In order to hijack a web page and make it distribute malicious content, an attacker usually has to find a vulnerability in the respective web server or the employed scripts. As twitter user @Random_Robbie and Kevin Beaumont [1,4] noticed, sparking an online discussion, this cumbersome process is not always necessary!

It has become common practice for web pages to load content from remote locations in order to incorporate external content, both information as well as scripts such as Javascript or PHP. Most people are not aware that when they visit a web page, it is actually composed from dozens of sources that are outside of the visited domain. If one of those links to an external resource is broken, as might easily happen during copy-pasting of code segments or the misconfiguration of yet another wordpress plug-in, the intended external content will not be loaded.

This is not necessarily a security issue. But in this specific case the link was not simply broken but referenced a file in an Amazon S3-Bucket that had not been registered…. yet. All an attacker needs to do is simply register that bucket and deploy a script file that caters to his or her needs. This is an imminent threat and is not just limited to those who use Amazon S3. Likewise, the link might have referenced a yet unregistered domain, posing the exact same risk. Still, relying on S3 makes this a little more delicate. Even if the bucket already existed, chances are you might still be able to exchange content as buckets are commonly misconfigured and writable to the public as has been revealed within the last two weeks [2,3].

Although any kind of web space can be misconfigured, this case of publicly writable buckets is S3-specific. On the other hand, loading content from non-existing sources is obviously a risk in any scenario and not limited to Amazon. What is not obvious, though, is how and why such a scenario arises.

Possible explanations are manifold, ranging from human error to malicious intent. Either way, loading content from locations that one is not in control of is, in my humble opinion, a bad habit that unfortunately evolved to be common practice.

Fast täglich werden digitale Identitätsdaten gestohlen, sei es durch Schadprogramme beim Nutzer, sei es durch erfolgreiche Angriffe auf Diensteanbieter. Oft werden Millionen von Datensätzen entwendet, allzu häufig nicht oder nur schwach verschlüsselt. Der Schwarzhandel mit Identitätsdaten blüht. Der BSI-Lagebericht 2016 weist darauf hin, dass zunehmend Identitätsdaten auf den Schwarzmarkt kommen, die offenbar aus lange zurückliegenden Diebstählen stammen. Nach wie vor erfolgt die überwältigende Menge aller Authentisierungsvorgänge im Internet mit einer Kombination aus Benutzername und Passwort. IT-Sicherheitsexperten sind sich einig, dass die Umstellung auf Zwei-Faktor-Authentisierung das Mittel der Wahl ist, um unberechtigte Zugriffe auf digitale Dienste zu verhindern. Zwei-Faktor-Authentisierung bedeutet, dass für eine erfolgreiche Authentisierung zwei unterschiedliche Faktoren nötig sind, zum Beispiel ein Geheimnis (wie das Passwort) und ein Smartphone oder auch ein Fingerabdruck und eine Chipkarte. Vom Geldautomaten ist die Zwei-Faktor-Authentisierung mittels Karte und PIN bekannt. Continue reading →

Today’s internet security architecture heavily relies on so called public-key cryptography. Without this public-key cryptography, web-traffic encryption does not work and applications such as secure online banking are not be possible.  Public-key crypto is well understood and currently no efficient attacks against these cryptographic systems are known. However, already in the 90s Peter Schor was able to show that if a quantum computer can be build all state-of-the-art public-key cryptosystem would become insecure[https://en.wikipedia.org/wiki/Shor‘s_algorithm]. Continue reading →

Der deutsche Kofferhersteller RIMOWA bietet sein Anfang 2016 Koffer mit integriertem “Electronic Tag” an. Bei diesen Modellen kann bei Flugreisen auf das Aufkleben des Gepäckaufklebers verzichtet werden. Der “Baggage Tag” genannte Aufkleber entfällt, sein Inhalt wird in dem Display des Electronic Tag angezeigt. Für die Flugreisenden soll dadurch das Einchecken weiter erleichtert, für die Airlines weniger personalintensiv ausgestaltet werden. Der Ablauf ist wie folgt: Beim elektronischen Einchecken in der App der Airline (derzeit nur bei Lufthansa) kann ausgewählt werden, wieviel Gepäck mitgeführt werden soll und dass die Kofferanhänger  elektronisch erbeten werden. Das Gepäck wird im Check-In-System registriert, die elektronischen Tags auf das Smartphone übertragen (derzeit nur für iPhone verfügbar). Dort muss sich eine spezielle RIMOWA-App befinden, die über Bluetooth den Gepäckaufkleber digital an den Koffer überträgt und dort unveränderlich speichert und anzeigt. Selbst Batterieversagen soll der e-Ink-Anzeige nichts anhaben können. Eine Veränderung des Tags durch Dritte, so der Hersteller, sei nicht möglich. Den Koffer mit dem elektronischen Tag kann man dann (im Idealfall) am Flughafen ohne Schlange-Stehen auf ein Band legen. Die Ausweitung auf weitere Smartphone-Betriebssysteme und der Einsatz bei weiteren Airlines seien geplant, so RIMOWA. Mit den neuen Koffern erreicht das Internet-of-Things die Gepäckabteile der Flugzeuge. Wohin ein Koffer transportiert wird, entscheidet sich nicht mehr anhand des papiernen Kofferanhängers, sondern durch die gespeicherten digitalen Daten. Die Anzeige des altmodischen Barcodes ist dabei sicherlich nur eine Übergangstechnologie, bis in späteren Schritten elektronisch sendende Tags in den Koffern das optische Lesen ganz ablösen. Continue reading →