Deny nothing. Doubt everything.

Transcriptie

1 Deny nothing. Doubt everything.

2 Hack to the Future Marinus Kuivenhoven Sr. Security Specialist Houten, 23 juni

3 Het valt op Wij leren niet van het verleden Zekerheid 3

4 ipad van de Jaren 80 Commodore 64 Bron: 4

5 Ook in de IT.. Wij leren niet van het verleden Zekerheid 5

6 OWASP Top Injection 2. Cross Site Scripting (XSS) 3. Broken Authentication and Session Management 4. Insecure Direct Object References 5. Cross Site Request Forgery 6. Security Misconfiguration 7. Insecure Cryptographic Storage 8. Failure to Restrict URL access 9. Insufficient Transport Layer Protection 10. Unvalidated Redirects and Forwards 6

7 OWASP Top 10 Injection voorbeeld Scherm: USERNAME:[PERSOONA] PASSWORD:[GEHEIM12] Achtergrond: Mag er toegang worden gegeven aan de gebruiker wanneer: de username is 'PERSOONA' en het wachtwoord is 'GEHEIM12'; 7

8 OWASP Top 10 Injection voorbeeld Scherm: USERNAME:[PERSOONA] PASSWORD:[Onbekend of 1=1] Achtergrond: Mag er toegang worden gegeven aan de gebruiker wanneer: de username is 'PERSOONA' en het wachtwoord is Onbekend' of 1=1; 8

9 De focus ligt op incidenten.. Awareness op security Bron: 9

10 .. specifiek een blacklist van incidenten OWASP top 10 Injection Cross-Site Scripting (XSS) Broken Authentication and Session Management Insecure Direct Object References Cross-Site Request Forgery (CSRF) SANS CWE/25 Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') Unrestricted Upload of File with Dangerous Type Cross-Site Request Forgery (CSRF) URL Redirection to Untrusted Site ('Open Redirect') WASC 24+2 Cross-Site Scripting Cross-Site Request Forgery SSI Injection SQL Injection XPath Injection XQuery Injection 10

11 En ook in IT-security.. Wij leren niet van het verleden Zekerheid 11

12 Wat is security? Gevoel Zekerheid Realiteit 12

13 Oorzaken van afwijking Kunde Middelen Risico s Haalbaar Behoefte Bedenken Beschrijven Bouwen Beoordelen Benutten Bewerken Onduidelijk Aannamen Ambiguteit Tijd 13

14 Mindset, out of the box Online racespelletje Bron: 14

15 Flaws en Bugs Bugs are simple mistakes in code leading to problems like buffer overflows; flaws are mistakes in design. It turns out that a lot of software is flawed. In fact, if you step back and look at a multitude of security problems over time, you'll find that about 50% of them are due to bugs and 50% due to flaws. Functionele wens Technische implementatie Zekerheid flaw bug 15

16 Software Development lifecycle Penetratietest Requiremnts Usecases Architectuur Ontwerpen Testplannen Code Test resultaten Applicatie Terug koppeling Doorlooptijd 16

17 Fear, uncertainty and doubt Bron: Bron: davidlifferth.ning.com 17

18 Think Different Long exposure Los Angeles International Airport (LAX) Mike Kelly 18

19 Ooit een oldtimer DeLorean en Tesla Bron: 19

20 De mens is eigenwijs Oliefantenpaadjes Bron: 20

21 De mens is lui Donorregistraties per land Bron: 21

22 Lessons learned - Maak gebruik van abstractie en principes. - Los problemen op daar waar ze ontstaan. - Security is dan het bij-effect van kwalitieit. Zekerheid 22

23 If you think technology can solve your security problems, then you don't understand the problems and you don't understand the technology. Bruce Schneier, secrets and lies, 2007