Differenzial Analyse in der Praxis (Florian Walther)

Differenzial Analysen in der PraxisWie man mit Hilfe von Differenzial Analysen die Zufälligkeit von Werten analysiert. Florian scusi Walther

Credits Fly out to: Michael lcamtuf Zalevski (google)for http://lcamtuf.coredump.cx/oldtcp/tcpseq.html Randal Acton (ex @stake) for peer review my research Van Hauser (thc.org) for his contributions to this project FtR (phenoelit.org) for his contributions to this project

Über mich● Florian scusi Walther● Wohnhaft in Berlin● Über 20 Jahre Computererfahrung● Über 10 Jahre IT-Security Erfahrung● Seit Mai 2010 Teamlead IT-Security bei VZ

Was bringt es ? Oder Warum?● Kryptografie ist wichtig im Internet und e-business.● Die Zufälligkeit ist oft wichtiges Kriterium für die Sicherheit.● Aber wie soll man die Zufälligkeit testen?

Einsatzgebiete Überall dort wo es wichtig ist Werte nutzen zu können die Dritte nicht kennen dürfen/sollen.● Sitzungsschlüssel● Kennungen, z.B. (temporäre) Nutzerkennungen● Sog. SALT-Werte oder NOUNCEs● Sog. Aktivierungs URLs● Sequenznummern z.B. in TCP/IP●...

GrundlagenIm Grunde berechnen wir eine saubere drei-dimensionale Representation unserer ein-dimensionalen Eingabedaten.Diese Methode ist wissenschaftlich bekannt unterdem Namen delayed coordinates.

Delayed coordinatesDie Methode wird vor allem in der Analyse vondynamischen Systemen eingesetzt.Speziell bei non-linearen Systemen sowie zurAnalyse von deterministischem Chaos.

Delayed coordinatesWir gehen davon aus, daß wir nicht vorhandeneDimensionen rekonstruieren können indem wir vorherige Werte alz zusätzliche Koordinaten verwenden können.

Delayed coordinates berechnenWir berechnen die Differenz von einem Wert zuseinem Vorgänger sowie zu seinem Nachfolger. x[n] = s[n-2] - s[n-3] y[n] = s[n-1] - s[n-2] z[n] = s[n] - s[n-1]

Nutzung in der PraxisDie Nutzung in der Praxis zeige ich anhand von Sitzungsschlüsseln (Session-ID) in einer Webapplikation.

Vorgehen 1/5 Eine statistisch ausreichende Menge an SessionID Werten sammeln. 10.000 sollten es schon mindestens sein!#!/bin/sh# gather.shwhile [ 1 ]do echo -e „GET / HTTP/1.0nn“ | nc -vv $1 80 | grep SESSIONIDdone

Vorgehen 2/5 Werte vorbereiten und bereinigen.sed s/^Cookie: JESSIONID=// COOKIEFILE |

Vorgehen 3/5 Werte normalisieren und ggf. umwandeln. hexstring2bigint.pl | C78D060223A08F9FF1488DE3B93FCF8C=> 265248606882191698065742702371877670796

Vorgehen 4/5 Delayed coordinates aller Werte berechnen. seq_bigint.pl > cookie.datuse Math::BigInt;@seq = ();@x = @y = @z = ();while(<>) { chomp($val = $_); if (length($val) > 0) { push(@seq, $val); }}for ($i = 3; $i < $#seq; $i++) { $o = Math::BigInt->new($seq[$i]); $m1 = Math::BigInt->new($seq[$i-1]); $m2 = Math::BigInt->new($seq[$i-2]); $m3 = Math::BigInt->new($seq[$i-3]); push(@x, scalar $o->bsub($m1)); push(@y, scalar $m1->bsub($m2)); push(@z, scalar $m2->bsub($m3));}for ($i = 0; $i < $#seq; $i++) { if (defined $x[$i]) { print $x[$i] . " " . $y[$i] . " " . $z[$i] . "n"; }}

Vorgehen 5/5 Werte visualisierenecho splot "cookie.dat" | gnuplot

Ergebnisse interpretierenDer wichtigste Teil der Übung: Die Ergebnisse richtig interpretieren.

Einfaches Inkrement (hoch zählen)

Zeitbasierte Werte

Gute Zufälligkeit

Live DemoEinfach mal machen...

Fragen? Wenn dann jetzt! Oder später an:florian.walther@gmail.com

DankeVielen Dank für eure Zeit und Aufmerksamkeit!

Differenzial Analyse in der Praxis (Florian Walther)

by GEEKcon on Apr 07, 2011

Accessibility

Categories

Upload Details

Usage Rights

Statistics

Differenzial Analyse in der Praxis (Florian Walther) — Presentation Transcript