Authentication

Question 1

Authentication Allgemein

Answer 1

• Prozess des Nachweises der Echtheit

- sollte sich aus mehreren Faktoren zusammensetzen (Besitz, Wissen, Eigenschaften)

Question 2

Authentication

Angriffe

Answer 2

• Session Fixiation
• Cross-Site Request Forgery (CSRF)
• Hash Length Extension
• Certificate Path creation and Validation

Question 3

Session Fixiation

Erklärung

Answer 3

• Angreifer fixiert eine Session ID bevor sich ein Nutzer einloggt
• Der Angreifer muss bis zum Aufruf des Users dafür sorge, dsas der Server die Sessen vorhält.

Question 4

Session Fixiation

Lösungsmöglichkeiten

Answer 4

• Start einer neuen Session bei jedem Login
• Wenn möglich nur Session starten, nachdem der Nutzer authenthisiert wurde
• Nutzung der Session ID beschränken
• • Koppeln an eine IP Adresse
• • Logout zerstört Session
• • Session Timeouts

Question 5

Cross Site Request Forgery

Erklärung

Answer 5

• Eine Web App kann nicht erkennen, ob ein korrekt aufgebauter, valider, konsistenter Request absichtlich durch den User erfolgte
• Angreifer muss Client dazu bringen, Request abzusetzen (z.B. Ajax)

Question 6

Cross Site Request Forgery

Lösungsansatz

Answer 6

• Jeder Request sollte einen unvorhersagbaren, individuellen Token beinhalten
• Seite sollte nicht für XSS anfällig sein
• Nutze keinen GET-Request für Aufrufe, die eine Status-Änderung anstossen

Question 7

Hash length Extension Attack

Allgemein

Answer 7

• Finden bei REST-APIs Verwendung
• API verwendet einen Pre-Shared API key, der als Authentication Token verwendet wird
• API Key wird an Daten angehangen und darüber der Hash gebildet
• Angreifer kann Daten anhängen und Hash bleibt valide
• Zustand des Hash-Verfahrens des Originalen Strings als Startzustand für das Hash-Verfahren des geänderten String genutzt

Question 8

Hash length Extension Attack

Lösungsansatz

Answer 8

• Verwenden eines nicht anfälligen Hash-Verfahrens (Sha-224, Sha-384 .. )

Question 9

Certificate Path Creation and Validation

Allgemein

Answer 9

• Problem ist die nicht korrekte/ vollständige Prüfung von Zertifikatsketten
• verschiedene Vertrauensmodelle

Question 10

Certificate Path Creation and Validation
Allgemein
Bsp. Android

Answer 10

Android bietet eine Funktion verify, die prüft allerdings nur den Gültigkeitszeitraum eines Zertifikats