Sensitive Data Exposure
Thema 5 Benoist
Thema 5 Benoist
Was versteht man unter Sensitive Data Exposure ?
Zugriff auf sensitive Daten über ein "Loch"
In der Regel dank unverschlüsselten Daten wie zB DBs, LAN, local Storage, Backusp
Wie wird der Zugriff in der Regel erreicht und was wird meist umgangen?
- Angreifer bricht in der Regel NICHT die Verschlüsselung an sich um auf die Daten zuzugreifen. Sie wird vielmehr umgangen
- Backdoors, Keys stehlen, MITM
- Unverschlüsselte Daten beim Client oder in der Kommunikation
Wann ist data exposure am einfachsten?
Wenn Daten oder Verkehr nicht verschüsselt ist
Wann ist data exposure einfach obwohl verschlüsselungsverfahren genutzt werden?
- schwache algorithmen -> DES
- schlechte Keys -> entropy & keylenght
Was für sensitive Daten können kompromitiert werden und welche Auswirkung hat das auf die Firma?
Daten:
- Passwörter
- Gesundheitsunterlagen
- Persönliche Informationen
- Kreditkarten
- uvm
Auswikrung auf Firma
- Datenwert für Konkurrenz
- Reputation
- Einhaltung von Vorschriften
- Ruin der Firma je nachdem
Wie soll dieses Szenario geschützt werden?
Was ist hier das Problem und wie soll dieses Szenario geschützt werden?
A site has HTTP pages.
Login occures in HTTPS
pages Rest of pages are HTTPS
Another part of site is HTTP
If cookie is not “secure” :
SessionID is sent also for HTTP pages / resources (images, css, . . . )
Can be spyed by third party
Can be used for inpersonating the victim
Darum Secure Flag für Cookies setzen
Wie finde ich heraus ob ich oder meine Firma "exposed" ist? (5 Stück)
Folgendes analysieren
- Welche meiner Daten sind sensitiv? (zB Health data, Credit cards, Credentials)
- Werden meine sensitiven Daten in Klartext gesichert? (auch Backups berücksichtigen)
- Werden meine sensitiven Daten in Klartext übertrage? (internet und FIrmennetz)
- Verwende ich schwache oder alte Krypto?
- Verwende ich den Browser richtig? (Sicherheitsrichtlinien oder Headers fehlen?)
Was versteht man unter "Store only sensitive data that you need "
Man soll auch wirklich nur diese Daten speichern welche man braucht.
Bsp. Kreditkarten:
Viele Shops verwenden Zahlungsprovider damit die Kreditkarten nicht bei einem persönlich abgelegt sein müssen.
Nennen sie ein paar starke Algorithmen welche man heute für Verschlüsselung verwenden sollte
AES for symetric encryption, RSA for public key crypto, SHA-256 or better for hash functions
Auf was sollte man bei Rando Numbers achten und wo werden diese auf Webapps verwendet?
- Kryptografisch starke Random Numbers generieren (PRF, Seed, Entropy)
- Verwendet für
- random file names
- random userid or session id
- random tokens
- usw
Was versteht man unter "Use only widely accepted implementations of crypto algorithms"?
Man soll nicht selber cryptos implementieren.
Man soll die Community ressourcen nutzen
Was soll nebst Authenticity für Daten auch vewendet werden? Wie wird es implementiert/gelöst?
Immer Aithenticity mit Integrity kombinieren da Daten auch im verschlüsselten Zustand manipuliert werden können
Gelöst wird es mit Cipher Modes welche beides untertsützen: CCM, GCM, OCB
Alternativ auch Kombination möglich von CBC und MAC
Welche Arten gibt es um Passwörter zu sichern? (gut und schlecht) Wie ist die Angriffsmöglichkeit bei diesen Arten
Alle anäfflig auf SQL injection ausser encrypted
- Clear text -> bruteforce with password tables
- hashed -> bruteforce with rainbow tables
- hashed + usersalt -> bruteforce but no tables
- encreypted -> nur mittels Key müglich
Wie sollten Keys geschützt/gesichert werden?
- Key lifecycle
- keys und encryted data separat ablegen
- keys in einem Safe sichern
Was ist in diesem Beispiel der Schaden für Clients, Web Site und Credit Card Company?
Was für Crypto Algos verwenden Sie wenn
- Sie Daten lesen und schreiben wollen?
- lesen und schreiben wird von unterschiedlichen eintities gemacht?
- vom Output nie wieder zürck rechnen können?
- symentrisch: AES (DES, unsicher)
- asymetrisch : RSA, EL GAMAL etc
- Crypto safe One way hash function: SHA-256
Was ist "PCI Data Security Standard"?
PCI Data Security Standard = Payment Card Industry Data Security Standard
Ein Standard welches von den meisten Kreditkarten-Firmen gemeinsam entwickelt wurde damit keine Kreditkarten Information gestohlen werden können.
Der Standard muss von allen Firmen implementiert werden welche Kreditkarten verwenden. Die Compliance wird regelmässig von QSA's(Qualified Security Assessors) validiert
Welche Sind die PCI-DSS Requirements?
Zwischen welchen zwei Datentypen unterscheidet PCI DSS ?
-
- 1 / 20
-
Cartes-fiches
Was versteht man unter Sensitive Data Exposure ?
Zugriff auf sensitive Daten über ein "Loch"
In der Regel dank unverschlüsselten Daten wie zB DBs, LAN, local Storage, Backusp
Wie wird der Zugriff in der Regel erreicht und was wird meist umgangen?
- Angreifer bricht in der Regel NICHT die Verschlüsselung an sich um auf die Daten zuzugreifen. Sie wird vielmehr umgangen
- Backdoors, Keys stehlen, MITM
- Unverschlüsselte Daten beim Client oder in der Kommunikation
Wann ist data exposure am einfachsten?
Wenn Daten oder Verkehr nicht verschüsselt ist
Wann ist data exposure einfach obwohl verschlüsselungsverfahren genutzt werden?
- schwache algorithmen -> DES
- schlechte Keys -> entropy & keylenght
Was für sensitive Daten können kompromitiert werden und welche Auswirkung hat das auf die Firma?
Daten:
- Passwörter
- Gesundheitsunterlagen
- Persönliche Informationen
- Kreditkarten
- uvm
Auswikrung auf Firma
- Datenwert für Konkurrenz
- Reputation
- Einhaltung von Vorschriften
- Ruin der Firma je nachdem
Wie soll dieses Szenario geschützt werden?
Was ist hier das Problem und wie soll dieses Szenario geschützt werden?
A site has HTTP pages.
Login occures in HTTPS
pages Rest of pages are HTTPS
Another part of site is HTTP
If cookie is not “secure” :
SessionID is sent also for HTTP pages / resources (images, css, . . . )
Can be spyed by third party
Can be used for inpersonating the victim
Darum Secure Flag für Cookies setzen
Wie finde ich heraus ob ich oder meine Firma "exposed" ist? (5 Stück)
Folgendes analysieren
- Welche meiner Daten sind sensitiv? (zB Health data, Credit cards, Credentials)
- Werden meine sensitiven Daten in Klartext gesichert? (auch Backups berücksichtigen)
- Werden meine sensitiven Daten in Klartext übertrage? (internet und FIrmennetz)
- Verwende ich schwache oder alte Krypto?
- Verwende ich den Browser richtig? (Sicherheitsrichtlinien oder Headers fehlen?)
Was versteht man unter "Store only sensitive data that you need "
Man soll auch wirklich nur diese Daten speichern welche man braucht.
Bsp. Kreditkarten:
Viele Shops verwenden Zahlungsprovider damit die Kreditkarten nicht bei einem persönlich abgelegt sein müssen.
Nennen sie ein paar starke Algorithmen welche man heute für Verschlüsselung verwenden sollte
AES for symetric encryption, RSA for public key crypto, SHA-256 or better for hash functions
Auf was sollte man bei Rando Numbers achten und wo werden diese auf Webapps verwendet?
- Kryptografisch starke Random Numbers generieren (PRF, Seed, Entropy)
- Verwendet für
- random file names
- random userid or session id
- random tokens
- usw
Was versteht man unter "Use only widely accepted implementations of crypto algorithms"?
Man soll nicht selber cryptos implementieren.
Man soll die Community ressourcen nutzen
Was soll nebst Authenticity für Daten auch vewendet werden? Wie wird es implementiert/gelöst?
Immer Aithenticity mit Integrity kombinieren da Daten auch im verschlüsselten Zustand manipuliert werden können
Gelöst wird es mit Cipher Modes welche beides untertsützen: CCM, GCM, OCB
Alternativ auch Kombination möglich von CBC und MAC
Welche Arten gibt es um Passwörter zu sichern? (gut und schlecht) Wie ist die Angriffsmöglichkeit bei diesen Arten
Alle anäfflig auf SQL injection ausser encrypted
- Clear text -> bruteforce with password tables
- hashed -> bruteforce with rainbow tables
- hashed + usersalt -> bruteforce but no tables
- encreypted -> nur mittels Key müglich
Wie sollten Keys geschützt/gesichert werden?
- Key lifecycle
- keys und encryted data separat ablegen
- keys in einem Safe sichern
Was ist in diesem Beispiel der Schaden für Clients, Web Site und Credit Card Company?
Was für Crypto Algos verwenden Sie wenn
- Sie Daten lesen und schreiben wollen?
- lesen und schreiben wird von unterschiedlichen eintities gemacht?
- vom Output nie wieder zürck rechnen können?
- symentrisch: AES (DES, unsicher)
- asymetrisch : RSA, EL GAMAL etc
- Crypto safe One way hash function: SHA-256
Was ist "PCI Data Security Standard"?
PCI Data Security Standard = Payment Card Industry Data Security Standard
Ein Standard welches von den meisten Kreditkarten-Firmen gemeinsam entwickelt wurde damit keine Kreditkarten Information gestohlen werden können.
Der Standard muss von allen Firmen implementiert werden welche Kreditkarten verwenden. Die Compliance wird regelmässig von QSA's(Qualified Security Assessors) validiert
Welche Sind die PCI-DSS Requirements?
Zwischen welchen zwei Datentypen unterscheidet PCI DSS ?
