Mitternachtshacking

Hätte man sicher auch Vulnerability Management for Managers nennen können. Obwohl, ist das gleiche.

Das Buch ist von John Wiley & Sons und wird von Qualys gesponsert. Bei Qualys bekommt man auch das eBook kostenlos zum Download.

via: Security4All

Neulich auf lwl.net gesehen: Ein JIT Compiler für den Berkeley Packet Filter (BPF). Also genau genommen ein Patch um den BPF um einen JIT-Compiler zu erweitern. Ist das jetzt cool oder nicht?

Auf der einen Seite ist ein funktionierender und effizienter JIT-Compiler immer cool. Aber: erstens ist das Compilieren von Regelsätzen nicht neu, Check Point FireWall-1 macht das seit ca. 1992 und zweitens wird man einen Firewall-Regelsatz nicht alle 10 Minuten ändern, also ist ein normaler Compiler völlig ausreichend.

Ich schätze das ist mal wieder coole aber völlig nutzlose Technologie.

X-Force ist meines Wissens die ehemalige Hackingtruppe von ISS. ISS falls sich noch jemand daran erinnern kann ist die Firma Internet Security Systems von Christopher Klaus, die den ersten Internet Security Scanner veröffentlicht hat. Das ist auch schon wieder ein paar Jahre her. Jedenfalls ist es im X-Force und generell ISS sehr sehr still geworden, nachdem IBM die Firma gekauft hatte. Es gibt von ISS eine Firewall (Proventia), die dann komplett in der Versenkung verschwunden ist. Inzwischen gibt es aber von IBM wieder Vertriebler die versuchen die an den Mann zu bringen. Meine Erfahrung ist jedenfalls, wenn IBM irgendwas kauft kann man das in Europa direkt aus dem Programm nehmen, das ist dann tot.

Auf jedenfall ist X-Force ein wenig der Versenkung entstiegen und veröffentlicht wieder Threat Reports. Die sind recht nützlich um auf Managementebene Sicherheitsrisiken und generell das Thema Informationssicherheit zu adressieren. Man muss sich zwar registrieren aber es gibt genug Wegwerf-Mailadressen.

Ach ja, der Link: IBM X-Force Threat Reports

Side-Channel Attacks (auf deutsch Seitenkanalattacke) definiert Wikipedia als kryptoanalytischen Angriff gegen die Implementierung eines kryptographischen Verfahrens, also in der Regel die konkrete Hardware/Software die eine Verschlüsselung durchführt. Informationen über die Verschlüsselung können dabei z.B. aus der Laufzeit des Algorithmus, der Stromaufnahme des Prozessors oder elektromagnetischer Abstrahlung gewonnen werden. Vor ein paar Jahren waren Side-Channel Angriffe noch so obskur, dass sich kaum jemand damit beschäftigte. Inzwischen sind sie Mainstream und Programmierer und Entwickler sollten sich daher Gedanken machen wie eine konkrete Implementierung vor diesen Angriffen geschützt werden kann.

Harko Robroch hält auf der kommenden RSA Conference dazu einen Vortrag der sich mit genau diesen Themen beschäftigt, schreibt The Register:

One simple trick is to vary password verification routines. „When you do a string compare to check a password, for example, to make it efficient you usually start with the first character and work through in sequence. If you hit a wrong character you throw it out. By measuring the time taken to do the check, a side-channel scan can identify which characters have been accepted. So you can protect the password by not checking it in sequence,“ he said.

Besonders betroffen sind immer noch schlüssellose Systeme wie wir seit geraumer Zeit wissen.

Apropos: Verwendet tatsächlich irgendjemand den Begriff Seitenkanalattacke? Ich musste in meinem Studium, das war so ca. 1998 mal eine Präsentation über Threaded Programming und Stack-Konflikte komplett in deutsche Begriffe übersetzen. Interessanterweise konnten die Zuhörer mit „nebenläufiger Programmierung“ und „Kellerspeicher“ damals schon so wenig damit anfangen wie ich heute mit der Seitenkanalattacke.