Information Security Blog

26 09, 2018

Hacking vs. Penetration Testing – die Geburtsstunde des BACPP

von |26. September 2018|binsec|0 Kommentare|

Als Dozent für „Penetration Testing“ kenne ich den ausschlaggebenden Beweggrund meiner Studentinnen und Studenten für ihre Teilnahme am Wahlpflichtfach nur zu gut. Die Rede ist von „Hacking“. Bereits in jungen Jahren für viele ein spannendes Thema – brennt sich das Hacken von IT-Systemen doch durch seine Darstellung in Film und Fernsehen schon früh als aufregend in die Köpfe der Zuschauer ein. Es ist somit kein Wunder, dass ein beruflicher Weg hin zum Penetrationstester mehr als verlockend klingt. Was viele dabei nicht wissen: Hacking stellt „nur“ den technischen Part eines Pentests dar, weshalb sich auch die Suche nach einer geeigneten Personenzertifizierung als schwierig gestaltet(e).


Im Allgemeinen versuchen Hacker Sicherungsmechanismen zu umgehen oder zu brechen, um einen unbefugten Datenzugriff zu erhalten. Das Aufgabengebiet Penetration-Testing entstand deshalb mehr oder weniger als eine Art Gegenmaßnahme seitens der IT-Sicherheit im Wettrüsten mit den Angreifern: Potenzielle Auftraggeber bitten bzw. beauftragen Pentester mit der Identifizierung der Schwachstellen ihrer IT-Systeme, um diese am Ende härten bzw. schließen zu können.

Hierbei wendet ein Pentester konsequenterweise dieselben technischen Verfahren an wie ein böswilliger Angreifer. Aber nicht nur das. Zusätzlich wird eine strukturierte Vorgehensweise benötigt, um reproduzierbare Ergebnisse zu erzielen. Ohne eine solche Vorgehensweise können (offensichtliche) Schwachstellen unentdeckt bleiben. Im Gegensatz zu einem Hacker genügt dem Pentester nicht ein einziger Einstiegspunkt in das IT-System, sondern er will alle aufdecken. Ebenso müssen die identifizierten Schwachstellen dem Auftraggeber mitgeteilt werden. Dies geschieht üblicherweise in einem abschließenden Bericht oder in einer Präsentation, wobei die Schwachstellen nicht nur aufzulisten, sondern auch nach ihrem Risiko zu priorisieren sind. Folglich stellt Hacking „nur“ den technischen Part in einem Pentest dar.

Bis dato existiert weder eine staatlich anerkannte Ausbildung noch ein solcher Studiengang zum Penetration-Testing, weshalb es im Informationssicherheitssektor üblich ist, solche speziellen Fähigkeiten und Fertigkeiten über Zertifizierungsprogramme zu erlangen und/oder nachzuweisen. Im Hinblick auf Penetration Testing sind insbesondere die Zertifikate CEH von EC-Council und OSCP von Offensive Security weit verbreitet – unterscheiden sich in der Prüfung der Teilnehmenden jedoch wie Schwarz und Weiß. Während die Zertifizierung als CEH mittels einer theoretischen Prüfung – konkret Multiple-Choice-Aufgaben – erlangt werden kann, muss der zukünftige OSCPler eine 24-stündige praktische Prüfung, in welcher 5 IT-Systeme vollständig kompromittiert werden sollen, absolvieren. Unabhängig davon sehe ich bei beiden Zertifizierungen den Fokus auf dem technischen Verständnis, welches zwar das Fundament eines Penetrationstests darstellt, aber noch zu keinem befähigt; für mich ein Kritikpunkt, ohne den Schwierigkeitsgrad beider Prüfungen infrage stellen zu wollen.

Zumindest mir fiel der Übergang von der OSCP-Prüfungsumgebung in die Realität schwer. Am spürbarsten war dies in Bezug auf die Anfälligkeit von IT-Systemen für Sicherheitslücken. Im Vergleich zum Übungslabor von Offensive Security sind in der Praxis oftmals (härtere) Sicherheitsmaßnahmen anzutreffen, wodurch die vollständige Kompromittierung eines IT-Systems nicht immer gewährleistet werden kann. Zudem wünscht sich der Auftraggeber eines Pentests im Regelfall die Identifikation sämtlicher Schwachstellen in seinen IT-Systemen, weshalb die Prüfung nicht mit dem Aufdecken des erstbesten Einfallstors endet. Auch die Berichterstellung steht in einem ganz anderen Licht, da dies das einzige Dokument ist, welches der Auftraggeber in seinen Händen halten wird. Kurzum: Das Spielparadies des OSCP nahm ein Ende und die Realität brach ein. Leider kam dies unerwartet, da keine der zahlreichen zurate gezogenen Rezensionen im Internet die Unterschiede zum realen Tätigkeitsfeld eines Penetrationstesters erwähnt hatte.

Nachdem ich mit meinem B.Sc. in Informatik an der Hochschule Darmstadt (h_da) und mit meiner als Pentester der binsec GmbH gesammelten Berufserfahrung die formelle Eignung erworben hatte, eine Lehrveranstaltung zu halten, wollte ich mein Wissen rund um Penetration Testing weitergeben. Personen mit einem Hang zur IT-Sicherheit sollten künftig einen „leichteren“ Einstieg in die Materie erhalten als ich zu meiner Zeit. Unter Zustimmung der Fachgruppe „IT-Sicherheit“ an der h_da konzipierte ich das Wahlpflichtmodul „Penetration Testing“, in welchem die Studierenden das „Pentest-Einmaleins“ – von der Klassifikation eines Pentests, über das eigentliche Hacking, bis hin zur Berichterstellung – am Beispiel eines fiktiven Firmennetzwerks erlernen und anwenden können. Dies geschah anfänglich noch mithilfe von Amazon AWS; doch aufgrund der großen Nachfrage und positiven Resonanz meiner Studierenden entschlossen wir als binsec uns dazu, ein globales Online-Zertifizierungsprogramm zu entwerfen: die Qualifizierung zum BACPP (Binsec Academy Certified Pentest Professional), die sich aus einer Online-Prüfung, dem „Pentest Exam“, und einer optionalen Online-Schulung, dem „Pentest Training“, zusammensetzt.

Während sich die Online-Schulung historisch aus meiner Hochschullehrveranstaltung heraus entwickelt hat, können IT-Spezialisten im „Pentest Exam“ ihre Expertise unter neu konzipierten, realen Bedingungen unter Beweis stellen. So können zertifizierte BACPPler

  • IT-Systeme kompromittieren und Zero-Day-Exploits entwickeln,
  • Netzwerke und Anwendungen nach einer reproduzierbaren Vorgehensweise auf Schwachstellen hin untersuchen,
  • all ihre Findings in einem strukturierten Bericht für den Auftraggeber niederlegen und sie nach ihrem Risiko priorisieren,
  • einen mehrtägigen Penetrationstest professionell durchführen.

Rückblickend scheint sich meine (zeitintensive) interdisziplinäre Arbeit gelohnt zu haben: Das situierte Lernen in der Informationssicherheit einzusetzen hat nicht nur die Begeisterung vieler Studierender geweckt, sondern auch die ersten BACPP-Zertifizierten angesprochen. Die Theorie des situierten Lernens setzt in der Wissensvermittlung auf realistische Anwendungssituationen, welche das primäre Kennzeichen meiner Lehrveranstaltungen und meiner Trainings sind. Analog wurde der BACPP konzipiert und setzt auf den Nachweis praktischer und realer Erfahrung.

18 07, 2018

binsec academy GmbH: Pentest Training

von |18. Juli 2018|binsec|3 Kommentare|

Mein Team und ich haben lange daran gearbeitet, aber seit März 2018 ist das „Pentest Training“ sowie das „Pentest Exam“ der binsec academy GmbH öffentlich verfügbar.

https://binsec-academy.com/de/courses/p/ (Privatkunden)

https://binsec-academy.com/de/courses/c/ (Firmenkunden)

Historisch ist das „Pentest Training“ dabei durch die von Dominik Sauer an der Hochschule Darmstadt gehaltene Vorlesung zu „Penetration Testing“ entstanden. Das Training fokussiert sich auf Penetration Testing und nicht nur auf reines Hacking, wie z.B. der bekannte OSCP-Kurs von „Offensive Security“. Wir haben auch ein System implementiert, bei dem man sich Tipps zu Maschinen oder Problemen besorgen kann. Garniert wird das ganze Konzept durch eine realistischere Laborumgebung: Das fiktive Firmennetzwerk der „Dubius Payment Ltd.“ inklusive Story. Wer möchte und es sich fachlich zutraut, kann im zusätzlichen „Pentest Exam“ die Zertifizierung zum BACPP (Binsec Academy Certified Pentest Professional) in Angriff nehmen.

Privatkunden, die sich über den folgenden Link registrieren, erhalten automatisch einen 25%-Rabattgutschein im System hinterlegt:
https://binsec-academy.com/promo/security_sauer_ninja_c2VjdXJ/

(Gültig nur für Privatkunden. Aktion und Gutschein gültig bis 31.12.2018. Solange Vorrat reicht.)

25 02, 2018

Ich halte keine Vorlesungen, ich halte Lehrveranstaltungen!

von |25. Februar 2018|Vorlesung|0 Kommentare|

Ich habe Physik, Wirtschaftsinformatik und Security Management studiert. Ich saß in wenigen sehr guten und in vielen durchschnittlichen Vorlesungen – und ab und zu in einer katastrophalen Vorlesung. Der Tiefpunkt war einmal erreicht, als in einer Vorlesung zu „Netzwerken“ der Professor sein öffentliches PDF an die Wand warf und draus vor las. Ich erinnere mich noch sehr gut daran, leider nur an überhaupt gar keine Inhalte aus dieser Vorlesung.

Warum heißt Vorlesung Vorlesung? Weil vorgelesen wird, ganz klar. In Zeiten ohne Computer, Kopierer usw. macht das natürlich auch zur Vervielfältigung von Lehrinhalten Sinn. Heute möchte ich den Sinn davon einmal in Frage stellen. In der Regel werden Vorlesungen durch Übungen oder Praktika ergänzt. Das geht natürlich in die richtige Richtung, allerdings schaffen es weiterhin nur sehr wenige Dozenten über 90 Minuten die Aufmerksamkeitsspanne der Teilnehmer aufrecht zu erhalten.

Wenn ich zurück denke an welche Inhalte von Vorlesungen ich mich erinnern kann, die ich als Student damals genieße durfte, bleiben primär diejenigen übrig, in denen ich mir etwas selbst erarbeitet habe. Der reine passive Konsum von Lerninhalten hingegen war mehr oder weniger Zeitverschwendung.

Aus diesen Gründen halte ich keine Vorlesungen, sondern Lehrveranstaltungen. Haarspalterei? Ja, mag sein. Aber ich lehre Inhalte und lese sie nicht vor. Bei meinen Lehrveranstaltungen müssen sich die Teilnehmer die Inhalte selbst erarbeiten. Ich leite sie, leiste Unterstützung und stelle den Erfolg sicher – Starthilfe und kontinuierliche Betreuung inklusive. Die eigentliche Umsetzung dieses Ansatzes unterscheidet sich je nach Themengebiet, aber das Konzept bleibt das gleiche. Wichtig ist dabei natürlich die Teilnehmer zu fordern, aber nicht zu überfordern und möglichst viel Praxis einzubinden.

Dieses Grundkonzept zieht sich durch meine Vorlesung Lehrveranstaltung „PCI DSS“ an der Technischen Hochschule Brandenburg, durch mein kurzes Intermezzo bei der IHK als Dozent im „Zertifikatslehrgang zum Informationssicherheitsbeauftragter“ und auch durch meine Lehrveranstaltung „IT-Sicherheitsmanagement & Compliance“ an der Hochschule Darmstadt. In gewisser Weise findet sich das Konzept – Inhalte unter Anleitung selbst erarbeiten kombiniert mit maximaler Praxis – auch in den Online-Trainings der binsec academy GmbH wieder.

Warum ich dieses Statement zu meinen Hochschulveranstaltungen so deutlich ausdrücke: Damit die studentischen Teilnehmer genau wissen, worauf sie sich einlassen. Raus aus der studentischen Komfortzone: Schlafen* ist nicht! Wer Inhalte nur passiv konsumieren möchte, sollte besser in eine andere Veranstaltung gehen..

*Kam früher als Student auch bei mir vor.

27 01, 2018

Werbeshit & Co

von |27. Januar 2018|Netzpolitik|1 Kommentar|

Früher war alles besser. Subjektiv besteht das Internet nur noch aus:

  • Aggressive Werbung: Ton. Videos im Hintergrund. Pop-Up-Werbung auf dem Handy, dessen „X-Button“ kaum zu treffen ist ohne auf die Werbung zu klicken.
  • Adblocker-Schranken, die eine Selbstverteidigung gegen das obige unterbinden.
  • Absolut sinnlose Datenschutz-Cookie-Erklärungen, die jeder im Schlaf wegklickt – primär ein Feature zur Einnahmensteigerung für Anwälte.
  • Fakebewertungsportale sowie gekaufte Fake-Rezensionen in seriösen Portalen und Shops.
  • Sozialen Netzwerk-Müll: Timelines bestehen nur noch aus „Schaut wie geil ich bin“-Posts, Werbung und Propaganda. Schaut euch einmal die Fähigkeiten für Firmen an bei Facebook-Werbung zu schalten, primär die gigantischen Auswahlmöglichkeiten der Zielgruppe. Für den Vertrieb genial, ansonsten eher abartig.
  • Amazon-Abzocke: Produkte per Default-Einstellung direkt im Abo zu beziehen.
  • Fake-Beiträge in Foren als zweiter Beitrag: Du suchst nach XYZ? Andere wurden hier (Link zum Shop) fündig.
  • Bashing gegen AfD. Bashing gegen Linke. Bashing hin, bashing her..

So langsam macht surfen keinen Spaß mehr. Ich verstehe ja die Notwendigkeit, Werbung zu schalten und Einnahmen zu generieren, aber die Inhalte im Netz waren – gefühlt – noch nie so hirnlos wie heute. Erst kam das Hartz 4-TV, jetzt schwappt der Scheiss ins Netz.

Irgendwann schaue ich nur noch Netflix, lese tagesschau.de und Print-Zeitung. Echt schade…

 

 

24 10, 2017

Hacker vs. Pentester: Hinterlassen Sie die gleichen Spuren? – Vortrag beim CAST-Workshop Forensik und Internetkriminalität 14.12.2017

von |24. Oktober 2017|Vorträge|0 Kommentare|

Ich wurde vor ein paar Wochen seitens der HDA bzw. dem CAST e.V angefragt, ob ich am 14.12.2017 beim CAST-Workshop „Forensik und Internetkriminalität“ einen Vortrag zu Pentesting halten möchte. Aber gerne doch! Jetzt steht der Titel fest:

Hacker vs. Pentester: Hinterlassen Sie die gleichen Spuren?

Böswillige Hacker greifen IT-Systeme an, professionelle Penetrationstester ebenso. Natürlich unterscheidet sich die Motivation hinter den Angriffen, aber hinterlassen Hacker und Pentester eigentlich die gleichen IT-forensischen Spuren? Wir gehen der Frage auf den Grund.

https://www.cast-forum.de/workshops/infos/245

20 10, 2017

Wahlpflichtfach PCI DSS an der Technischen Hochschule Brandenburg – Danke & Tschüss

von |20. Oktober 2017|THB, Vorlesung|0 Kommentare|

Seit 2014 bin ich Dozent bzw. Lehrbeauftragter an der Technischen Hochschule Brandenburg (THB, ehemals Fachhochschule Brandenburg) für das Wahlpflichtfach PCI DSS im Master-Studiengang „Security Management“. Die Blockveranstaltung für dieses Semester ist vorbei und es stehen nur noch die Hausarbeiten an.

Ich habe die Zusammenarbeit mit den Studenten dort sehr genossen. Es hat Spaß gemacht sich in diesem einzigartigen Studiengang in der akademischen Lehre zu engagieren. Meine Vorlesung kam – den abschließenden Feedbackrunden nach – sehr gut bei den Studenten an. Insbesondere der Verzicht auf den typischen Frontalunterricht mit nur ~ 20 Slides zur Einführung in das Thema überhaupt war aus meiner Sicht erfolgreich und hat auch alle meine weiteren Vorträge, Lehraufträge oder Dozentenaufträge geprägt.

Nichtsdestotrotz habe ich mich entschlossen, der THB als Dozent nicht mehr zur Verfügung zu stehen. Die Gründ sind vielfältig:

  • Die Lehre im SecMan-Master dort erfolgt unentgeltlich bzw. ehrenamtlich. Das ist dem besonderen Konzept und der Finanzierung dieses Studiengangs geschuldet. Grundsätzlich störte mich das nicht, aber mit der Öffnung der Fächer für Master-Wirtschaftsinformatiker beteiligte ich mich plötzlich an der Lehre in anderen Studiengängen. Hochschulen zahlen Dozenten zumindest eine „Aufwandsentschädigung“. Ich bin insgesamt nicht mehr bereit, für die THB einen 0€-Job zu erledigen und noch für meine Reisekosten selbst aufzukommen. Ich bin mit dem Studiengang verbunden, nicht mit der Hochschule oder dem Land Brandenburg, welches die Hochschule finanziert.
  • Der Studiengang hat nicht soo viele Studenten, dafür gefühlt unendlich viele Wahlpflichtfächer. Während ein Student mindestens 3 WPF besuchen muss, werden laut SecMan-Website stolze 14 WPF angeboten. Klar, kostet den Studiengang nichts – und man kann sein Angebot breit aufstellen. Aber dafür sinken die Studizahlen pro WPF drastisch. Dazu finden sich in der Liste in meinen Augen – sorry, falls das jetzt jemand von der Studiengangsleitung liest – blödsinnige WPFs: Entweder passen sie nicht zu Security Management oder sollten eigentlich Kernbestandteil der Grundlagenvorlesung sein. Das war früher nicht so.
  • Meine persönlichen Bezugspersonen sind alle weg. Die ehemalige Studiengangsleitung (Prof. Dr. Sachar Paulus & Prof. Dr. Friedrich Holl) sowie der ehemalige langjährige Studiengangskoordinator sind geangen.
  • Ich möchte mein Engagement an der THB bzw. im SecMan auf die jährlichen Alumni-Treffen der ehemaligen Absolventen konzentrieren.

An alle meine ehemaligen Studis: Vielen Dank an euch, hat Spaß gemacht!

8 09, 2017

50%-Gutschein der binsec-academy.com für das „Pentest Training“

von |8. September 2017|binsec|0 Kommentare|

Es ist bald soweit. Die binsec academy startet in den nächsten 2-3 Monaten mit dem ersten Online-Schulungskurs: Dem „Pentest Training“ – hacke die Dubius Payment Ltd.:

https://binsec-academy.com/courses/p/

Wer sich jetzt an dem Portal als Interessent registriert und sich bei mir oder direkt bei der binsec GmbH meldet (E-Mail: info@binsec.com) bekommt einen 50%-Gutschein. Unverbindliche Registrierung unter:

https://binsec-academy.com/portal/register/user/

(Aktion gültig bis Ende September 2017. Auf 100 Gutscheine beschränkt.)

Ergänzung vom 5. April 2018:
Mittlerweile gibt es von der binsec academy GmbH ein „Pentest Training“ als Online-Kurs zum Selbststudium:
https://binsec-academy.com/de/courses/p/
Privatkunden, die sich über den folgenden Link registrieren, erhalten automatisch einen 25%-Rabattgutschein im System hinterlegt:
https://binsec-academy.com/promo/security_sauer_ninja_c2VjdXJ/
(Gültig nur für Privatkunden. Aktion und Gutschein gültig bis 31.12.2018. Solange Vorrat reicht.)

5 09, 2017

Entschlüsselung von Passwort-Hashes ist unmöglich, auch im Fall von sha1 und md5.

von |5. September 2017|IT-Sicherheit|1 Kommentar|

Die Entschlüsselung von Passwort-Hashes ist unmöglich. Nicht nur sha1 kann man nicht entschlüsseln, sogar die noch ältere Hashfunktion md5 ist absolut unmöglich zu entschlüsseln. Man kann gehashte Passwörter erraten und man kann abhängig von Grad der Robustheit einer Hashfunktion Kollisionen erzeugen.

Ich verstehe ja, dass man im normalen Sprachgebrauch und in der Boulevardpresse diesen Sachverhalt nicht korrekt beschreiben kann. Aber selbst bei heise.de – der Online- und Offline-Fachpresse im professionellem IT-Bereich – ist man leider nicht in der Lage das korrekt darzustellen:

„Wenn Webseitenbetreiber Passwörter von Kunden nicht sicher verwahren, ist der Super-GAU vorprogrammiert. Daran erinnern abermals Sicherheitsforscher, die in überschaubarer Zeit Millionen Passwörter entschlüsselt haben.“

Quelle: https://www.heise.de/security/meldung/Finger-weg-von-SHA-1-320-Millionen-Passwoerter-geknackt-3822005.html

Kein Wunder, dass ich bei „IT Professionals“ immer mal wieder Diskussionen mitbekomme wie:

„Wir haben das base64 verschlüsselt.“

„Die Passwörter liegen sha512 verschlüsselt in der Datenbank.“

„Welchen Algorithmus verwenden Sie zur Verschlüsselung?“ – „SSL“

Korinthenkackerei? Vielleicht. Aber man muss im professionellen Umfeld schon verstehen, was der Unterschied von einer Hash- bzw. Einwegfunktion und einem Verschlüsselungsalgorithmus ist und welche Verfahren man wann warum anwendet. Passwörter verschlüsseln ist meistens – bis vielleicht auf Ausnahmen – eine schlechte Idee. Wenn  man sie nicht verschlüsselt, kann man sie auch nicht entschlüsseln. Nur vielleicht erraten und cracken..

20 07, 2017

Best of Pentest-Akquise

von |20. Juli 2017|Pentest|0 Kommentare|

Vertrieb, Sales, Akquise.. alles ein hartes Geschäft. Manchmal hat man Glück, meistens hat man Pech. Normales Business. Aber manchmal.. fehlen einem die Worte – Reaktion am Telefon (sinngemäß wiedergegeben):

„Also von Pentests halte ich nichts. Die kosten nur Geld. Dann werden irgendwelche Sicherheitslücken gefunden. Und dann muss man noch mehr Geld ausgeben, um die Lücken zu beheben. Das ist einfach zu teuer.“

TOP!

19 07, 2017

WPF Penetration Testing als Online-Kurs an der Hochschule Darmstadt ab WS17/18

von |19. Juli 2017|HDA, Vorlesung|3 Kommentare|

In den letzten beiden Semestern wurde das Wahlpflichtfach Penetration Testing an der Hochschule Darmstadt als reguläre Präsenzveranstaltung von uns angeboten. Nachdem Dominik Sauer im WS 2017/18 die Lehrveranstaltung „Internet-Sicherheit“ und ich „IT-Sicherheitsmanagement und Compliance“ halte, wird es keine Präsenzveranstaltung für „Penetration Testing“ geben. Stattdessen werden wir im Rahmen der Zusammenarbeit mit der binsec GmbH die gesamte Veranstaltung als Online-Kurs über binsec-academy.com anbieten, inklusive ausführlichen Unterlagen und dem bisher bekannten Pentest-Labor.

Diese Veranstaltung ist insbesondere für Studenten geeignet, die gerne Inhalte autodidaktisch ohne körperliche Anwesenheit in einer Präsenzveranstaltung lernen. Bisher ist geplant, dass diese Lehrveranstaltung abwechselnd im Wintersemester als Online-Kurs und im Sommersemester als reguläre Vorlesung angeboten wird. Die Prüfungsform wird bei beiden Veranstaltunsmodi weiterhin Hausarbeit (ein Pentest-Bericht) sowie Klausur (50% Multiple Choice, 50% Freitextfragen) sein.