendung von HTTPS. Aber auch Funktionen rund um die Passwortverwaltung können zu einer Schwachstelle werden, z.B. unsicher gespeicherte Passwörter. Auch nicht ungefährlich ist die Funktion zur Passwortänderung. Und auch der Passwort-Reset oder eine unsichere "Recovery-Funktion" können zur Gefahr werden. Genauso wie eine

Unsichere "Remember me"-Funktion

"Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 10" vollständig lesen

Microsofts März-Patchday 2017 bringt uns 18 Security Bulletins, 14 0-Day-Schwachstellen und 3 0-Day-Exploits

Am März-Patchday hat Microsoft die ausgefallenen Februar-Patches nachgeholt und damit nicht nur mal wieder besonders viele Security Bulletins (18 Stück!) auf einmal veröffentlicht, sondern auch etliche 0-Day-Schwachstellen mit und ohne Exploit bekannt gemacht: 14 Schwachstellen waren bereits vor der Veröffentlichung der Patches öffentlich bekannt, weitere 3 werden bereits für Angriffe ausgenutzt.

Internet Explorer: Fünf 0-Day-Schwachstellen plus ein 0-Day-Exploit

"Microsofts März-Patchday 2017 bringt uns 18 Security Bulletins, 14 0-Day-Schwachstellen und 3 0-Day-Exploits" vollständig lesen

Drucksache: Windows Developer 4.17 - Auf in die Cloud?

Im windows.developer 4.17 ist ein Artikel über Sicherheit in der Cloud erschienen.

Auf in die Cloud?
Aber wenn schon, dann so sicher wie möglich!
Denn Sie wissen ja: "Die Cloud" ist nur eine schöne Marketing-Umschreibung für den Computer eines Fremden. Meist eines sehr großen Computers, auf dem außer Ihren Programmen und/oder Daten auch noch die von mehr oder weniger vielen anderen Fremden laufen bzw. verarbeitet und gespeichert werden.

"Drucksache: Windows Developer 4.17 - Auf in die Cloud?" vollständig lesen

Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 9

Weiter geht es mit der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP. Zur Zeit sind wir beim Punkt 2: "Insufficient Authentication/Authorization".

Die verschiedenen Möglichkeiten zur Authentifizierung habe ich bereits beschrieben. Ebenso erste Angriffe: Default-Zugangsdaten und schlechte (= unsichere) Passwörter sowie Brute-Force- und Wörterbuch-Angriffe, die durch verräterische Fehlermeldungen erleichtert werden können. Ein weiteres Problem sind ungeschützt übertragene Zugangsdaten und die unsichere Verwendung von HTTPS. Aber auch Funktionen rund um die Passwortverwaltung können zu einer Schwachstelle werden, z.B. unsicher gespeicherte Passwörter. Auch nicht ungefährlich ist die Funktion zur Passwortänderung. Und auch der Passwort-Reset kann zur Gefahr werden. Ebenso wie eine

Unsichere "Recovery-Funktion"

"Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 9" vollständig lesen

Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 8

Weiter geht es mit der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP. Zur Zeit sind wir beim Punkt 2: "Insufficient Authentication/Authorization".

Die verschiedenen Möglichkeiten zur Authentifizierung habe ich bereits beschrieben. Ebenso erste Angriffe: Default-Zugangsdaten und schlechte (= unsichere) Passwörter sowie Brute-Force- und Wörterbuch-Angriffe, die durch verräterische Fehlermeldungen erleichtert werden können. Ein weiteres Problem sind ungeschützt übertragene Zugangsdaten und die unsichere Verwendung von HTTPS. Aber auch Funktionen rund um die Passwortverwaltung können zu einer Schwachstelle werden, z.B. unsicher gespeicherte Passwörter. Auch nicht ungefährlich ist die Funktion zur Passwortänderung. Und auch der

Passwort-Reset muss sicher sein

"Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 8" vollständig lesen

Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 7

Weiter geht es mit der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP. Zur Zeit sind wir beim Punkt 2: "Insufficient Authentication/Authorization".

Die verschiedenen Möglichkeiten zur Authentifizierung habe ich bereits beschrieben. Ebenso erste Angriffe: Default-Zugangsdaten und schlechte (= unsichere) Passwörter sowie Brute-Force- und Wörterbuch-Angriffe, die durch verräterische Fehlermeldungen erleichtert werden können. Ein weiteres Problem sind ungeschützt übertragene Zugangsdaten und die unsichere Verwendung von HTTPS. Aber auch Funktionen rund um die Passwortverwaltung können zu einer Schwachstelle werden, z.B. unsicher gespeicherte Passwörter. Auch nicht ungefährlich ist die

Funktion zur Passwortänderung

"Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 7" vollständig lesen

Microsoft patcht selbst verschuldete 0-Day-Schwachstellen im Flash Player

Nach der Absage des Februar-Patchdays hatte Microsoft ein Problem: Die von Adobe am gleichen Tag im Flash Player behobenen kritischen Schwachstellen blieben dadurch im in IE und Edge integrierten Flash Player offen. Im Grunde gab es nun also 0-Day-Schwachstellen, und davon reichlich: Die Schwachstellen waren durch die Veröffentlichung von Adobes Updates bekannt, es gab aber keinen Patch.

"Microsoft patcht selbst verschuldete 0-Day-Schwachstellen im Flash Player" vollständig lesen

Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 6

Weiter geht es mit der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP. Zur Zeit sind wir beim Punkt 2: "Insufficient Authentication/Authorization".

Die verschiedenen Möglichkeiten zur Authentifizierung habe ich bereits beschrieben. Ebenso erste Angriffe: Default-Zugangsdaten und schlechte (= unsichere) Passwörter sowie Brute-Force- und Wörterbuch-Angriffe, die durch verräterische Fehlermeldungen erleichtert werden können. Ein weiteres Problem sind ungeschützt übertragene Zugangsdaten und die unsichere Verwendung von HTTPS. Aber auch Funktionen rund um die Passwortverwaltung können zu einer Schwachstelle werden, z.B.

Unsicher gespeicherte Passwörter

"Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 6" vollständig lesen

Ein Patchday ohne 0-Days - und ohne Microsoft-Patches

Das es mal einen Patchday ohne die Preisgabe von 0-Day-Exploits bzw. laufenden Angriffen gibt, kam ja schon vor. Aber am Februar-Patchday hat nicht nur Adobe nur Bulletins zu bisher unbekannten Schwachstellen veröffentlicht (zu Flash Player, Adobe Digital Editions und Adobe Campaign), nein: Microsoft hat gleich gar keine Updates veröffentlicht!

Was ist da denn schief gelaufen?

"Ein Patchday ohne 0-Days - und ohne Microsoft-Patches" vollständig lesen

Drucksache: Entwickler Magazin 2.17 - Autos - so angreifbar wie nie

Im Entwickler Magazin 2.17 ist ein Artikel über Angriffe auf die IT-Systeme in Autos erschienen. Eine Leseprobe finden Sie auf entwickler.de!

Ich gebe es zu: Die Überschrift "Autos - so angreifbar wie nie" ist etwas unfair, es war ja auch noch nie so viel IT drin wie heute. Und wenn es um IT geht, dann ist nur eines sicher: Dass sie unsicher ist. Nicht immer, aber fast immer. Und das auch, wenn sie in Autos steckt. Seit einigen Jahren zeigen die Forscher auf den Sicherheitskonferenzen immer wieder neue Angriffe, so auch 2016. Und zusätzlich wurden neue Tools vorgestellt.

"Drucksache: Entwickler Magazin 2.17 - Autos - so angreifbar wie nie" vollständig lesen

Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 5

Weiter geht es mit der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP. Zur Zeit sind wir beim Punkt 2: "Insufficient Authentication/Authorization".

Die verschiedenen Möglichkeiten zur Authentifizierung habe ich bereits beschrieben. Ebenso erste Angriffe: Default-Zugangsdaten und schlechte (= unsichere) Passwörter sowie Brute-Force- und Wörterbuch-Angriffe, die durch verräterische Fehlermeldungen erleichtert werden können. Ein weiteres Problem sind ungeschützt übertragene Zugangsdaten. Dazu habe ich noch einen Punkt hinzuzufügen:

Unsichere Verwendung von HTTPS

"Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 5" vollständig lesen

Drucksache: Windows Developer 3.17 - Websecurity 2016: Angriffe auf Webserver

Im windows.developer 3.17 ist ein Artikel über neue Angriffe auf Webserver erschienen.

Auf fast jeder Sicherheitskonferenz, auf der es thematisch passt, gibt es eigentlich jedes Mal Vorträge zu neuen und/oder verbesserten Angriffen auf Webclient, Webanwendung, Webserver oder Webbrowser. Im Windows Developer 2.17 ging es um Angriffe auf Webbrowser und Webclient, nun ist der Server dran.

"Drucksache: Windows Developer 3.17 - Websecurity 2016: Angriffe auf Webserver" vollständig lesen

Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 4

Bei der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP sind wir beim Punkt 2 angekommen: "Insufficient Authentication/Authorization". Die verschiedenen Möglichkeiten zur Authentifizierung habe ich bereits beschrieben. Ebenso erste Angriffe: Default-Zugangsdaten und schlechte (= unsichere) Passwörter sowie Brute-Force- und Wörterbuch-Angriffe, die durch verräterische Fehlermeldungen erleichtert werden können. Das nächste Problem sind

Ungeschützt übertragene Zugangsdaten

"Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 4" vollständig lesen