Vorlesung

Veranstaltung an der THM: Secure Coding – SS2022 – Aufgabe 1 / 3

Leave a Comment

Arbeiten Sie sich autodidaktisch in die Struktur und Funktionsweise einer REST-API ein. Entwickeln Sie dazu eine REST-API (Representational State Transfer API) in einer beliebiger Programmiersprache, die über mindestens folgende Funktionalität verfügt:

– per POST-Request einen Kundendatensatz annimmt und in einer Datenbank mit nachfolgenden Parametern hinterlegt: customerID, firstname, lastname, email

– die E-Mail-Adresse eines Nutzers per GET-Request über den Parameter customerID wieder ausgeben kann

– es soll möglich sein, Datensätze per entsprechendem Request wieder zu löschen.

– über eine beliebige Art der Zugriffskontrolle (Passwort, Token, OAuth, o.ä.) verfügt, sodass nur autorisierte API-Nutzer in der Lage sind, Datensätze wieder zu löschen

Dabei spielt es keine Rolle, ob man die REST-API und die Anwendung selbst per C hardware-nah programmiert (wenn auch nicht sinnvoll!) oder ob man die API mit einem Python-Framework kurz und schlank umsetzt.

Die Abgabe der Aufgabe bitte ausschließlich an meine E-Mail-Adresse der THM und zudem als verschlüsselter Anhang, da es ansonsten öfters Probleme mit Viren-Scanner gibt:

tar cz secure-coding-abgabe-1/ | openssl aes-256-cbc -pbkdf2 -e > vorname.nachname.matrikelnummer.secure-coding-abgabe-1.tar.gz.enc
Posted in:

Veranstaltung an der THM: Secure Coding – SS2022 – Termine, Belegung und Ablauf

Leave a Comment

Secure Coding wird in den Kalenderwochen  31 und 32 statt finden, also die ersten beiden Wochen im August. Diese Veranstaltung war vom Konzept ohnehin schon immer eine reine Online-Veranstaltung ohne jede Präsens, d.h. es gibt auch keine typische Klausur sondern ich bewerte die praktische Arbeit.

Es gibt drei Aufgaben:

(1) Ihr müsst eine sehr kleine REST-API schreiben.

(2) Ihr müsst eure eigene API auf die OWASP Top 10 prüfen und eine sehr kurze schriftliche Ausarbeitung dazu verfassen.

(3) Ihr erhaltet Zugang zu einer verwundbaren REST-API (GIT über OpenVPN) und müsst die existierenden Schwachstellen identifizieren und beheben. Dabei könnt ihr als Programmiersprache auswählen zwischen PHP, Java, Python, Perl, Go, Ruby und Node.js. Hierzu nutze ich als technische Ressource den „Secure Coding“-Kurs auf binsec-academy.com. Alle Accounts werden von mir dort später selbst angelegt und die binsec academy GmbH stellt die technischen Ressourcen natürlich kostenlos zur Verfügung – ich bin an der Unternehmensgruppe beteiligt.

Es zeigt sich immer wieder, dass sich Teilnehmer mit geringen oder schlechten Programmier-Kenntnissen sehr schwer tun. Wer also mit Programmierung auf Kriegsfuß steht, sollte von diesem Modul besser absehen oder eine steile Lernkurve einplanen! Ich gebe keine allgemeine Programmierhilfe.

Die Aufgaben 1 und 2 werde ich noch im Juli veröffentlichen, sodass daran vorher gearbeitet werden kann. Zur finalen Notenbewertung ziehe ich primär die Anzahl der gefundenen und geschlossenen Schwachstellen im Code aus der 3. Aufgabe heran.

Ich lege stets eine gewisse Hürde auf, um zugelassen zu werden: Ihr müsst mir ein Code-Snippet von einer der oben genannten Programmiersprachen zusenden (per E-Mail an patrick.sauer@mnd.thm.de), welche eine der OWASP Top 10 Schwachstellen enthält und einen korrekten Vorschlag zur Behebung geben. Das ganze bitte zwingend aes-verschlüsselt über OpenSSL mit dem Passwort 123456:

tar cz secure-coding-abgabe-zulassung/ | openssl aes-256-cbc -pbkdf2 -e > vorname.nachname.matrikelnummer.secure-coding-abgabe-zulassung.tar.gz.enc

zum Testen der Entschlüsselung: cat vorname.nachname.matrikelnummer.secure-coding-abgabe-zulassung.tar.gz.enc | openssl aes-256-cbc -pbkdf2 -d | tar xzv

In der Regel gibt es genug Plätze, ansonsten gilt first come, first serve.

Posted in:

Ich halte keine Vorlesungen, ich halte Lehrveranstaltungen!

Leave a Comment

Ich habe Physik, Wirtschaftsinformatik und Security Management studiert. Ich saß in wenigen sehr guten und in vielen durchschnittlichen Vorlesungen – und ab und zu in einer katastrophalen Vorlesung. Der Tiefpunkt war einmal erreicht, als in einer Vorlesung zu „Netzwerken“ der Professor sein öffentliches PDF an die Wand warf und draus vor las. Ich erinnere mich noch sehr gut daran, leider nur an überhaupt gar keine Inhalte aus dieser Vorlesung.

Warum heißt Vorlesung Vorlesung? Weil vorgelesen wird, ganz klar. In Zeiten ohne Computer, Kopierer usw. macht das natürlich auch zur Vervielfältigung von Lehrinhalten Sinn. Heute möchte ich den Sinn davon einmal in Frage stellen. In der Regel werden Vorlesungen durch Übungen oder Praktika ergänzt. Das geht natürlich in die richtige Richtung, allerdings schaffen es weiterhin nur sehr wenige Dozenten über 90 Minuten die Aufmerksamkeitsspanne der Teilnehmer aufrecht zu erhalten.

Wenn ich zurück denke an welche Inhalte von Vorlesungen ich mich erinnern kann, die ich als Student damals genieße durfte, bleiben primär diejenigen übrig, in denen ich mir etwas selbst erarbeitet habe. Der reine passive Konsum von Lerninhalten hingegen war mehr oder weniger Zeitverschwendung.

Aus diesen Gründen halte ich keine Vorlesungen, sondern Lehrveranstaltungen. Haarspalterei? Ja, mag sein. Aber ich lehre Inhalte und lese sie nicht vor. Bei meinen Lehrveranstaltungen müssen sich die Teilnehmer die Inhalte selbst erarbeiten. Ich leite sie, leiste Unterstützung und stelle den Erfolg sicher – Starthilfe und kontinuierliche Betreuung inklusive. Die eigentliche Umsetzung dieses Ansatzes unterscheidet sich je nach Themengebiet, aber das Konzept bleibt das gleiche. Wichtig ist dabei natürlich die Teilnehmer zu fordern, aber nicht zu überfordern und möglichst viel Praxis einzubinden.

Dieses Grundkonzept zieht sich durch meine Vorlesung Lehrveranstaltung „PCI DSS“ an der Technischen Hochschule Brandenburg, durch mein kurzes Intermezzo bei der IHK als Dozent im „Zertifikatslehrgang zum Informationssicherheitsbeauftragter“ und auch durch meine Lehrveranstaltung „IT-Sicherheitsmanagement & Compliance“ an der Hochschule Darmstadt. In gewisser Weise findet sich das Konzept – Inhalte unter Anleitung selbst erarbeiten kombiniert mit maximaler Praxis – auch in den Online-Trainings der binsec academy GmbH wieder.

Warum ich dieses Statement zu meinen Hochschulveranstaltungen so deutlich ausdrücke: Damit die studentischen Teilnehmer genau wissen, worauf sie sich einlassen. Raus aus der studentischen Komfortzone: Schlafen* ist nicht! Wer Inhalte nur passiv konsumieren möchte, sollte besser in eine andere Veranstaltung gehen..

*Kam früher als Student auch bei mir vor.

Wahlpflichtfach PCI DSS an der Technischen Hochschule Brandenburg – Danke & Tschüss

Leave a Comment

Seit 2014 bin ich Dozent bzw. Lehrbeauftragter an der Technischen Hochschule Brandenburg (THB, ehemals Fachhochschule Brandenburg) für das Wahlpflichtfach PCI DSS im Master-Studiengang „Security Management“. Die Blockveranstaltung für dieses Semester ist vorbei und es stehen nur noch die Hausarbeiten an.

Ich habe die Zusammenarbeit mit den Studenten dort sehr genossen. Es hat Spaß gemacht sich in diesem einzigartigen Studiengang in der akademischen Lehre zu engagieren. Meine Vorlesung kam – den abschließenden Feedbackrunden nach – sehr gut bei den Studenten an. Insbesondere der Verzicht auf den typischen Frontalunterricht mit nur ~ 20 Slides zur Einführung in das Thema überhaupt war aus meiner Sicht erfolgreich und hat auch alle meine weiteren Vorträge, Lehraufträge oder Dozentenaufträge geprägt.

Nichtsdestotrotz habe ich mich entschlossen, der THB als Dozent nicht mehr zur Verfügung zu stehen. Die Gründ sind vielfältig:

  • Die Lehre im SecMan-Master dort erfolgt unentgeltlich bzw. ehrenamtlich. Das ist dem besonderen Konzept und der Finanzierung dieses Studiengangs geschuldet. Grundsätzlich störte mich das nicht, aber mit der Öffnung der Fächer für Master-Wirtschaftsinformatiker beteiligte ich mich plötzlich an der Lehre in anderen Studiengängen. Hochschulen zahlen Dozenten zumindest eine „Aufwandsentschädigung“. Ich bin insgesamt nicht mehr bereit, für die THB einen 0€-Job zu erledigen und noch für meine Reisekosten selbst aufzukommen. Ich bin mit dem Studiengang verbunden, nicht mit der Hochschule oder dem Land Brandenburg, welches die Hochschule finanziert.
  • Der Studiengang hat nicht soo viele Studenten, dafür gefühlt unendlich viele Wahlpflichtfächer. Während ein Student mindestens 3 WPF besuchen muss, werden laut SecMan-Website stolze 14 WPF angeboten. Klar, kostet den Studiengang nichts – und man kann sein Angebot breit aufstellen. Aber dafür sinken die Studizahlen pro WPF drastisch. Dazu finden sich in der Liste in meinen Augen – sorry, falls das jetzt jemand von der Studiengangsleitung liest – blödsinnige WPFs: Entweder passen sie nicht zu Security Management oder sollten eigentlich Kernbestandteil der Grundlagenvorlesung sein. Das war früher nicht so.
  • Meine persönlichen Bezugspersonen sind alle weg. Die ehemalige Studiengangsleitung (Prof. Dr. Sachar Paulus & Prof. Dr. Friedrich Holl) sowie der ehemalige langjährige Studiengangskoordinator sind geangen.
  • Ich möchte mein Engagement an der THB bzw. im SecMan auf die jährlichen Alumni-Treffen der ehemaligen Absolventen konzentrieren.

An alle meine ehemaligen Studis: Vielen Dank an euch, hat Spaß gemacht!

WPF Penetration Testing als Online-Kurs an der Hochschule Darmstadt ab WS17/18

3 Comments

In den letzten beiden Semestern wurde das Wahlpflichtfach Penetration Testing an der Hochschule Darmstadt als reguläre Präsenzveranstaltung von uns angeboten. Nachdem Dominik Sauer im WS 2017/18 die Lehrveranstaltung „Internet-Sicherheit“ und ich „IT-Sicherheitsmanagement und Compliance“ halte, wird es keine Präsenzveranstaltung für „Penetration Testing“ geben. Stattdessen werden wir im Rahmen der Zusammenarbeit mit der binsec GmbH die gesamte Veranstaltung als Online-Kurs über binsec-academy.com anbieten, inklusive ausführlichen Unterlagen und dem bisher bekannten Pentest-Labor.

Diese Veranstaltung ist insbesondere für Studenten geeignet, die gerne Inhalte autodidaktisch ohne körperliche Anwesenheit in einer Präsenzveranstaltung lernen. Bisher ist geplant, dass diese Lehrveranstaltung abwechselnd im Wintersemester als Online-Kurs und im Sommersemester als reguläre Vorlesung angeboten wird. Die Prüfungsform wird bei beiden Veranstaltunsmodi weiterhin Hausarbeit (ein Pentest-Bericht) sowie Klausur (50% Multiple Choice, 50% Freitextfragen) sein.

Der dümmste Täuschungsversuch

1 Comment

Überrascht. Schockiert. Entsetzt: Wir haben im WPF Penetration Testing an der HDA einen besonders dreisten Täuschungsversuch erlebt. Der Abschlussbericht für das Praktikum wurde 1:1 von einem Team des Vorjahres kopiert. Also gut, die Namen wurden geändert und Bilder entfernt. Wow. Design ändern? Texte ändern? Wohl zu aufwendig.

Ich weiß ja nicht, wie aktuell in der Schule und im Studium kopiert und geschummelt wird, aber offensichtlich scheint die Kreativität bei manchen Studenten doch deutlich nachgelassen zu haben. Also wir haben – ich natürlich nicht … – damals die Werke anderer als „Vorlage“ genommen: Die Texte umformuliert. Vielleicht um 1-2 andere Aspekte ergänzt oder besonders kreativ – etwas falsches hinzugefügt. Und insbesondere haben wir nicht ganze Word-Designs von anderen übernommen. Selbst Guttenberg hat seine Doktorarbeit nicht exakt 1:1 von jemand anderem kopiert.

Sorry, echt, aber eine 5.0 und durchgefallen reicht dafür gar nicht. Studenten, die sich durch besonders dumme Täuschungsversuche auszeichnen, sollten einen besonderen Darwin Award für Plagiate bekommen…

Vorlesung „IT-Sicherheitsmanagement und Compliance“ als Master-WPF an der Hochschule Darmstadt

Leave a Comment

Ab dem Wintersemester 2017/18 wird an der Hochschule Darmstadt das Master-Wahlpflichtfach „IT-Sicherheitsmanagement und Compliance“ angeboten und ich freue mich sehr darauf, diese Vorlesung übernehmen zu dürfen.

Ehemals wurde das Fach angeboten als „Compliance und IT-Sicherheit“, aber nicht mehr gehalten:

https://obs.fbi.h-da.de/mhb/modul.php?nr=41.4828

Ich persönlich fand die Zusammenführung von Compliance-Themen und (technische) IT-Sicherheit als unglücklich: MaRisk und Ethical Hacking in einer Vorlesung passen thematisch nicht zusammen. Als Ergebnis hat sich der Schwerpunkt des Moduls in die Mitte verlagert: „IT-Sicherheitsmanagement und Compliance“..

https://obs.fbi.h-da.de/mhb/modul.php?nr=41.5020&sem=20172

..mit folgenden Lerninhalten:

  • Management Systeme & Standards (ISO 2700x, BSI Grundschutz, etc.)
  • Risikoanalysen (quantitativ, qualitativ)
  • Aufbau und Struktur IT-Sicherheitsorganisation
  • Rechtliche und regulatorische Themen (BDSG, MaRisk, PCI DSS, etc.)
  • Sicherheitsrichtlinien und -standards im Unternehmen
  • Wirtschaftliche Überlegungen zur Maßnahmenauswahl
  • konkrete IT-Sicherheitsprozesse (wie z.B. Berechtigungsmanagement, Notfallvorsorge, Security Incident Management, etc.)
  • Personenzertifizierungen (CISSP, CISM, CISA, etc.)
  • Vermittlung praktischer Erfahrungen.

Das Fach wird als Blockveranstaltung angeboten werden. An der konzeptionellen Umsetzung arbeite ich noch. Sicher ist nur: Es gibt keinen Frontalunterricht, die offizielle Arbeitsform ist „Seminaristische Vorlesung (Gruppenarbeit und Praktikum integriert)“.

Ergebnis Lehrveranstaltungsevaluation Penetration Testing (SS17) HDA

Leave a Comment

Wie im Wintersemester 2016/17 hatten wir (primär Dominik Sauer) auch im Sommersemester 2017 an der HDA (Hochschule Darmstadt) die Vorlesung Penetration Testing gehalten. Die Evaluation fand relativ früh statt. Die Note zum Gesamteindruck war letztes Semester 1,2 – Link zum Blogeintrag Evaluation WS16/17. Das Ergebnis war zwar damals schon sehr sehr gut, aber man findet immer Verbesserungspotential. Ein wenig Feinschliff an der Konzeptumsetzung hat nun folgendes Gesamtergebnis gebracht:

Note zum Gesamteindruck der Vorlesung: 1,06
Note zum Gesamteindruck des Praktikums: 1,0

Ich freue mich sehr über das Ergebnis. Die Bewertung hätte kaum besser sein können. Die etwas komplexeren Auswertungen im Detail:

Download PDF 1/4: SS17_Online-Penetration_Testing_(FbI_SS17_30.2572_V_SauerD)
Download PDF 2/4: SS17_Online-Penetration_Testing_(FbI_SS17_30.2572_V_SauerP)
Download PDF 3/4: SS17_Online-Penetration_Testing_(FbI_SS17_30.2572_P_SauerD)
Download PDF 4/4: SS17_Online-Penetration_Testing_(FbI_SS17_30.2572_P_SauerP)

Das WPF „Penetration Testing“ wird im Wintersemester 2017/18 nicht angeboten werden, zumindest nicht als reguläre Präsenzveranstaltung. Sowohl Dominik Sauer als auch ich werden uns im kommenden Semester in der Lehre auf andere Themen konzentrieren.

Ergebnis Lehrveranstaltungsevaluation Penetration Testing (WS16/17) HDA

Leave a Comment

Im Wintersemester 2016/17 hatten wir die Lehrveranstaltung Penetration Testing als WPF an der HDA (Hochschule Darmstadt) gehalten. „Wir“ sind primär Dominik Sauer mit eher beratender Unterstützung von mir. Jetzt wurden uns die Ergebnisse der Lehrveranstaltungsevaluation für unsere Vorlesung übermittelt. Ich persönlich denke, das Ergebnis kann sich sehen lassen. Die Bewertung der Studenten auf den Punkt gebracht:

Note zum Gesamteindruck: 1,2

Ein Auszug aus den ergänzenden schriftlichen Bemerkungen der Studenten:

Die Veranstaltung bitte wieder anbieten. P.S. ein -Tag vom EvaSys mit class=“charlimit maxchars_200″ ist nicht geeignet um die Zeichen auf 200 zu begrenzen :D asdfasdfasndfasdfasdf asdfasdfaisdfasdf und weitere Zeichen asdfasdfabsdfasdfasdf asdfaesdfasdfasdsfasdfs ;)

Ich würde ja schlussfolgern, jemand hat den Inhalt der Veranstaltung verinnerlicht.

Im gesamten Studium bislang die beste Veranstaltung

Hört man als Dozent sehr gerne.

Super Veranstaltung und sehr praktisch orientiert, was durchaus sinnvoll ist.

Wir waren noch nie Fans vom klassischer Frontalunterricht… jetzt noch mein persönliches Lieblingskommentar:

Den Kurs muss man einfach erlebt haben! Wenn man einen Titel finden müsste, wäre „Phantastische Professoren und wo sie zu finden sind“ sicherlich treffend UntermStrichdiebesteVeranstaltungdesBachelors

Nein, wir haben für diese Bewertung nicht bezahlt..

Manche Studenten haben sich eine längere eigentliche Vorlesung gewünscht, andere fanden die Vorlesungsdauer perfekt. Unsere Aufgabenstellungen wären ohne Hilfe zu schwer (stimmt, deswegen gab es Hilfe). Tatsächlich fand jemand noch, ich persönlich wäre kaum anwesend gewesen – stimmt auch. Das war nicht meine Aufgabe ;-).

Wer die eigentlichen Bewertungen im sehr umfangreichen Detail lesen möchte, ist herzlich willkommen:

PDF Download 1/2: Aauswertungsbericht-Lehrveranstaltungsevaluation-WS16_17-Penetration_Testing_fbi_ws16_17_30-2572_p_sauerd.pdf

PDF Download 2/2: Auswertungsbericht-Lehrveranstaltungsevaluation-WS16_17-Penetration_Testing_fbi_ws16_17_30-2572_p_sauerp.pdf

 

Vorlesung Penetration Testing an der Hochschule Darmstadt

Leave a Comment

Ab dem Wintersemester 2016/2017 gibt es an der Hochschule Darmstadt die Vorlesung „Penetration Testing“. Lehrbeauftragter ist der Pentester der binsec GmbH – Dominik Sauer. Die Lerninhalte sind:

  1. Unterschiede zwischen Hacking und Penetration Testing
  2. Klassifizierung eines Penetrationstests (White-, Gray- und Blackboxtest)
  3. Penetration Testing Standards, z.B. OWASP (Open Web Application Security Project), OSSTMM (Open Source Security Testing Methodology Manual)
  4. Anatomie eines Angriffes – von der Informationsbeschaffung bis zur Ausnutzung einer Schwachstelle
  5. Risikobewertung von identifizierten Schwachstellen
  6. Aufbau Dokumentation und Berichterstellung

Link zur hda: Modulbeschreibung