Skip to content

Angriffsziel Firmware

Die Firmware – egal ob das klassische BIOS oder seine Nachfolger (U)EFI – stellt die Verbindung zwischen Hardware und Betriebssystem dar. Das bedeutet, dass derjenige, der die Firmware kontrolliert, auch das Betriebssystem kontrollieren kann. Eben das ist es, was sie für Angreifer interessant macht, denn bringen sie die Firmware unter ihre Kontrolle, sind alle danach geladenen Schutzmaßnahmen wirkungslos.

Wie sieht es also mit der Sicherheit der Firmware aus? Vermutlich ahnen Sie es schon: Nicht gut. Sonst würde es ja keinen Artikel darüber geben. Die Frage, die es zu stellen gilt, ist also: Wie schlimm genau ist es?

Die Antwort darauf finden Sie in meinem Artikel auf entwickler.de!

Carsten Eilers

Drucksache: PHP Magazin 5.18 - OWASP Top 10, Platz 4 - 6 - "XML External Entities (XXE)", "Broken Access Control" und "Security Misconfiguration"

Im PHP Magazin 5.2018 ist der dritte Artikel einer kleinen Serie zu den OWASP Top 10, den 10 gefährlichsten Bedrohungen für Webanwendungen, erschienen.

Das Open Web Application Security Project (OWASP) hat im Herbst 2017 seine Top 10 der größten Bedrohungen für Webanwendungen veröffentlicht. In diesem Artikel lernen Sie den vierten bis sechsten Platz kennen: "XML External Entities (XXE)", "Broken Access Control" und "Security Misconfiguration".

"Drucksache: PHP Magazin 5.18 - OWASP Top 10, Platz 4 - 6 - "XML External Entities (XXE)", "Broken Access Control" und "Security Misconfiguration"" vollständig lesen

Drucksache: Windows Developer 8.18 - Blockchain - Was ist das, was kann das, was soll das?

Im Windows Developer 8.18 ist ein Artikel über die Blockchain erschienen: Was ist das, was kann das, was soll das?

Die Blockchain - dabei fällt einem meist zuerst oder auch ausschließlich Bitcoin ein. Aber das ist nur eine von vielen möglichen Anwendungen. Denn eigentlich ist eine Blockchain nur eine dezentral gespeicherte, beliebig erweiterbare Liste von Datensätzen, die kryptographisch so gesichert sind, dass sie nach der Speicherung nicht verändert oder gelöscht werden können. Und die können aus allem möglichen bestehen, nicht nur Transaktionen einer Kryptowährung.

"Drucksache: Windows Developer 8.18 - Blockchain - Was ist das, was kann das, was soll das?" vollständig lesen

Kryptoverfahren: Welche sollte man verwenden bzw. meiden?

Die Auswahl an Kryptoverfahren ist, sofern man sich auf bekannte Algorithmen beschränkt, recht übersichtlich. Einige dieser Algorithmen sollte man allerdings mittlerweile nicht mehr verwenden, da sie inzwischen gebrochen wurden. Und dann gibt es da noch einige weitere Punkte zu beachten ...

Worauf Sie bei der Auswahl von Kryptoverfahren achten müssen erfahren Sie in meinem Artikel auf entwickler.de!

Carsten Eilers

Neues eBook: "Data Loss Prevention und Incident Response"

Bei entwickler.press ist ein neues eBook von Mathias Fuchs und mir erschienen: "Data Loss Prevention und Incident Response" (ISBN: 978-3-86802-841-6, Preis: 2,99 €, erhältlich in den üblichen eBook-Shops).

Zu diesen Shortcut habe ich zwei Artikel beigetragen, einen zur Data Loss Prevention (Kapitel 2) und einen zur Incident Response (Kapitel 3).

Kapitel 2: Daten mithilfe von Data Loss Prevention schützen

"Neues eBook: "Data Loss Prevention und Incident Response"" vollständig lesen

Incident Response: Was passiert, wenn etwas passiert?

Wissen Sie, was Sie tun werden, wenn Ihr Rechner, Ihr lokales Netz oder Ihr Webserver angegriffen, womöglich sogar erfolgreich kompromittiert wird? Oder wenn in Ihrem Code eine Schwachstelle gefunden wird? Hoffentlich, denn sonst haben Sie im Ernstfall ein Problem.

Diese Pläne für Notfälle, die man macht, um sie hoffentlich nie zu benötigen, werden im englischen als "Incident Response Plan" bezeichnet. Und was es dabei geht und was es zu beachten gibt, erfahren Sie in meinem Artikel auf entwickler.de.

Carsten Eilers

Drucksache: Entwickler Magazin 4.18: Angriffe auf und über Bluetooth

Im Entwickler Magazin 4.18 ist ein Artikel über Angriffe auf und über Bluetooth erschienen.

Die Entwickler von Bluetooth haben die Sicherheit ihres Protokolls im Blick gehabt und sowohl die Authentisierung der Kommunikationsteilnehmer als auch die Verschlüsselung der Kommunikation von Anfang an vorgesehen [1].

"Drucksache: Entwickler Magazin 4.18: Angriffe auf und über Bluetooth" vollständig lesen

Drucksache: Windows Developer 7.18 - Admin-Tools und mehr im Visier

Im Windows Developer 7.18 ist ein Artikel über Angriffe auf und über Admin-Tools und andere Programme, die überall vorhanden sind, erschienen.

Alles, was ein Admin zur Verwaltung eines Rechner oder Netzes verwendet, ist für einen Angreifer von besonderen Interesse. Zum einen, weil diese Tools i.A. mit erhöhten Rechten laufen, und die möchten die Angreifer natürlich auch haben. Zum anderen, weil diese Tools für genau die Aufgaben zuständig sind, die die Angreifer benötigen, um die vollständige Kontrolle über System und/oder Netzwerk zu erlangen. Das wissen natürlich auch die Sicherheitsforscher, weshalb sie immer wieder prüfende Blicke auf diese Tools werfen. Und dabei leider des Öfteren auch Möglichkeiten für einen Angriff finden.

"Drucksache: Windows Developer 7.18 - Admin-Tools und mehr im Visier" vollständig lesen

Drucksache: Entwickler Magazin Spezial Vol. 16: Security

Ich hatte die Ehre, für das Entwickler Magazin Spezial Vol. 16: Security das Editorial zu schreiben, dass Sie auf der Seite zum Magazin auch online lesen können. Außerdem sind 2 Artikel von mir im Magazin enthalten.

Update
Das Editorial ist nun auch in einer längeren Fassung auf entwickler.de zu lesen.
Endes des Updates

"Drucksache: Entwickler Magazin Spezial Vol. 16: Security" vollständig lesen

Drucksache: PHP Magazin 4.18 - OWASP Top 10, Platz 2 und 3 - "Broken Authentication" und "Sensitive Data Exposure"

Im PHP Magazin 4.2018 ist der zweite Artikel einer kleinen Serie zu den OWASP Top 10, den 10 gefährlichsten Bedrohungen für Webanwendungen, erschienen. Und im zweiten Teil geht es natürlich um Platz 2 und 3 der Top 10: "Broken Authentication" und "Sensitive Data Exposure".

Das Open Web Application Security Project (OWASP) hat im Herbst 2017 seine Top 10 der größten Bedrohungen für Webanwendungen veröffentlicht. In diesem Artikel lernen Sie den zweiten und dritten Platz kennen.

"Drucksache: PHP Magazin 4.18 - OWASP Top 10, Platz 2 und 3 - "Broken Authentication" und "Sensitive Data Exposure"" vollständig lesen

Drucksache: Windows Developer 6.18 - Angriffsziel Active Directory

Im Windows Developer 6.18 ist ein Artikel über Angriffe auf Active Directory erschienen.

Es vergeht kein Jahr, ohne dass es auf den Sicherheitskonferenzen Vorträge rund um Active Directory gibt. Ob das nun eine "same procedure than last year" ist, die sich in den vergangenen Jahren jedes Jahr wiederholt hat, oder eine "same procedure than every year", ist dabei ziemlich egal. Es wird auf jeden Fall Zeit, mal wieder einen Blick auf die aktuelle Entwicklung zu werfen.

"Drucksache: Windows Developer 6.18 - Angriffsziel Active Directory" vollständig lesen

Drucksache: Entwickler Magazin 3.18 - Incident Response

Im Entwickler Magazin 3.18 ist ein Artikel über "Incident Response" erschienen: Was passiert, wenn etwas passiert? Wie soll auf einen Angriff reagiert werden?

Wissen Sie, was Sie tun werden, wenn Ihr Rechner, Ihr lokales Netz, Ihr Webserver angegriffen wird, womöglich sogar erfolgreich kompromittiert wurde? Oder wenn in Ihrem Code eine Schwachstelle gefunden wird? Hoffentlich, denn sonst haben Sie im Ernstfall ein Problem.

"Drucksache: Entwickler Magazin 3.18 - Incident Response" vollständig lesen

Drucksache: Windows Developer 5.18 - Angriffsziel Firmware

Im Windows Developer 5.18 ist ein Artikel über Angriffe auf und Schwachstellen in der Firmware erschienen.

Update 17.7.2018:
Der Artikel ist jetzt auch online auf entwickler.de zu lesen.
Ende des Updates

Die Firmware (egal ob das klassische BIOS oder seine Nachfolger (U)EFI) stellt die Verbindung zwischen Hardware und Betriebssystem dar. Was bedeutet, dass derjenige, der die Firmware kontrolliert, auch das Betriebssystem kontrollieren kann. Was sie für Angreifer interessant macht, denn wenn sie die Firmware unter ihre Kontrolle bringen sind alle danach geladenen Schutzmaßnahmen wirkungslos.

"Drucksache: Windows Developer 5.18 - Angriffsziel Firmware" vollständig lesen

Drucksache: IT Administrator April 2018 - Sicherheitsrisiken durch unzureichendes Logging und Monitoring

Im IT-Administrator April 2018 ist ein Artikel über Sicherheitsrisiken durch unzureichendes Logging und Monitoring erschienen.

Im November 2017 wurden die OWASP Top 10 2017 (PDF) veröffentlicht, die die 10 häufigsten Sicherheitsrisiken für Webanwendungen aufführen. Es gibt mehrere Änderungen zum Vorgänger von 2013, hier interessiert besonders der neuen Punkt 10: "Insufficient Logging & Monitoring". Denn der war der Anlass für diesen Artikel.

"Drucksache: IT Administrator April 2018 - Sicherheitsrisiken durch unzureichendes Logging und Monitoring" vollständig lesen

Drucksache: PHP Magazin 3.18 - OWASP Top 10, Platz 1: Injection

Im PHP Magazin 3.2018 ist der erste Artikel einer kleinen Serie zu den OWASP Top 10, den 10 gefährlichsten Bedrohungen für Webanwendungen, erschienen. Und im ersten Teil geht es natürlich um Platz 1 der Top 10: Injection-Schwachstellen.

Das Open Web Application Security Project (OWASP) hat im Herbst 2017 seine Top 10 der größten Bedrohungen für Webanwendungen aktualisiert. In diesem Artikel lernen Sie den ersten Platz kennen, auf dem wie schon in der Vorversion von 2013 die Injection-Schwachstellen stehen.

"Drucksache: PHP Magazin 3.18 - OWASP Top 10, Platz 1: Injection" vollständig lesen