Gut dokumentiert ist halb gesichert

59
©iteratec Java Security Gut dokumen+ert ist halb gesichert! Benjamin Pfänder und Dr. Jan Chris8an Krause Benjamin Pfänder und Dr. Jan Christian Krause 30.09.2016

Transcript of Gut dokumentiert ist halb gesichert

Page 1: Gut dokumentiert ist halb gesichert

©ite

ratec

Java Security

Gutdokumen+ertisthalbgesichert!

BenjaminPfänderundDr.JanChris8anKrause

Benjamin Pfänder und Dr. Jan Christian Krause 30.09.2016

Page 2: Gut dokumentiert ist halb gesichert

BeiwemeinPenetra+onstest

wurdeschoneinmal

durchgeführt ?

Page 3: Gut dokumentiert ist halb gesichert
Page 4: Gut dokumentiert ist halb gesichert

einPentesterWie ?arbeitet

Page 5: Gut dokumentiert ist halb gesichert

©ite

ratec

Page 6: Gut dokumentiert ist halb gesichert
Page 7: Gut dokumentiert ist halb gesichert
Page 8: Gut dokumentiert ist halb gesichert

!broken

DasSessionManagementist

Page 9: Gut dokumentiert ist halb gesichert

Ja.Aber...

!broken

DasSessionManagementist

Page 10: Gut dokumentiert ist halb gesichert

MeineApplika+on

Qualitätszielemussdie

erreichen

Page 11: Gut dokumentiert ist halb gesichert

!

DatenleckdurchunverschlüsselteÜbertragung

Page 12: Gut dokumentiert ist halb gesichert

!DatenleckdurchunverschlüsselteÜbertragung

Ja...S8mmt.

Page 13: Gut dokumentiert ist halb gesichert

!DatenleckdurchunverschlüsselteÜbertragung

Ja...S8mmt.

Page 14: Gut dokumentiert ist halb gesichert
Page 15: Gut dokumentiert ist halb gesichert
Page 16: Gut dokumentiert ist halb gesichert
Page 17: Gut dokumentiert ist halb gesichert

Release!!

Page 18: Gut dokumentiert ist halb gesichert

SicherheitslückeinPacksta+onen

MS.de

Page 19: Gut dokumentiert ist halb gesichert

Warum?

Page 20: Gut dokumentiert ist halb gesichert
Page 21: Gut dokumentiert ist halb gesichert

verhindernkönnenWie ?

häHenwirdas

Page 22: Gut dokumentiert ist halb gesichert

anschauen

Indem !Bedrohungenwirunsdie

Page 23: Gut dokumentiert ist halb gesichert

Systeme

Page 24: Gut dokumentiert ist halb gesichert

Systeme

Schni&stellen

Page 25: Gut dokumentiert ist halb gesichert

Systeme

Schni+stellen

Aktoren

Page 26: Gut dokumentiert ist halb gesichert

Infrastruktur

Systeme

Schni+stellen

Aktoren

Page 27: Gut dokumentiert ist halb gesichert

Infrastruktur

Systeme

Schni1stellen

Aktorentechn.Komponenten

Page 28: Gut dokumentiert ist halb gesichert

Infrastruktur

Systeme

Schni1stellen

Aktorentechn.Komponenten

Bedrohungen

Page 29: Gut dokumentiert ist halb gesichert

Infrastruktur

Systeme

Schni1stellen

Aktorentechn.Komponenten

Bedrohungen

Maßnahmen

Page 30: Gut dokumentiert ist halb gesichert

DieArchitekturdokuunterstütztdenProzess

Page 31: Gut dokumentiert ist halb gesichert

« system»Packstation

PaketempfängerPaketbote

Wertmarken-kunde

Wartungs-techniker

Bezahlsystem

Global HR System

SMS-Versandanbieter

Global TrackingSystem

0 .. *0 .. * 0 .. *

0 .. *

1

1 1

1

Kontextsicht

Page 32: Gut dokumentiert ist halb gesichert

« system»Packstation

PaketempfängerPaketbote

Wertmarken-kunde

Wartungs-techniker

Bezahlsystem

Global HR System

SMS-Versandanbieter

Global TrackingSystem

0 .. *0 .. * 0 .. *

0 .. *

1

1 1

1

Kontextsicht

Page 33: Gut dokumentiert ist halb gesichert

« system»Packstation

« subsystem»

Paket App

« subsystem»

Station

« subsystem»

meinesendung.de

« subsystem»

Package Management System

« subsystem»

Account Management System

MTAN

Sendungs-verfolgung

Postfach

Wertmarken-kiosk

Wartungsterminal

Kundendatenpflege

Registrierung

Bezahlsystem

Global HR System

SMS-Versand

Global Tracking System

Bausteinsicht

Page 34: Gut dokumentiert ist halb gesichert

Bausteinsicht

Page 35: Gut dokumentiert ist halb gesichert

Verteilungssicht

Page 36: Gut dokumentiert ist halb gesichert

Verteilungssicht

Page 37: Gut dokumentiert ist halb gesichert

Datenmodell

Page 38: Gut dokumentiert ist halb gesichert

Sendung

SendungsNrGrößenKat

Sendungsart

entspricht

Packstation

KennungStandortNächsteWartung

Mitarbeiter

NameVornameStufePasswort

wartet & pflegt

empfängtSendungen

an

versendet

ist adressiert

an

FachNr

Transaktionsnummer

TANGültigBIS

AbholungBis

AnlieferungAm

Kunde

GeschlechtAnschriftE-MailPasswortKartenNr

1

*

**

*

*

*

*

1

1

*

Datenmodell

Page 39: Gut dokumentiert ist halb gesichert

Kontextsicht Akteure

externeSchniHstellenundNachbarsysteme

Page 40: Gut dokumentiert ist halb gesichert

Kontextsicht

Bausteinsicht

Akteure

externeSchniHstellenundNachbarsysteme

Systeme

SchniHstellen

interneKomm.

Page 41: Gut dokumentiert ist halb gesichert

Kontextsicht

Bausteinsicht

VerteilungssichtAkteure

externeSchniHstellenundNachbarsysteme

Technologien

Infrastrukturtechn.Kommunika+on

Systeme

SchniHstellen

interneKomm.

Page 42: Gut dokumentiert ist halb gesichert

Kontextsicht

Bausteinsicht

Verteilungssicht

Datenmodell

Akteure

externeSchniHstellenundNachbarsysteme

Technologien

Infrastrukturtechn.Kommunika+on

Systeme

SchniHstellen

interneKomm.

Assets

Page 43: Gut dokumentiert ist halb gesichert

AccountManagementSystemSta8on

meinesendung.de PackageMgmtSystem

PaketApp

SystemeundSchniHstellen

Page 44: Gut dokumentiert ist halb gesichert

AccountManagementSystemStation

meinesendung.de PackageMgmtSystem

PaketApp

SMSVersand

Bezahlsystem

Paketempfänger

Paketbote

AktorenundNachbarsysteme

Page 45: Gut dokumentiert ist halb gesichert

AccountManagementSystemStation

meinesendung.de PackageMgmtSystem

PaketApp

Bezahlsystem

Paketempfänger

Paketbote

SMSVersand

KundeMitarbeiter

Transak8ons-nummer

Assets

Page 46: Gut dokumentiert ist halb gesichert

AccountManagementSystemStation

meinesendung.de PackageMgmtSystem

PaketApp

Bezahlsystem

Paketempfänger

Paketbote

SMSVersand

KundeMitarbeiter

Transak8ons-nummer

Technologien,ISundtechn.Kommunika+on

WEB Java,Tomcat

Page 47: Gut dokumentiert ist halb gesichert

AccountManagementSystemStation

meinesendung.de PackageMgmtSystem

PaketApp

Bezahlsystem

Paketempfänger

Paketbote

SMSVersand

KundeMitarbeiter

Transak8ons-nummer

Vertrauensgrenzen

WEB Java,Tomcat

Page 48: Gut dokumentiert ist halb gesichert

AccountManagementSystemStation

meinesendung.de PackageMgmtSystem

PaketApp

Bezahlsystem

Paketempfänger

Paketbote

SMSVersand

KundeMitarbeiter

Transak8ons-nummer

Vertrauensgrenzen

WEB Java,Tomcat

Page 49: Gut dokumentiert ist halb gesichert

AccountManagementSystemStation

meinesendung.de PackageMgmtSystem

PaketApp

Bezahlsystem

Paketempfänger

Paketbote

SMSVersand

KundeMitarbeiter

Transak8ons-nummer

Vertrauensgrenzen

WEB Java,Tomcat

Page 50: Gut dokumentiert ist halb gesichert

Paketempfangen

Prozess

Page 51: Gut dokumentiert ist halb gesichert

AccountManagementSystemStation

meinesendung.de PackageMgmtSystem

PaketApp

Paketempfangen

Bezahlsystem

Paketempfänger

Paketbote

SMSVersand

Kunde

Transak8ons-nummer

WEB Java,Tomcat

Page 52: Gut dokumentiert ist halb gesichert

SpoofingTamperingRepudia8onInforma8onDisclosureDenialofserviceEleva8onofprivilege

Page 53: Gut dokumentiert ist halb gesichert
Page 54: Gut dokumentiert ist halb gesichert

Bedroh

ungen EinAngreiferals“Kunde“umgehtdie2-Faktor

Authen8fizierungdurchdieMobileAPIumTransak8onsnummernzuerhalten.

Page 55: Gut dokumentiert ist halb gesichert

EinAngreifergibtsichalsPaketmitarbeiterausindemerdiegeheimePin1337errätundander

Sta8oneingibt.

Bedroh

ungen EinAngreiferals“Kunde“umgehtdie2-Faktor

Authen8fizierungdurchdieMobileAPIumTransak8onsnummernzuerhalten.

Page 56: Gut dokumentiert ist halb gesichert

EinAngreiferals“Kunde“umgehtdie2-FaktorAuthen8fizierungdurchdieMobileAPIum

Transak8onsnummernzuerhalten.

EinAngreifergibtsichalsPaketmitarbeiterausindemerdiegeheimePin1337errätundander

Sta8oneingibt.

Priorisierung

5

3

Page 57: Gut dokumentiert ist halb gesichert

EinAngreiferals“Kunde“umgehtdie2-FaktorAuthen8fizierungdurchdieMobileAPIum

Transak8onsnummernzuerhalten.

DerKundemussseinGerätzunächstmitderAppkoppelnumeineeindeu8geGeräte-IDzu

generieren.

Maßnahmen

5

Page 58: Gut dokumentiert ist halb gesichert

Zurückfließen

Architekturdokulassenindie

Page 59: Gut dokumentiert ist halb gesichert

www.iteratec.de

Benjamin Pfänder Mail: [email protected] Dr. Jan Christian Krause

Mail: [email protected] Twitter: @idocit Github: github.com/jankrause