Ivan Buetler - compass category

ISSS St.Galler Tagung - Grösserer Raum

Thu, 15 Apr 2010 06:45:00 GMT

Nachdem die St.Galler Tagung innert kurzer Zeit mit einem Raum von 50 Personen ausgebucht war, wurden weitere Interessierte auf eine Warteliste gesetzt. Glücklicherweise konnte der Raum vergrössert werden.... es sind also wieder Plätze frei!

Details zum Event: http://www.isss.ch/veranstaltungen/2010/st-galler-tagung/

Termin:	Donnerstag, 29.04.2010, 17:30 - 20:45 Uhr
Ort:	Hotel Einstein, Berneggstrasse 2, 9000 St. Gallen
Karte:	Hotel Einstein, St. Gallen
Anmeldung:	Anmeldeformular

Würde mich freuen wenn ich einige Blog Leser begrüssen könnte. Grüsse

Ivan Bütler
E1

Ivan Bütler im Vorstand ISSS

Mon, 05 Apr 2010 20:31:00 GMT

Hi all,

Gerne teile ich mit, dass ich bei der letzten Generalversammlung vom 30. März 2010 in den Vorstand des Fachverband ISSS gewählt wurde. In der Rolle des Vorstandes möchte ich mich für die Vernetzung der IT Security Kompetenzen einsetzen und weiterhin am Ausbildungsangebot weiterarbeiten. Dazu erhalte ich am 29. April 2010 bereits das erste Mal Gelegenheit, wenn die von Lukas Ruf und mir organisierte St.Galler Tagung des ISSS (bereits ausgebucht) durchgeführt wird.

Ich freue mich auf diese Herausforderung

Grüsse
Ivan
E1

Workshop zum Thema Mobile Security @ MCTA in Berlin

Thu, 11 Feb 2010 06:26:00 GMT

Marco Di Filippo, unser Regional Germany Manager hat an der MCTA Konferenz in Berlin einen 4 Stunden Workshop zum Thema Mobile Security gehalten. Der Vortrag hatte folgende Themen:

* Locating / Positioning (GSM Ortung)
* Locating of any GSM owner (without secret service help)
* Eavesdropping Telefone Calls
* Mobile Device Trojans and Viruses (Observation)
* ID Spoofing
* Bluetooth Hacking
* Early Media Stream Vulnerability

Die 8MB grosse PDF Datei (German) ist frei verfügbar. Insbesondere NEU ist die Tatsache, dass man auch in der Schweiz jedes Handy ohne Zusatzausrüstung lokalisieren kann (Tracking).

Grüsse
E1

ISSS - Cyber Crime und die Schweiz

Fri, 29 Jan 2010 12:34:00 GMT

Als Aspirant für den Vorstand in der Information Security Society Switzerland (ISSS) habe ich zusammen mit Lukas Ruf die St.Galler Tagung am 29. April 2010 organisiert. Diese hat das Thema "Cyber Crime und die Schweiz" und ich denke es ist ein sehr ansprechendes Programm (kostenlos) zusammen gestellt worden.

17:30 - 17:40		Begrüssung Dr. Lukas Ruf, Consecom AG
17:40 - 18:15		Cyber Crime und die Schweiz Marc Henauer, FEDPOL/KOBIK
18:15 - 18:50		European Cyber Crime Convention Lic. iur. Fürsprech Beat Lehmann, Lehrbeauftragter Uni Zürich für Informatikrecht
18:50 - 19:00		Pause
19:00 - 19:35		Cyber Underground Ivan Bütler, Compass Security AG
19:35 - 20:10		Google's Anti-Phishing/Anti-Malware Efforts Noé Lutz, SafeBrowsing Team, Google Inc., USA
20:10 - 20:15		Abschluss der Tagung Dr. Thomas Dübendorfer, Präsident ISSS
20:15 - ca. 20:45		Apéro

Würde mich freuen wenn ich einige Blog Leser begrüssen könnte.

Anmeldung unter: http://www.isss.ch/veranstaltungen/2010/st-galler-tagung/

Grüsse
Ivan Bütler
E1

Update Etterfilter MitM

Thu, 03 Dec 2009 10:40:00 GMT

Exactly 1 year ago, I wrote about arp spoofing and traffic content replacement with ettercap and etterfile. Martin Suess from Compass Security now discloses a nice video in how such an attack could performed.

How can we protect our assets?

Do not download binaries from untrusted sources
Verify available hashes and signatures (if available)
Run your program as standard user (if possible)
Be defensive

Watch the video from Hacking-Lab
http://www.hacking-lab.com/download/

Have a safe day
E1

SSL / TLS Renegotiation Attack - Movie

Mon, 23 Nov 2009 16:28:00 GMT

I played around with the ssl / tls renegotiation exploit on the Hacking-Lab ssl protected page. Watch the video to understand the vulnerability.

http://www.hacking-lab.com/movies/5044/

Attacker starts "proof" attacker proxy
The proof attacker proxy injects /user/profile/E1 (my hacking-lab profile)
The browser points to "/"
The MITM proxy injects the malicous /user/profile/E1

Hope this helps to make the vulnerability more understandable

Greetz
Ivan

SSL / TLS Re-Negotiation Schwachstelle

Tue, 17 Nov 2009 14:38:00 GMT

Wie man allenfalls aus der Presse gehört hat, oder durch das Airlock Advisory, kursiert seit dem 9. November 2009 eine SSL/TLS Schwachstelle mit dem Namen "SSL/TLS Re-Negotiation Vulnerability" und der CVE CVE-2009-3555.

Wir haben die Schwachstelle bei Compass diskutiert und möchten folgende Kurzzusammenfassung abgeben:

Kurze Version:
Mit SSL geschützte Services sind grundsätzlich verwundbar gegen die beschriebene SSL/TLS Re-Negotiation Attacke, es hängt aber von diversen Faktoren ab, vor allem vom Protokoll (HTTP ist verwundbar) und von der konkreten Implementation (Apache mit OpenSSL ist verwundbar, viele andere auch). Mit oder ohne Client Cert spielt keine Rolle. Der Angreifer muss im Netzwerk Man in the Middle sein. Der Angreifer kann lediglich dem ersten Request des Clients über die SSL-Verbindung einen beliebigen Präfix voranstellen; der Angreifer sieht nie in die Verbindung rein.

Lange Version:
Der Angreifer muss sich netzwerkmässig zwischen Client und Server hängen (also ARP Spoofing, DNS Poisoning, übernommener Router, Fake-Access-Point o.ä.). Dann muss der Client eine Verbindung zum Server starten.

Der Angreifer behält das erste SSL-Paket des Clients zurück und startet stattdessen selber eine SSL-Verbindung mit dem Server. Über diese Verbindung setzt er einen unvollständigen Request ab, z.B.

"GET /payment/make.do?from=victim&to=hacker&amount=100000 HTTP/1.1\r\n
Ignore-The-Rest: "

Der Server kriegt das, sieht der Request ist nicht fertig nach "Ignore-The-Rest:" weils kein \r\n\r\n hat, und wartet auf den Rest. Statt den Rest zu schicken wird nun vom Angreifer eine SSL-Renegotiation mit dem Server initiert. Dafür schickt der Angreifer das zurückbehaltene erste Paket des Clients (Client Hello) an den Server weiter, schickt die Antwort dem Client, usw. Das Resultat der Renegotiation ist eine End-zu-End SSL-Verbindung zwischen Client und Server, welche über den Angreifer geht. Der Angreifer kennt aber die Schlüssel nicht, er spielt quasi nur Router.

Jedenfalls macht der Client nun seinen ursprünglich geplanten Request, z.B.:

"GET /foo HTTP/1.1\r\n
Host: but.bank\r\n
Cookie: BUT_SID=42\r\n
\r\n"

Der Server hängt das an den bereits erhaltenen ersten Teil an und erhält somit:

"GET /payment/make.do?from=victim&to=hacker&amount=100000 HTTP/1.1\r\n
Ignore-The-Rest: GET /foo HTTP/1.1\r\n
Host: but.bank\r\n
Cookie: BUT_SID=42\r\n
\r\n"

Der vom Angreifer vorangestellte Request wird nun ausgeführt in der Session des Opfers (Cookie, SSL Client Cert, usw.).
Da der Angreifer die Antwort nicht sehen kann, muss er Output über die Applikation rauskriegen, z.B. bei Twitter in einen Tweet packen.

HTTPS ist verwundbar, andere Protokolle je nach Protokoll und Implementation. Wenn das Voranstellen von unauthorisiertem Zeugs dem Angreifer einen Vorteil verschaffen kann und das Protokoll die Änderung nicht "bemerkt", dann ist eine Applikation verwundbar.

Diese Info stammt vom Team von Compass Security AG

Gute Erklärung von http://www.g-sec.lu/practicaltls.pdf
Eine zweite gute Erklärung: http://extendedsubset.com/Renegotiating_TLS.pdf

Empfehlung?
Das Problem liegt im Protokoll von SSL/TLS. Wir werden wohl auf eine Antwort der Protokoll Spezifikation warten müssen. Wie reagiert Phion mit Airlock? Ich finde sehr gut. Siehe das Announcement von Phion:
"Der Hotfix von airlock wird sicherstellen, dass von aussen keine SSL Renegotiate Handshakes mehr initiiert werden können. Die von airlock selbst initiierten SSL Renegotiate Handshakes wird der Hotfix nicht deaktiveren, da sie in einem einzigen Anwendungsfall nötig sind: Wenn eine Client Zertifikat Authentisierung auf einem einzelnen Mapping statt auf dem Virtual Host verlangt wird, muss airlock für dieses zweistufige Verfahren mit dem Client einen Renegotiate Handshake durchführen können. In dem Fall besteht das Risiko, dass die Schwachstelle ausgenutzt werden kann."

Danke
Grüsse
E1

Defense in-depth; Improve against 0-day exploitation

Thu, 12 Nov 2009 13:18:00 GMT

At my talk at the Compass Security Conference 2009 I brought up some defense in-depth strategies to armor an internet facing server to make it more robust against zero-day exploits. I performed some practical live-demo examples and conceptual recommendations. This considerations are now available within a short pdf - as an add-on to the public power point pdf slides.

Download from Hacking-Lab: http://www.hacking-lab.com/download
Power Point Slides as PDF from Compass Security: http://www.csnc.ch/en/downloads/publications.html

Regards
E1

Windows 7 - CTRL+SHIFT+ENTER

Tue, 10 Nov 2009 14:00:00 GMT

Seit gestern habe ich einen neuen Laptop mit Windows 7. Zu Beginn steht ja allerlei Installationsarbeit an, wozu man LOCAL ADMIN Rechte braucht. Unter Windows 7 kann man einen Befehl in die Befehlszeile eintippen und danach mit CTRL+SHIFT+ENTER den Befehl unter einer anderen Kennung starten. Das ist viel angenehmer als runas, zumindest für mich.

Grüsse
E1

STRATO Provider Deutschland überfordert

Fri, 06 Nov 2009 08:18:00 GMT

Java Script Malware
In der Zeit vom 20-26. Oktober 2009 wurde die Webseite einer Schweizer Firma gehackt und jeweils folgende <SCRIPT SRC=...> Anweisung in die Webseite hinterlegt: http://dobrodeya.com/cgi-bin/Archiv.php

Same Origin Bypass
Die Anweisung <SCRIPT SRC=...> bedeutet, dass die JavaScripts von obiger URL im gleichen Context wie die Webseite der Schweizer Firma ausgeführt wird und ist der Bypass für die Same Origin Policy. Der Host "dobrodeya.com" wird vom deutschen Provider STRATO gehostet. Die Malware hat Sicherheitslücken in den
Browsern ausgenützt und Trojaner im Browser installiert. Eine ziemlich gefährliche Sache also....wie hat die Zusammenarbeit mit STRATO funktioniert? Was macht die Malware? Lesen Sie weiter als PDF unter http://www.hacking-lab.com/download/

Grüsse
E1