Secure Web Development - Exam

Aufgabe 1)

Betrachte die folgenden Bedrohungen in der Welt der Webentwicklung und ihre entsprechenden Schutzmechanismen: Schadsoftware, Phishing, Man-in-the-Middle Angriffe, Firewalls, und IDS (Intrusion Detection System). Analysiere ihre Funktionsweisen und erläutere die Methoden, um diese Bedrohungen abzuwehren.

a)

Angenommen, Du arbeitest in einer Webentwicklungsfirma und entdeckst, dass ein angreifender Virus sich über eure Webanwendung verbreitet. Beschreibe in einem Aufsatz (ca. 300 Wörter), welche Schritte Du unternehmen würdest, um die Schadsoftware zu identifizieren, zu isolieren und zu entfernen. Berücksichtige dabei spezifische Techniken und Tools sowie allgemeine Best Practices.

Lösung:

Wenn ich in einer Webentwicklungsfirma arbeite und entdecke, dass ein angreifender Virus sich über unsere Webanwendung verbreitet, würde ich die folgenden Schritte unternehmen, um die Schadsoftware zu identifizieren, zu isolieren und zu entfernen:

• Analysieren der Situation: Zuerst würde ich alle verfügbaren Log-Dateien und Netzwerkaktivitäten überprüfen, um den Ursprung und die Verbreitung des Virus zu identifizieren. Tools wie Splunk oder ELK Stack können hier sehr nützlich sein.
• Isolieren der infizierten Systeme: Um eine weitere Verbreitung des Virus zu verhindern, würde ich alle infizierten Systeme sofort vom Netzwerk trennen. Dies kann durch physisches Trennen oder durch das Deaktivieren der Netzwerkadapter geschehen.
• Identifizieren und Analysieren der Schadsoftware: Mithilfe von Antiviren-Software wie Malwarebytes oder ClamAV würde ich den betroffenen Bereich scannen und die Schadsoftware identifizieren. In einigen Fällen kann es notwendig sein, einen Sandbox-Ansatz zu verwenden, um die Schadsoftware in einer kontrollierten Umgebung zu analysieren.
• Reinigen und Wiederherstellen der Systeme: Nach der Identifikation der Schadsoftware würde ich alle betroffenen Dateien und Anwendungen entfernen oder bereinigen. Die Systeme sollten anschließend von sauberen Backups wiederhergestellt werden. Es ist wichtig, sicherzustellen, dass diese Backups nicht auch infiziert sind.
• Verbesserung der Sicherheit: Nach der Bereinigung müssten alle Sicherheitslücken geschlossen werden, die den Angriff ermöglicht haben. Dies kann die Aktualisierung von Software, das Anwenden von Sicherheitspatches und das Härten der Systeme nach Best Practices umfassen. Die Implementierung von Firewalls und IDS (Intrusion Detection Systems) wie Snort kann zukünftige Angriffe verhindern.
• Überwachung und Audits: Nach der Wiederherstellung sollten fortlaufende Überwachungs- und Sicherheitsaudits durchgeführt werden, um sicherzustellen, dass die Systeme sauber bleiben und keine weiteren Angriffe stattfinden. Tools wie Nagios oder Prometheus können dabei helfen.
• Schulung des Teams: Schließlich ist es wichtig, das gesamte Team über die Bedrohung und die getroffenen Maßnahmen zu informieren. Regelmäßige Schulungen und Awareness-Kampagnen helfen, zukünftige Vorfälle zu verhindern.

Durch diese systematische Herangehensweise kann die Schadsoftware effektiv identifiziert, isoliert und entfernt werden, während gleichzeitig die Sicherheitsmaßnahmen verbessert werden, um zukünftige Bedrohungen zu verhindern.

b)

Ein Kollege von Dir hat eine E-Mail mit einem verdächtigen Link erhalten, der möglicherweise ein Versuch des Phishings ist.

• Erläutere die Schritte, die Dein Kollege unternehmen sollte, um die Echtheit der E-Mail zu überprüfen und mögliche Konsequenzen eines Klicks auf den Link zu vermeiden.
• Diskutiere zudem, wie Anti-Phishing-Tools in den Unternehmensbereich integriert werden könnten und welche Vorteile diese bieten.

Lösung:

Wenn ein Kollege eine E-Mail mit einem verdächtigen Link erhält, der möglicherweise ein Versuch des Phishings ist, sollte folgendes unternommen werden, um die Echtheit der E-Mail zu überprüfen und mögliche Konsequenzen eines Klicks auf den Link zu vermeiden:

• Überprüfung der Absenderadresse: Der Kollege sollte die E-Mail-Adresse des Absenders genau prüfen. Oft verwenden Phisher leicht abgewandelte Adressen, die auf den ersten Blick echt wirken. Es ist zudem hilfreich, die Domain zu überprüfen und zu sehen, ob sie mit der erwarteten übereinstimmt.
• Analyse des Inhalts: Der Kollege sollte den Inhalt der E-Mail sorgfältig lesen und auf Anomalien achten. Phishing-E-Mails enthalten oft Rechtschreibfehler, unüblich formulierte Sätze oder generische Anreden wie „Sehr geehrter Kunde“.
• Hover-Effekt nutzen: Ohne auf den Link zu klicken, kann der Kollege den Mauszeiger über den Link bewegen, um die tatsächliche URL anzuzeigen. Dies hilft zu erkennen, ob die URL verdächtig erscheint oder auf eine unerwartete Seite führt.
• Direkten Kontakt aufnehmen: Anstatt auf den Link zu klicken, sollte der Kollege den vermeintlichen Absender direkt kontaktieren, um die Echtheit der Anfrage zu bestätigen. Dies kann telefonisch oder durch eine neue, unabhängige E-Mail an eine bekannte Kontaktadresse erfolgen.
• IT-Abteilung informieren: Verdächtige E-Mails sollten der IT-Abteilung gemeldet werden. Diese kann die E-Mail weiter analysieren und überprüfen, ob es sich um einen Phishing-Versuch handelt.
• Vermeiden von Downloads und Anhängen: Der Kollege sollte keine Anhänge öffnen oder Dateien herunterladen, die mit der verdächtigen E-Mail verknüpft sind, da diese Malware enthalten könnten.

Integration von Anti-Phishing-Tools im Unternehmensbereich:

• Implementierung von E-Mail-Sicherheitslösungen: Anti-Phishing-Tools wie Proofpoint, Mimecast und Microsoft Defender for Office 365 können in das E-Mail-System des Unternehmens integriert werden, um verdächtige E-Mails automatisch zu erkennen und zu blockieren.
• Kontinuierliche Schulungen und Sicherheitstrainings: Regelmäßige Schulungen und simulierte Phishing-Angriffe können das Bewusstsein der Mitarbeiter für Phishing-Bedrohungen schärfen und ihnen helfen, verdächtige E-Mails besser zu identifizieren.
• Multi-Faktor-Authentifizierung (MFA): Die Implementierung von MFA für alle Mitarbeiter kann das Risiko eines kompromittierten Kontos minimieren, falls dennoch ein Phishing-Angriff erfolgreich ist.
• Überwachung und Analyse: Tools zur Überwachung und Analyse von Netzwerkaktivitäten, wie Splunk oder ELK Stack, helfen dabei, verdächtige Aktivitäten frühzeitig zu erkennen und darauf zu reagieren.

Vorteile:

• Verbesserte Sicherheit und geringeres Risiko von Datenverlust und finanziellen Schäden.
• Erhöhte Mitarbeiter-Sensibilisierung und reduzierte Anzahl erfolgreicher Phishing-Angriffe.
• Erhöhte Kundenvertrauen durch bessere Sicherheitspraktiken.

c)

Ein Man-in-the-Middle Angriff wurde auf die Kommunikationslinie zwischen dem Webserver Eurer Anwendung und der Datenbank festgestellt.

• Erkläre, wie eine solche Attacke durchgeführt werden kann und welche Auswirkungen sie haben könnte.
• Beschreibe vor allem, welche Maßnahmen sofort zu ergreifen sind, um den Angriff zu stoppen und zukünftige Man-in-the-Middle Angriffe zu verhindern. Kostenschätzungen für die Implementierung der Abwehrmaßnahmen (wie TLS/SSL Zertifikate) können dabei berücksichtigt werden.

Lösung:

Ein Man-in-the-Middle (MitM) Angriff ist eine Art von Cyberangriff, bei dem ein Angreifer in die Kommunikationslinie zwischen zwei Parteien eindringt und die gesendeten und empfangenen Daten abfängt oder manipuliert. Bei einem MitM-Angriff auf die Kommunikationslinie zwischen dem Webserver einer Anwendung und der Datenbank könnte der Angreifer sensible Daten wie Benutzerdaten, Passwörter und finanzielle Informationen stehlen oder verfälschen. Dies kann zu Datenverlust, Identitätsdiebstahl und erheblichen finanziellen Schäden führen.

Durchführung eines Man-in-the-Middle Angriffs:

• Abfangen des Datenverkehrs: Der Angreifer kann sich zwischen den Webserver und die Datenbank schalten, indem er den Netzwerkverkehr abfängt. Dies kann durch Techniken wie ARP-Spoofing geschehen, bei dem falsche ARP-Nachrichten gesendet werden, um die IP-Adressen von Server und Datenbank zu manipulieren.
• Mitlesen und Manipulieren von Daten: Sobald der Angreifer den Datenverkehr abgefangen hat, kann er die Inhalte der übertragenen Daten lesen und sogar verändern, bevor sie den eigentlichen Empfänger erreichen.
• Weiterleiten des Verkehrs: Der Angreifer sendet die Daten an den eigentlichen Empfänger weiter, sodass die Kommunikation scheinbar normal weiterläuft, obwohl sie durch den Angreifer kompromittiert wurde.

Maßnahmen zur sofortigen Eindämmung:

• Verwenden von TLS/SSL-Verschlüsselung: Eine der effektivsten Methoden zur Abwehr von MitM-Angriffen ist die Verwendung von TLS/SSL-Zertifikaten, um die Kommunikation zwischen Server und Datenbank zu verschlüsseln. Dies stellt sicher, dass nur die beabsichtigten Empfänger die Daten lesen können. Die Implementierung von SSL-Zertifikaten kann einige Hundert Euro pro Jahr betragen, abhängig vom Zertifikatanbieter.
• Überwachung des Netzwerkverkehrs: Eine kontinuierliche Überwachung des Netzwerkverkehrs mithilfe von Tools wie Wireshark oder Snort kann helfen, ungewöhnliche Aktivitäten zu erkennen und zu blockieren. Die Kosten für diese Tools variieren, es gibt jedoch auch Open-Source-Lösungen.
• Implementierung von VPNs: Die Verwendung von Virtual Private Networks (VPNs) kann die Sicherheit der Kommunikation erhöhen, da der Datenverkehr verschlüsselt wird. Die Kosten für VPNs hängen von der Anzahl der Benutzer und der benötigten Bandbreite ab und können von einigen Hundert bis Tausend Euro pro Jahr reichen.
• Implementierung von Intrusion Detection Systems (IDS): IDS wie Snort können eingesetzt werden, um verdächtige Aktivitäten zu erkennen und darauf zu reagieren. Diese Systeme können ungewöhnlichen Netzwerkverkehr identifizieren und Angriffe in Echtzeit stoppen.

Langfristige Abwehrmaßnahmen:

• Regelmäßige Sicherheitsaudits: Sicherheitsaudits sollten regelmäßig durchgeführt werden, um sicherzustellen, dass alle Sicherheitsmaßnahmen auf dem neuesten Stand sind und potenzielle Schwachstellen identifiziert werden.
• Schulung der Mitarbeiter: Mitarbeiter sollten regelmäßig in Bezug auf Sicherheit geschult werden, um das Bewusstsein für MitM-Angriffe und andere Bedrohungen zu schärfen.
• Segmentierung des Netzwerks: Netzwerksegmentierung kann dazu beitragen, den Schaden im Falle eines Angriffs zu begrenzen. Durch die Trennung von kritischen Systemen kann das Risiko, dass ein Angreifer Zugang zu allen Teilen des Netzwerks erhält, verringert werden.

Durch die Umsetzung dieser Maßnahmen kann die Gefahr von Man-in-the-Middle-Angriffen erheblich reduziert werden, was zu einer sichereren und zuverlässigeren Kommunikationsinfrastruktur führt.

d)

Eine effektive Firewall und ein leistungsfähiges IDS sind wesentliche Bestandteile der Netzwerksicherheit.

• Vergleiche und kontrastiere Firewalls und IDS in einem kurzen Essay (ca. 200 Wörter).
• Erkläre, in welchen Szenarien jede Technologie am effektivsten eingesetzt wird. Nutze dazu konkrete Beispiele und beziehe auch mathematische Zugangs- und Konsistenzmodelle, die den Datenverkehr durch eine Firewall oder ein IDS analysieren könnten, mit ein. Zum Beispiel könnten Algorithmen zur Erkennung anomalen Verhaltens unter drin stehender mathematischer Modelle der Netzwerkanalyse dargestellt und erläutert werden.

Lösung:

Firewalls und Intrusion Detection Systems (IDS) spielen beide eine Schlüsselrolle in der Netzwerksicherheit, jedoch mit unterschiedlichen Ansätzen und Funktionen. Eine Firewall ist wie ein Wachmann, der den ein- und ausgehenden Datenverkehr basierend auf vordefinierten Regeln kontrolliert. Firewalls können auf verschiedenen Ebenen arbeiten: Netz-Firewalls operieren auf der Netzwerk- und Transportschicht, während Anwendungs-Firewalls auf der Anwendungsschicht agieren und komplexere Regelwerke unterstützen. Ihre Hauptaufgabe ist es, unerlaubten Zugriff zu verhindern und den Netzwerkverkehr zu segmentieren.

Ein IDS hingegen ist eher ein Überwachungssystem, das den Datenverkehr kontinuierlich analysiert, um verdächtige Aktivitäten und Anomalien zu erkennen. Ein IDS hat die Aufgabe, potenzielle Angriffe und Sicherheitsverletzungen zu identifizieren, die Firewalls möglicherweise übersehen. Es gibt verschiedene Arten von IDS, darunter network-based IDS (NIDS), das den gesamten Netzwerkverkehr überwacht, und host-based IDS (HIDS), das Aktivitäten auf einzelnen Hosts verfolgt.

Szenarien, in denen jede Technologie am effektivsten ist:

• Firewalls: Firewalls sind besonders effektiv in Szenarien, in denen präventive Maßnahmen erforderlich sind. Beispielsweise kann eine Firewall den Zugang zu bestimmten Services oder IP-Adressen blockieren, um bekannte Bedrohungen abzuwehren. Angenommen, ein Unternehmen möchte den Zugriff auf eine bestimmte Anwendung nur für autorisierte Benutzer zulassen. Hier wäre eine Anwendungs-Firewall ideal, um den Zugang zu kontrollieren.
• IDS: Ein IDS ist ideal in Szenarien, in denen es darum geht, verdächtige Aktivitäten und Anomalien in Echtzeit zu erkennen. Zum Beispiel, wenn ein Unternehmen ungewöhnlich hohen Datenverkehr zu ungewöhnlichen Zeiten entdeckt, kann ein IDS mittels Algorithmen zur Anomalieerkennung diese Aktivitäten identifizieren und alarmieren. Dabei können mathematische Modelle wie Mittelwert und Standardabweichung verwendet werden, um die Normalität des Datenverkehrs zu definieren. Wenn der aktuelle Verkehrswert x außerhalb des Intervalls μ ± 3σ liegt, wird er als Anomalie betrachtet.

Während Firewalls unerlässlich sind, um eine Barriere gegen bekannte Bedrohungen zu schaffen und präventive Kontrollen zu implementieren, ergänzen IDS diese durch die Fähigkeit, verdächtige und ungewöhnliche Aktivitäten zu erkennen und darauf zu reagieren. Dies macht den Einsatz beider Technologien zusammen zu einer umfassenden Sicherheitsstrategie.

Aufgabe 2)

In einer Webanwendung wurde festgestellt, dass SQL-Injection-Angriffe auftreten können. Ein Angreifer könnte schädlichen SQL-Code in Benutzereingaben einbetten, um die Datenbank zu manipulieren. Um diese Schwachstelle zu verhindern, sollen Prepared Statements verwendet werden. Prepared Statements trennen den SQL-Code von den Nutzdaten und verhindern so die Injektion von schädlichem Code. Beispiel eines Prepared Statements in PHP:

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');$stmt->execute([':username' => $input_username]);

a)

Erkläre, wie ein SQL-Injection-Angriff funktioniert und welche Auswirkungen dieser auf eine Datenbank haben kann. Nutze ein Beispiel zur Illustration des Angriffs.

Lösung:

Erklärung:Ein SQL-Injection-Angriff ist eine Schwachstelle, die auftritt, wenn ein Angreifer bösartigen SQL-Code in eine Eingabe einbettet, die an eine SQL-Abfrage übergeben wird. Das Ziel besteht darin, die Datenbank zu manipulieren, um unbefugten Zugriff auf Daten zu erhalten oder diese zu verändern. Beispiel für einen SQL-Injection-Angriff:

• Nehmen wir an, dass eine Webanwendung eine Login-Seite enthält, auf der der Benutzer seinen Benutzernamen und sein Passwort eingeben muss.
• Das zugrunde liegende SQL-Statement könnte wie folgt aussehen:

$sql = 'SELECT * FROM users WHERE username = \'' . $username . '\' AND password = \' . $password . '\'';

• Wenn ein Angreifer den Benutzernamen als ' OR '1'='1 und das Passwort als beliebigen Wert eingibt, wird das SQL-Statement folgendermaßen:

$sql = 'SELECT * FROM users WHERE username = '' OR '1'='1' AND password = 'anything';'

• Diese Abfrage wird immer wahr sein und der Angreifer könnte sich unbefugt anmelden.
• Mit solchen Angriffen können Angreifer:
• Zugriff auf sensible Daten wie Benutzerdatenbanken erhalten
• Datenbankinhalte ändern oder löschen
• Schädlichen Code zur Ausführung nachgelagerter Befehle einfügen
• Daher sollten Prepared Statements verwendet werden, um solche Angriffe zu verhindern.

Beispiel für Prepared Statements in PHP:

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');  $stmt->execute([':username' => $input_username]);

• Mit Prepared Statements wird der SQL-Code von den Nutzdaten getrennt, was die Injektion von gleichzeitigem bösartigem Code effektiv verhindert.

b)

Implementiere ein Prepared Statement in PHP für eine SQL-Abfrage, die die folgenden Anforderungen erfüllt:

• Die Abfrage soll alle Benutzerdaten aus der Tabelle 'users' zurückgeben, deren 'email' Adresse einer vom Benutzer eingegebenen E-Mail-Adresse entspricht.
• Nutze das PHP PDO-Objekt zur Implementierung.

Das Prepared Statement soll dabei sicherstellen, dass keine schädlichen SQL-Injection-Befehle eingeschleust werden können. Stelle sicher, dass Dein Code vollständig und funktionsfähig ist.

Lösung:

Implementierung eines Prepared Statements in PHP:Um sicherzustellen, dass keine schädlichen SQL-Injection-Befehle eingeschleust werden können, sollten wir Prepared Statements mit dem PHP PDO-Objekt verwenden. Hier ist ein vollständiges und funktionsfähiges Beispiel:

// Schritt 1: Verbindung zur Datenbank herstellen$dsn = 'mysql:host=localhost;dbname=deinedatenbank';$benutzername = 'deinbenutzername';$passwort = 'deinpasswort';try {    $pdo = new PDO($dsn, $benutzername, $passwort);    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);} catch (PDOException $e) {    echo 'Verbindung fehlgeschlagen: ' . $e->getMessage();}// Schritt 2: Benutzereingabe erhalten (zum Beispiel aus einem Formular)$input_email = $_POST['email'];// Schritt 3: Prepared Statement erstellen$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');// Schritt 4: Statement ausführen$stmt->execute([':email' => $input_email]);// Schritt 5: Ergebnisse abrufen$ergebnisse = $stmt->fetchAll(PDO::FETCH_ASSOC);// Schritt 6: Ergebnisse anzeigen oder verarbeitenforeach ($ergebnisse as $benutzer) {    echo 'Benutzername: ' . $benutzer['username'] . '';    echo 'E-Mail: ' . $benutzer['email'] . '';    // Weitere Felder können hier hinzugefügt werden}

• Schritt 1: Wir stellen eine Verbindung zur Datenbank her und setzen den Fehlerbehandlungsmodus auf Exceptions.
• Schritt 2: Wir erhalten die Benutzereingabe, zum Beispiel aus einem Formular.
• Schritt 3: Wir erstellen ein Prepared Statement, das einen Platzhalter für die E-Mail-Adresse enthält.
• Schritt 4: Wir führen das Statement mit der Benutzereingabe aus, wobei der Platzhalter durch die tatsächliche Eingabe ersetzt wird.
• Schritt 5: Wir rufen die Ergebnisse der Abfrage ab.
• Schritt 6: Wir zeigen die Ergebnisse an oder verarbeiten sie weiter.

Mit diesem Ansatz stellen wir sicher, dass keine schädlichen SQL-Injection-Befehle eingeschleust werden können, da die Benutzereingabe korrekt behandelt wird.

Aufgabe 3)

Cross-Site Scripting (XSS) ist eine Sicherheitslücke, die es Angreifern ermöglicht, Schadcode in Webseiten einzuschleusen. Content Security Policy (CSP) ist ein Sicherheitsmechanismus zur Bekämpfung solcher Angriffe.

• Reflektiertes XSS: Eingaben eines Nutzers werden sofort im Output der Webseite reflektiert.
• Persistentes XSS: Schadcode wird dauerhaft im Server gespeichert und bei jedem Aufruf der betroffenen Seite ausgeführt.
• DOM-basiertes XSS: Veränderungen am DOM einer Webseite durch unsichere Client-seitige Skripte.
• Content Security Policy (CSP): Mechanismus, der erlaubt, welche Ressourcen eine Webseite laden darf; definiert durch HTTP-Header oder innerhalb von HTML.
• Wichtigste CSP-Direktiven: 'default-src', 'script-src', 'style-src', 'img-src'.
• CSP kann Inline-Skripte und externe Ressourcen einschränken, wodurch XSS-Risiken minimiert werden können.

a)

1. Erläutere den Unterschied zwischen reflektiertem, persistentem und DOM-basiertem XSS. Erkläre anhand eines Beispiels, wie ein Angreifer einen reflektierten XSS-Angriff durchführen könnte.

Lösung:

Cross-Site Scripting (XSS) ist eine Sicherheitslücke, die es Angreifern ermöglicht, Schadcode in Webseiten einzuschleusen. Die drei Haupttypen von XSS sind reflektiert, persistent und DOM-basiert:

• Reflektiertes XSS: Bei reflektiertem XSS (auch Nicht-gespeichertes XSS genannt) werden die vom Benutzer eingegebenen Daten sofort im Output der Webseite reflektiert. Dies geschieht, wenn ein Angreifer eine bösartige Eingabe in eine URL oder ein Formularfeld einschleust und diese Eingabe direkt im Antwortinhalt des Servers eingebettet wird. Der Schadcode wird unmittelbar ausgeführt, wenn das Opfer den manipulierten Link öffnet oder das Formular abschickt.
• Persistentes XSS: Persistentes XSS (auch Gespeichertes XSS genannt) tritt auf, wenn der Schadcode dauerhaft auf dem Server gespeichert wird, beispielsweise in einer Datenbank, und wiederholt bei jedem Aufruf der betroffenen Seite ausgeführt wird. Diese Art von XSS ist besonders gefährlich, da sie mehrere Benutzer betreffen kann.
• DOM-basiertes XSS: DOM-basiertes XSS tritt auf, wenn die Manipulation und Ausführung des Schadcodes direkt im Document Object Model (DOM) der Webseite stattfindet. Dies geschieht normalerweise durch unsichere Client-seitige Skripte, die Benutzereingaben verarbeiten und diese im DOM einfügen.
• Content Security Policy (CSP): Ein Mechanismus zur Bekämpfung von XSS, der Richtlinien definiert, was eine Webseite laden und ausführen darf.

Beispiel eines reflektierten XSS-Angriffs:

Ein Angreifer könnte einen Link wie den folgenden erstellen und an ein Opfer senden:

 http://beispielseite.com/suche?query= 

In diesem Beispiel nimmt die Webseite eine Benutzereingabe im Parameter 'query' und reflektiert sie im HTML-Output, ohne sie ausreichend zu validieren. Wenn das Opfer auf diesen Link klickt, wird der HTTP-GET-Parameter 'query' mit dem Schadcode gefüllt, der dann im Browser des Opfers ausgeführt wird. Dadurch könnte der Angreifer Dinge ausführen wie das Stehlen von Cookies oder die Abgabe von falschen Formularen im Namen des Opfers.

b)

2. Stell Dir vor, Du betreibst eine Webseite, auf der Benutzer Kommentare hinterlassen können. Wie könntest Du die Webseite so gestalten, dass sowohl reflektiertes als auch persistentes XSS verhindert wird? Beschreibe konkrete Maßnahmen.

Lösung:

Um sowohl reflektiertes als auch persistentes XSS auf einer Webseite zu verhindern, auf der Benutzer Kommentare hinterlassen können, sind mehrere konkrete Maßnahmen erforderlich:

• Validierung und Escaping: Stelle sicher, dass alle Benutzereingaben, die in die Webseite eingebettet werden, entsprechend validiert und escaped werden. Dies bedeutet, dass potentiell gefährliche Zeichen wie < und > umgewandelt werden. Beispielsweise sollten Zeichen wie < statt < und > statt > angezeigt werden.
• Content Security Policy (CSP): Implementiere eine starke CSP. Dies hilft, das Laden und Ausführen von nicht erlaubten Skripten zu verhindern. Beispielsweise könnte eine CSP aussehen wie:

 Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' 

Diese Richtlinie erlaubt nur Ressourcen von der eigenen Webseite und blockiert nicht erlaubte externe Skripte.

Input-Validierung: Führe eine strikte Validierung der Benutzereingaben durch, um sicherzustellen, dass sie nur erwartete und sichere Zeichen enthalten. Beispielsweise könnte der Kommentarsystem nur alphanumerische Zeichen und grundlegende Satzzeichen erlauben.

Ausgabecodierung: Stelle sicher, dass alle Daten, die auf der Webseite angezeigt werden, HTML-codiert sind. Dies verhindert, dass injizierter Code als echtes HTML oder JavaScript interpretiert wird.

WAF (Web Application Firewall): Implementiere eine Web Application Firewall, um bösartige Anfragen im Voraus zu erkennen und zu blockieren. WAFs können dabei helfen, typische XSS-Angriffe zu erkennen und zu verhindern.

HTTP-Header: Nutze sichere HTTP-Header wie X-Content-Type-Options: nosniff und X-XSS-Protection: 1; mode=block, um zusätzliche Schutzmaßnahmen zu bieten.

Regelmäßige Sicherheitsüberprüfungen: Führe regelmäßige Sicherheitsüberprüfungen und Penetrationstests durch, um mögliche Schwachstellen zu identifizieren und zu beheben.

Durch die Implementierung dieser Maßnahmen kannst Du sowohl reflektiertes als auch persistentes XSS effektiv verhindern und die Sicherheit Deiner Webseite erhöhen.

c)

3. Du hast eine Webanwendung mit einem DOM-basierten XSS-Problem identifiziert. Der Schadcode wird durch die Manipulation des DOMs über eine unsichere JavaScript-Funktion eingeschleust. Analysiere den folgenden JavaScript-Code und beschreibe, wie du die Sicherheitslücke schließen könntest:

document.getElementById('userInput').addEventListener('input', function() {  var userInput = document.getElementById('userInput').value; document.getElementById('output').innerHTML = 'Hallo, ' + userInput;});

Lösung:

Das gegebene JavaScript enthält eine Sicherheitslücke, da es den Wert der Benutzereingabe direkt in das DOM mit innerHTML einfügt. Dadurch kann ein Angreifer schädliches HTML oder JavaScript injizieren.

Hier ist der ursprüngliche JavaScript-Code:

 document.getElementById('userInput').addEventListener('input', function() {  var userInput = document.getElementById('userInput').value; document.getElementById('output').innerHTML = 'Hallo, ' + userInput;}); 

Um die Sicherheitslücke zu schließen, können wir wie folgt vorgehen:

• Verwendung von textContent statt innerHTML: Eine einfache und effektive Maßnahme besteht darin, innerHTML durch textContent zu ersetzen. Dadurch wird der Text als Text und nicht als HTML interpretiert, was die Ausführung von eingebettetem Skriptcode verhindert.

 document.getElementById('userInput').addEventListener('input', function() {  var userInput = document.getElementById('userInput').value; document.getElementById('output').textContent = 'Hallo, ' + userInput;}); 

Verwendung eines sicheren Templates: Wenn HTML-Inhalte erforderlich sind, könnten wir sichere Templates verwenden, wobei der benutzerdefinierte Inhalt in sichere HTML-Elemente eingesetzt wird. Vergücklich falls es nötig ist, kann benutzerdefinierter Text wie folgt sicher eingefügt werden:

 document.getElementById('userInput').addEventListener('input', function() {  var userInput = document.createTextNode(document.getElementById('userInput').value); var outputElement = document.getElementById('output'); while (outputElement.firstChild) {  outputElement.firstChild.remove(); } outputElement.appendChild(document.createTextNode('Hallo, ')); outputElement.appendChild(userInput);}); 

Sanitizing Libraries: Wir können auch Bibliotheken wie DOMPurify verwenden, um Benutzer-Eingaben zu sanitieren:

 import DOMPurify from 'dompurify';document.getElementById('userInput').addEventListener('input', function() {  var userInput = DOMPurify.sanitize(document.getElementById('userInput').value); document.getElementById('output').innerHTML = 'Hallo, ' + userInput; }); 

Durch diese Maßnahmen wird sichergestellt, dass bösartige Skripte durch Benutzereingaben nicht in das DOM injiziert werden und die XSS-Sicherheitslücke effektiv geschlossen wird.

d)

4. Angenommen, Du möchtest eine Content Security Policy (CSP) für Deine Webseite implementieren, die alle XSS-Angriffe verhindert. Formuliere eine geeignete CSP, die folgendes erlaubt bzw. verbietet:

• Erlaube nur Scripte von derselben Origin auszuführen.
• Verbiete Inline-Skripte vollständig.
• Erlaube Styles und Bilder von vertrauenswürdigen Quellen (z.B. CDNs).

Formuliere die CSP sowohl als HTTP-Header als auch innerhalb eines HTML-Tags.

Lösung:

Um XSS-Angriffe zu verhindern und die gewünschten Richtlinien umzusetzen, können wir die Content Security Policy (CSP) wie folgt formulieren:

• Erlaube nur Scripte von derselben Origin (Self).
• Verbiete Inline-Skripte vollständig.
• Erlaube Styles und Bilder von vertrauenswürdigen Quellen (z.B. Content Delivery Networks - CDNs).

Die CSP kann auf zwei Weisen implementiert werden: als HTTP-Header und innerhalb eines HTML-Tags.

HTTP-Header

 Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' https://trusted-cdn.com; img-src 'self' https://trusted-cdn.com 

Diese Richtlinie weist den Browser an, nur Skripte von derselben Origin auszuführen, Inline-Skripte zu verbieten und Styles sowie Bilder nur von der eigenen Origin und der vertrauenswürdigen CDN-Quelle zu laden.

HTML-Tag

Falls Du die CSP direkt im HTML-Dokument definieren möchtest, kannst Du dies im <meta>-Tag im <head>-Element tun:

 <meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'; style-src 'self' https://trusted-cdn.com; img-src 'self' https://trusted-cdn.com"> 

Durch die Implementierung dieser CSP stellst Du sicher, dass nur Skripte von derselben Origin ausgeführt werden, Inline-Skripte vollständig verboten werden und Styles sowie Bilder nur von vertrauenswürdigen Quellen geladen werden. Diese Maßnahmen tragen maßgeblich zur Verhinderung von XSS-Angriffen bei.

Aufgabe 4)

Ein Finanzdienstleistungsunternehmen entwickelt eine neue Webanwendung, in der Benutzer ihre Bankkonten verwalten können. Dabei müssen sichere Authentifizierungsverfahren implementiert werden, um unbefugten Zugriff zu verhindern. Die notwendigen Verfahren umfassen Passwort-Sicherheit, Multi-Faktor-Authentifizierung, OAuth2 und OpenID Connect.

a)

Das Unternehmen plant, strenge Regeln für die Passwortsicherheit festzulegen. Erläutere, warum eine Mindestlänge von 8-12 Zeichen, die Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen sowie regelmäßige Passwortänderungen vorgeschrieben sind. Berechne anhand der Kombinationsmöglichkeiten die Anzahl möglicher Passwörter bei einer Länge von 10 Zeichen, wenn Großbuchstaben (26), Kleinbuchstaben (26), Zahlen (10) und 10 Sonderzeichen verwendet werden.

Lösung:

Die Festlegung strenger Regeln für die Passwortsicherheit ist entscheidend, um unbefugten Zugriff auf Benutzerkonten zu verhindern. Hier sind die Gründe, warum bestimmte Kriterien wie Mindestlänge, Mischung aus verschiedenen Zeichentypen und regelmäßige Passwortänderungen vorgeschrieben sind:

• Mindestlänge von 8-12 Zeichen: Ein längeres Passwort erhöht die Anzahl der möglichen Kombinationen exponentiell und macht es für Angreifer schwieriger, das Passwort durch Brute-Force-Angriffe zu erraten. Kurze Passwörter sind leichter zu knacken, auch wenn komplexe Zeichen verwendet werden.
• Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen: Die Verwendung einer Kombination aus verschiedenen Zeichentypen erhöht die Komplexität des Passworts und verringert die Wahrscheinlichkeit, dass Angreifer das Passwort durch Wörterbuchangriffe oder einfache Erratungsversuche herausfinden können. Ein komplexes Passwort erschwert es, gängige Muster zu erkennen.
• Regelmäßige Passwortänderungen: Das regelmäßige Ändern von Passwörtern minimiert das Risiko, dass ein kompromittiertes Passwort längerfristig ausgenutzt werden kann. Selbst wenn ein Angreifer ein Passwort geknackt hat, wird dessen Gültigkeit durch eine regelmäßige Änderung eingeschränkt.

Nun zur Berechnung der Anzahl möglicher Passwörter bei einer Länge von 10 Zeichen:

Wir haben insgesamt 72 mögliche Zeichen zur Verfügung: 26 Großbuchstaben, 26 Kleinbuchstaben, 10 Zahlen und 10 Sonderzeichen.

Die Anzahl aller möglichen Kombinationen eines Passworts der Länge 10 kann mit der Formel

72^10

berechnet werden. Das bedeutet:

• anz mögliche Kombinationen = (Anzahl der verfügbaren Zeichen)^(Länge des Passworts) = 72^10

Setzen wir dies in die Berechnung ein:

72^10 = 3,743912×10^18

Dies ist eine sehr große Zahl und verdeutlicht die hohe Anzahl verschiedener Kombinationen, die ein Passwort dieser Länge mit der angegebenen Komplexität haben kann. Dadurch wird es für Angreifer äußerst schwer, das Passwort zu knacken.

b)

Das Unternehmen möchte zur Authentifizierung Multi-Faktor-Authentifizierung (MFA) einführen. Beschreibe die drei Faktoren von MFA (Wissen, Besitz, Inhärenz) und gebe ein Beispiel für die Kombination zweier Faktoren. Diskutiere die Vorteile der Verwendung von MFA im Vergleich zur alleinigen Passwortauthentifizierung.

Lösung:

Die Multi-Faktor-Authentifizierung (MFA) ist ein Sicherheitsverfahren, das mehrere unabhängige Faktoren zur Verifizierung der Identität eines Benutzers verwendet. Hier sind die drei Hauptfaktoren von MFA:

• Wissen (Knowledge): Dies ist etwas, das der Benutzer weiß, wie zum Beispiel ein Passwort, eine PIN oder eine Antwort auf eine Sicherheitsfrage.
• Besitz (Possession): Dies ist etwas, das der Benutzer besitzt, wie zum Beispiel ein Mobiltelefon, eine Smartcard oder ein Hardware-Token.
• Inhärenz (Inherence): Dies ist etwas, das der Benutzer ist oder tut, wie zum Beispiel biometrische Merkmale (Fingerabdruck, Gesichtserkennung, Iris-Scan) oder Verhaltensweisen (Tippmuster).

Beispiel für die Kombination zweier Faktoren:

• Wissen + Besitz: Ein Benutzer gibt sein Passwort ein (etwas, das er weiß) und muss zusätzlich einen Einmalpasscode eingeben, der an sein Mobiltelefon gesendet wird (etwas, das er besitzt).

Vorteile der Verwendung von MFA im Vergleich zur alleinigen Passwortauthentifizierung:

• Erhöhte Sicherheit: Durch die Kombination mehrerer Faktoren wird es für Angreifer schwieriger, Zugang zu einem Konto zu erhalten. Selbst wenn ein Faktor (z.B. das Passwort) kompromittiert ist, sind die anderen Faktoren weiterhin sicher.
• Verhinderung von Phishing-Angriffen: Angreifer können möglicherweise Passwörter durch Phishing-Angriffe stehlen, aber ohne Zugriff auf den zweiten Faktor (z.B. ein physisches Gerät) sind diese Passwörter nutzlos.
• Schutz vor Brute-Force-Angriffen: Auch bei einem erfolgreichen Brute-Force-Angriff auf das Passwort bleibt der zweite Faktor eine zusätzliche Hürde, die überwunden werden muss.
• Reduzierung von Identitätsdiebstahl: MFA schützt Benutzerkonten besser vor Identitätsdiebstahl, da Angreifer nicht nur Zugang zu den Anmeldedaten benötigen, sondern auch zu physischen Geräten oder biometrischen Merkmalen.

Insgesamt bietet die Multi-Faktor-Authentifizierung ein höheres Sicherheitsniveau und schützt besser vor verschiedenen Arten von Angriffen im Vergleich zur alleinigen Passwortauthentifizierung.

c)

OAuth2 und OpenID Connect sollen in die Webanwendung integriert werden, um den Benutzern Single Sign-On (SSO) zu ermöglichen. Erkläre den Prozess der Authentifizierung und Autorisierung in OAuth2 sowie die zusätzliche Funktionalität, die OpenID Connect bietet. Beschreibe das Konzept der Access Tokens und ID Tokens sowie deren Aufbau. Zeige anhand eines Beispiels, wie JSON Web Tokens (JWT) genutzt werden, um Benutzersitzungen sicher zu authentifizieren.

Lösung:

OAuth2 und OpenID Connect sind Protokolle, die häufig verwendet werden, um sichere und bequeme Authentifizierungs- und Autorisierungsmechanismen zu implementieren. Der Prozess der Authentifizierung und Autorisierung in OAuth2 sowie die zusätzliche Funktionalität, die OpenID Connect bietet, lassen sich wie folgt erklären:

• OAuth2: OAuth2 ist ein Framework für die Autorisierung, das es Anwendungen ermöglicht, im Namen eines Benutzers auf Ressourcen auf einem Server zuzugreifen, ohne das Passwort des Benutzers offenzulegen. Der Prozess beinhaltet:
• Ressourceninhaber (Resource Owner): Der Benutzer, der Zugriff auf eine Ressource hat.
• Client: Die Anwendung, die Zugriff auf die Ressourcen des Benutzers anfordert.
• Autorisierungsserver (Authorization Server): Der Server, der Autorisierungsanfragen vom Client entgegennimmt und Access Tokens ausstellt.
• Ressourcenserver (Resource Server): Der Server, der die angeforderten Ressourcen hostet und nur auf Anfrage mit einem gültigen Access Token darauf zugreift.

Der Ablauf sieht in der Regel wie folgt aus:

1. Der Client leitet den Benutzer zum Autorisierungsserver weiter, wo dieser Zugang erlaubt (durch Anmelden und Zustimmen).
2. Der Autorisierungsserver gibt ein Autorisierungscode an den Client zurück.
3. Der Client sendet diesen Autorisierungscode zum Autorisierungsserver und erhält im Gegenzug ein Access Token.
4. Der Client verwendet dieses Access Token, um auf die Ressourcen des Benutzers auf dem Ressourcenserver zuzugreifen.

OpenID Connect: OpenID Connect erweitert OAuth2 um Authentifizierungsfunktionen. Es bietet zusätzliche Informationen und Funktionen, um die Identität des Benutzers zu verifizieren. Während OAuth2 sich auf die Autorisierung konzentriert, bietet OpenID Connect auch eine Authentifizierung des Benutzers und gibt ID Tokens zurück, die Informationen über den Benutzer enthalten.

Zu den besonderen Token gehören:

• Access Tokens: Diese Tokens werden vom Autorisierungsserver ausgestellt und ermöglichen dem Client den Zugriff auf die Ressourcen des Benutzers. Sie haben normalerweise eine begrenzte Lebensdauer und bestehen aus Informationen, die es dem Ressourcenserver ermöglichen, den Zugriff zu gewähren.
• ID Tokens: Diese Tokens werden von OpenID Connect verwendet und enthalten Informationen über den Benutzer. Sie werden vom Autorisierungsserver ausgestellt, um die Identität des Benutzers zu bestätigen.

Access Tokens und ID Tokens haben in der Regel einen JSON Web Token (JWT) Aufbau, der folgendermaßen aussieht:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

• Header: Beinhaltet den Token-Typ und den verwendeten Verschlüsselungsalgorithmus.
• Payload: Beinhaltet die Claims (Informationen), wie z.B. Benutzer-IDs, Rollen und Ablaufdaten.
• Signature: Eine kryptographische Unterschrift, die sicherstellt, dass der Token nicht manipuliert wurde.

Beispiel für die Nutzung von JWT für die sichere Authentifizierung von Benutzersitzungen:

1. Der Benutzer meldet sich bei der Anwendung an.
2. Der Autorisierungsserver authentifiziert den Benutzer und erstellt ein JWT.
3. Das JWT wird an den Client (z.B. den Webbrowser) zurückgegeben.
4. Der Client speichert das JWT (z.B. in einem sicheren Cookie oder lokalen Speicher).
5. Bei jeder nachfolgenden Anfrage an den Server sendet der Client das JWT mit, typischerweise im Authorization-Header:

   Authorization: Bearer <JWT>

6. Der Server überprüft das JWT und gewährt basierend auf den enthaltenen Informationen Zugriff auf die Ressourcen.

Durch die Verwendung von JWTs wird sichergestellt, dass jede Benutzersitzung sicher und manipulationssicher authentifiziert wird.