German OWASP Day 2014/Programm

Agenda / Vorträge / Presentations

Die Zeiten mögen sich noch geringfügig ändern

Dienstag, 09. Dezember 2014
	Elbkuppel
08:55 - 9:00	Begrüßung / Welcome Dirk Wetter, Conference Chair
09:00 - 9:45	Keynote Über Agenten und Trittbrettfahrer: Web-Sicherheit als öffentliches Gut Rainer Böhme (Universität Münster)
09:45 - 10:30	The First, Toughest and Messiest XSS Filter Ever Giorgio Maone (Autor von NoScript)
10:30 - 11:00	Kaffeepause / Coffee Break
11:00 - 11:25	OWASP Top 10 Privacy Risks Florian Stahl
11:25 - 11:50	Praktische Erfahrungen aus hunderten von Sicherheitsabnahmen Amir Alsbih
11:50 - 12:15	Cloud encryption: encrypt all the things Walter Tighzert
12:15 - 13:30	Mittagspause / Lunch Break
13:30 - 14:15	Web app scanning is hard, let’s go shopping Claudio Criscione (Google)
14:15 - 14:40	Richtig verschlüsseln mit SSL/TLS Achim Hoffmann und Torsten Gigler
14:40 - 15:25	TBD Jerry Hoff
15:25 - 15:55	Pause / Coffee Break
15:55 - 16:40	OpenSAMM Best Practices: Lessons from the Trenches Seba Deleersnyder
16:40 - 17:05	Scannen des gesamten IPv4 WWW Sebastian Schinzel
17:05 - 17:30	Hacken und Absichern von iOS Anwendungen Bruce Sams

Details zu den Vorträgen

Keynote: Über Agenten und Trittbrettfahrer -- Websicherheit als öffentliches Gut — Rainer Böhme (Universität Münster)

Rainer Böhme erläutert Kernthesen der ökonomischen Betrachtung von IT-Sicherheit, einem Forschungsgebiet, das in den vergangen Jahren massiv an Bedeutung gewonnen hat. Er stellt Querbezüge zur Sicherheit der Web-Plattform her und kommentiert aktuelle Regulierungsbestrebungen in Deutschland und Europa.

Seba Deleersnyder — OpenSAMM Best Practices: Lessons from the Trenches

Managing all application security activities as part of development and deployment of applications can be an overwhelming challenge. OWASP OpenSAMM gives you a structural and measurable blueprint to integrate OWASP best practices in your software life cycle. This OWASP framework allows you to formulate and implement a strategy for software security that is tailored to the risk profile of your organisation.

During this talk Sebastien will get you up to speed on the OpenSAMM framework and share important challenges faced in implementing the framework within various organisations. Important topics that will be covered during this presentation are:

• What is the optimal OpenSAMM maturity level for your organisation?
• At which level to implement OpenSAMM in the organisation: at company, business unit or development team level?
• How to integrate OpenSAMM activities in agile development?
• How to apply OpenSAMM on suppliers or outsourced development?
• What metrics does OpenSAMM provide to manage your secure development life cycle?

Practical lessons learned and use cases from the trenches that make OWASP OpenSAMM a valuable methodology and which you should apply for your secure development life cycle! Next year we organize the first OpenSAMM summit in Dublin on 27-28 of March 2015. More details on https://www.owasp.org/index.php/Samm.

Claudio Criscione (Google) — Web app scanning is hard, let’s go shopping

With so many open source and commercial security scanning tools available, one should wonder how so many organizations’ web applications sport trivial security vulnerabilities. It turns out, setting up an automated web security scanning program is not an easy task, bustling as it is with pitfalls and unforeseen challenges. In this talk we discuss some of these issues and share some of the approaches we have seen working in practice.

Florian Stahl — OWASP Top 10 Privacy Risks

Discussions about how to protect personal data are lively, but still there is no specific and independent description of privacy risks for web applications available. Thus, companies lack guidance to apply during systems development and users cannot easily check whether they take privacy risks when using certain web applications. Therefore the OWASP Top 10 Privacy Risks project was founded in February 2014 to develop a top 10 list for privacy risks in web applications. It covers technological and organizational aspects like missing encryption or insufficient transparency. The project got huge attention from privacy and security experts worldwide and was chosen as key input for the Internet Privacy Engineering Network (IPEN) founded by the European Data Protection Supervisory earlier this year. This session will be the first presentation of the OWASP Top 10 Privacy Risks at a public conference.

Further information about the OWASP Top 10 Privacy Risks Project is available on the project Website.

Sebastian Schinzel — Scannen des gesamten IPv4 WWW

Spätestens seit der Veröffentlichung der Netzwerkscanner Zmap und Masscan in 2013 wurde es erstmals für Jedermann technisch möglich, den gesamten IPv4-Bereich in wenigen Stunden zu scannen. Die dadurch möglich gewordenen Datenanalysemöglichkeiten sind vielfältig und höchst interessant. Man muss nicht mehr von Stichproben extrapolieren, sondern erhebt einfach alle Daten.

Im Labor für IT-Sicherheit der FH Münster haben wir im letzten Jahr das gesamte Internet mehrere Dutzend Male gescannt. Das Ziel der Scans war es, Instanzen bestimmter Webanwendungen zu finden, die kritische Sicherheitslücken enthalten. In diesen Vortrag stelle ich unsere Erfahrungen mit den Scans vor.

Amir Alsbih — Praktische Erfahrungen aus hunderten von Sicherheitsabnahmen

In diesem Vortrag sollen die praktischen Erfahrungen aus knapp 100 Sicherheitsabnahmen geteilt werden, die letztes Jahr durch uns durchgeführt wurden.

Insbesondere soll darauf eingegangen werden, welche praktischen Herausforderungen bei einer vollständigen / teilweise outgesourcten Entwicklung und oder dem Betrieb von Web-Anwendungen bestehen. Durch das Aufzeigen der praktischen Realität über eine Vielzahl von Projekten mit unterschiedlichen Beteiligten, unterschiedlichen Größen und unterschiedlichen "Zielgruppen" soll die Diversität der Sichten auf die Sicherheit verdeutlicht werden. Indem man sich diese Herausforderungen bewußtmacht, können ggf. das eigene Handeln optimiert und ggf. Probleme bereits im Vorfeld vermieden werden.

Walter Tighzert — Cloud encryption: encrypt all the things!

Cloud computing offers numerous advantages for the end user: low maintenance, immediate scalability, high availability... However, potential customers are reluctant to use business cloud solutions due to security and privacy concerns. They do not want a malicious cloud provider, administrator or attacker to look at their data. Cryptography is one possible solution to prevent this. With the recent progress on cryptographic algorithms, such as order preserving encryption or partially homomorphic encryption, it is possible to search over encrypted data – without the need for decryption – and to execute complex queries.

We will present different approaches to using cryptography in the cloud, from research prototype to commercial solutions (database encryption, browser extension, HTTP proxy…). We will show how each solution impacts on the performance, security and functionality of various business applications from the healthcare and sales domains.

Achim Hoffmann und Torsten Gigler — Richtig verschlüsseln mit SSL/TLS

Das 'S' von SSL/TLS spielt neben https bei immer mehr Infrastruktur-Diensten, wie z.B. SMTP, IMAP, POP3, RDP, FTP, LDAP und XMPP (Jabber) eine Rolle. Diese nutzen die SSL/TLS-Verschlüsselung entweder direkt, oder mittels STARTTLS. Nicht zuletzt aufgrund den geheimdienstlichen Aktivitäten und der Heartbleed-Lücke von OpenSSL ist das Thema 'Verschlüsselung des Transports der Daten' aktueller denn je.

Leider reicht es nicht, sich ein Zertifikat zu besorgen, die Verschlüsselung 'einfach' einzuschalten und zu denken, dass dann schon Alles gut ist. Weder 'viel hilft viel', noch das blinde Vertrauen in die Standard-(Default-)Einstellungen führen zum gewünschten Schutz. Dieser Vortrag erklärt die wichtigsten, derzeit allgemein empfohlenen Konfigurations-Einstellungen (Good Practices). Dabei vertiefen wir, wie die richtigen Protokolle und Verfahren (Cipher), sowie deren Priorisierung ausgewählt werden sollten, um eine zeitgemäße Verschlüsselung zu erreichen. Dies, ohne dabei wichtige Clients, meist Browser, 'abzuhängen'.

Danach erfährt die/der Teilnehmer/in, wie mithilfe des OWASP-Tools O-Saft die wichtigsten Einstellungen der eigenen Server im Internet und - wofür es weniger Lösungen gibt - im eigenen LAN geprüft werden können. Dafür wird weder ein besonderer Client, noch ein Login, oder gar ein Clientzertifikat für den Zugriff auf den Server benötigt. In der neuesten Version von 'O-Saft' reicht die Installation der Programmiersprache 'Perl' für eine Analyse der SSL/TLS-Protokolle, Cipher und deren Priorisierung aus. Für die Analyse der restlichen Parameter und des Zertifikats werden lediglich Standard-Verschlüsselungsbibliotheken, wie z.B. OpenSSL benötigt. 'O-Saft' unterstützt außerdem beim Überprüfen der Protokolle und der Cipher STARTTLS für die 7 oben genannten, weiteren Dienste. Dabei ist das Programm sehr einfach zu bedienen.

Abschließend stellen wir Beispiel-Ergebnisse und Vergleiche mit anderen Tools vor.

Bruce Sams — Hacken und Absichern von iOS Anwendungen

Mobilanwendungen zeigen eine eigene Palette an Schwachstellen, die besondere Lösungen benötigen. In dieser Session werden aktuelle Schwachstellen und Absicherungsmaßnahmen für iOS-Anwendungen gezeigt. Themen wie Malicious Profiles, HTTP Request Hijacking, Certificate Pinning, binary Code Patching, undokumentierte iOS Dienste wie „pcapd“ usw. werden besprochen. Danach werden die neuen Sicherheitsfeatures in iOS erklärt und ein Vergleich mit iOS6 und iOS7 gemacht. Daraus kann man die Trends bei Apple erkennen und etwas über die zukünftigen Entwicklungen erraten. Zur Abrundung werden hilfreiche Tipps für die Erstellung von sicheren iOS Anwendungen gezeigt. Praxisbezogene Beispiele in Code und Konfiguration untermauern die Diskussion.

Sprecher / Speaker

(in alphabetischer Ordnung)

Rainer Böhme

Rainer Böhme ist Juniorprofessor für Wirtschaftsinformatik, insbesondere IT-Sicherheit an der Westfälischen Wilhelms-Universität Münster. Schwerpunkte seiner Forschungstätigkeit sind IT-Risikomanagement, virtuelle Währungen, Cyberkriminalität und digitale Forensik.

Seba Deleersnyder

Co-founder & managing partner application security at Toreon.com As application security specialist for more than 10 years, Sebastien has helped various companies improve their ICT-, Web- and Mobile Security, including BNP Paribas Fortis, Atos Worldline, KBC, NationaleNederlanden (ING), Isabel, Fluxys, OLAF, EU Council, TNT Post, Flemish Community, Agfa-Gevaert and ING Insurance International.

Sebastien is the Belgian OWASP Chapter Leader, co-project leader of the OpenSAMM project, served on the OWASP Foundation Board member (2007-2013) and performed several presentations and trainings on Web Application, Mobile and Web Services Security. Furthermore Sebastien co-organizes the yearly BruCON conference in Ghent (Belgium).

Torsten Gigler

Torsten Gigler berät seit über 15 Jahren im Bereich Informations- und Anwendungssicherheit innerhalb eines Unternehmens. Er ist seit 2 Jahren bei OWASP aktiv (z.B. Projektleiter 'OWASP Top 10 für Entwickler') und seit einem knappen Jahr Mitentwickler des Tools O-Saft (Analyse der SSL/TLS-Protokolle und Cipher durch Simulation der 1. Phase des Verbindungsaufbaus).

Achim Hoffmann

Achim Hoffmann is a senior security consultant for information security services, in particular anything related to (web) application security. He is regular speaker at conferences, writes articles and best pratice guides. He is member of the German OWASP Board. Achim initiated and developed the OWASP tool O-Saft for deep analyzes of SSL/TLS connections.

Florian Stahl

Florian Stahl is a German security and privacy consultant and evangelist. He is Master in information systems and computer science and has CISSP and CIPP/IT certifications. Currently Florian is Lead Consultant at msg systems in Munich. He is regular speaker at conferences and writes articles on his blog securitybydesign.de. Florian founded and leads the OWASP Top 10 Privacy Risks Project.

Walter Tighzert

Walter Tighzert is as a Senior Security Researcher at SAP SE and currently works on cloud security topics, in particular encryption in the cloud.

---

<top> <zurück> <Germany>