Message-Level Security

Die Vor­le­sung be­han­delt das Thema Mes­sa­ge-Le­vel Se­cu­ri­ty. An­ders als bei SSL/TLS, wel­ches einen si­che­ren Trans­port­ka­nal auf­baut, geht es bei Mes­sa­ge-Le­vel Se­cu­ri­ty darum, Nach­rich­ten – wie HTTP Re­quests – auf Nach­rich­ten­ebe­ne zu schüt­zen. Hier­bei kommt es auf die kor­rek­te Ver­wen­dung von kryptografischen Ver­fah­ren als auch eine si­che­re Be­reit­stel­lung von API-Schnitt­stel­len an.

Im Rah­men der Vor­le­sung wer­den ver­schie­de­ne Ver­fah­ren von Mes­sa­ge-Le­vel Se­cu­ri­ty be­leuch­tet:

• JSON ist eine uni­ver­sel­le Da­ten­be­schrei­bungs­spra­che, die unter an­de­rem von jedem mo­der­nen Brow­ser un­ter­stützt wird. Mit­hil­fe von JSON-Si­gna­tu­re und JSON-En­cryp­ti­on können JSON Nach­rich­ten di­rekt ge­schützt wer­den. Doch reicht das aus oder kön­nen diese Si­cher­heits­me­cha­nis­men um­gan­gen wer­den?
• OAuth ist eine sehr weitverbreitete Tech­no­lo­gie zum De­le­gie­ren von Be­rech­ti­gun­gen und wird heut­zu­ta­ge von allen gro­ßen Web­sei­ten wie Face­book, Goog­le, Twit­ter, Git­hub usw. ein­ge­setzt. Die Vor­le­sung er­klärt tiefge­hen­de De­tails und gän­gi­ge Feh­ler/An­grif­fe, die bei der Ver­wen­dung von OAuth ent­ste­hen kön­nen.
• Open­ID Con­nect ist eine Er­wei­te­rung für OAuth, um Be­nut­zer:innen auf Web­sei­ten mit­hil­fe eines Dritt­an­bie­ters zu au­then­ti­fi­zie­ren (z. B. mittels Sin­gle Sign-On Verfahren wie „Sign in with Google“). Open­ID Con­nect hat sich in den letz­ten Jah­ren zum de facto Stan­dard für Web-Logins über Dritt­an­bie­ter eta­bliert. In der Vor­le­sung wird de­tail­liert er­klärt, was die Un­ter­schie­de zu OAuth sind und wel­che An­grif­fe auf Open­ID Con­nect mög­lich sind. In den praktischen Übungen können Sie Ihre Exploit-Fähigkeiten unter Beweis stellen. Schaffen wir es, den Account des Opfers übernehmen?
• SAML steht für Se­cu­ri­ty As­ser­ti­on Mar­kup Lan­gua­ge und ist ein Sin­gle Sign-On Stan­dard, der eine weitgehende Ver­brei­tung in Busi­ness-Sze­ne­ri­en fin­det. Al­ler­dings exis­tie­ren zahl­rei­che An­grif­fe von Iden­ti­täts­dieb­stahl bis hin zu Re­mo­te Code Exe­cu­ti­on.
• PDF ist das ver­mut­lich am wei­tes­ten ver­brei­tets­te uni­ver­sel­le Do­ku­men­ten­aus­tausch­for­mat. In der Vor­le­sung wer­den die Si­cher­heits­ei­gen­schaf­ten von PDFs be­leuch­tet. Ins­be­son­de­re wer­den hier­bei di­gi­ta­le Si­gna­tu­ren un­ter­sucht, wel­che z. B. bei Ver­trä­gen zum Ein­satz kom­men. Wird es uns ge­lin­gen, si­gnier­te Do­ku­men­te zu fäl­schen?

Den Studierenden wird ein tiefge­hen­des Ver­ständ­nis der Sys­te­me ver­mit­telt. Zu allen un­ter­such­ten Sys­te­men wer­den An­grif­fe vor­ge­stellt, die so­wohl aus der aka­de­mi­schen Welt als auch aus der Pen­tes­ting-Com­mu­ni­ty stam­men. Die Übun­gen bie­ten die Mög­lich­keit, das er­lern­te Wis­sen prak­tisch aus­zu­pro­bie­ren. Hier­zu er­hal­ten die Studierenden eine vir­tu­el­le Ma­schi­ne.