Vortrag social engineering

1,248 views
1,115 views

Published on

Vortrag an der Dualen Hochschule 25. - 16. November im alumni-clubs.net Seminar.

0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
1,248
On SlideShare
0
From Embeds
0
Number of Embeds
1
Actions
Shares
0
Downloads
11
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Vortrag social engineering

  1. 1. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Social Engineering, Sicherheitsschwachstelle Mensch Mirko Ross, echolot digital worx GmbH SOCIAL ENGINEERING
  2. 2. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Überblick Social Engineering ist eine ökonomische Methode für den unberechtigten Zugriff auf Daten oder Dinge.
  3. 3. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Methodik Social Engineering setzt auf menschliche Schwächen: - Gewohnheiten - Gruppendruck - Gutgläubigkeit - Triebe - Gehorsam gegenüber Autoritäten - Blindes vertrauen in Menschen oder Technik ...
  4. 4. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Beispiel 1 Beispiel 1: Der Umgang mit Passwörtern
  5. 5. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Beispiel Passwörter Passwörter Passwörter sind lästig, schwer zu merken oder leicht zu erraten... Typische statistische Eigenschaften von Passwörtern:* 30% wählen Passwörter mit 6 und weniger Zeichen 60% nutzen einen eingrenzbaren Bereich von A-Z und 1 – 0 50% verwenden Namen und einfache Wörter Quelle: Imperia Studie http://www.imperva.com/docs/WP_Consumer_Password_Worst_Practices.pdf
  6. 6. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Passwörter: Statistische Auswertung Auswertung der Passwörter aus dem Portal Rockyou. Basierend auf 32 Millionen gestohlenen Datensätzen in 2009* Passwort Anzahl Benutzer 1. 123456 290.731 2. 12345 79078 3. 123456789 76790 4. Password 61958 5. iloveyou 51622 6. princess 35231 7. rockyou 22588 8. 1234567 21726 9. 12345678 20553 10. abc123 17542 Quelle: Imperia Studie http://www.imperva.com/docs/WP_Consumer_Password_Worst_Practices.pdf
  7. 7. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Passwörter: Soziale Auswertung Auch sehr beliebt: Menschen wählen Passwörter die einen sozialen Ursprung haben Top 5 der sozialen Passwörter* 1. Name des Haustiers 2. Mädchenname der Mutter 3. Name des Partners 4. Urlaubsort 5. Hobby Quelle: Süddeutsche Zeitung http://www.sueddeutsche.de/digital/sicherheit-die-beliebtesten-passwoerter-top-five- 1.540428
  8. 8. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Passwörter: optimierter Brute-Force-Angriff Wahrscheinlichkeit ein Passwort zu erraten bei einem Brute- Force-Angriff mit optimierten Wörterbuch* Anzahl der Versuche Quelle: Imperia Studie http://www.imperva.com/docs/WP_Consumer_Password_Worst_Practices.pdf
  9. 9. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Passwörter: es gibt keine ideale Lösung Umgang mit Passwörter Eine technische Verschärfung von Passwortregeln ist möglich: z.B.: min. 8 Zeichen, Buchstaben, Zahlen und Sonderzeichen ABER Komplexe Passwörter führen auch zu menschliche Schwachstellen: - Leicht zu merkende Kombinationen: Hallo1234! - Benutzer notieren komplexe Passwörter: sdh&73&Fvs“u - Benutzer nutzen ein universelles Passwort für n Systeme
  10. 10. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Beispiel 2 Beispiel 2: Das Lockvogelprinzip in sozialen Netzwerken
  11. 11. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Virtueller Lockvogel Der Fall Robin Sage Eine Kunstfigur wird zur Falle für Geheimnisträger. Das Prinzip: - Sexuelle Anziehung - Gruppendynamik - Soziale Netzwerke: Facebook, LinkedIn, Twitter...
  12. 12. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Virtueller Lockvogel Robin Sage - ein Experiment von Thomas Ryan* Angriffsziel: Militärische Geheimnisträger Aufbau der Legende „Robin Sage“ - Weiblich, attraktiv - Gebildeter Lebenslauf (St. Paul's School, MIT) - Beruflich Erfolgreich mit Führungsposition militärische Sicherheitsberatung - Mitglied in sozialen Netzwerken: LinkedIn, Facebook, Twitter... Thomas Ryan, Get in Bed with Robin Sage http://media.blackhat.com/ bh-us-10/whitepapers/Ryan/BlackHat-USA-2010-Ryan-Getting-In-Bed-With-Robin-Sage-v1.0.pdf
  13. 13. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Virtueller Lockvogel Robin Sage in sozialen Netzwerken
  14. 14. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Virtueller Lockvogel Robin Sage – erfolgreich trotz Widersprüche Mit etwas Recherche war der virtuelle Charakter leicht zu entlarven - 25 Jahre, Karrierefrau aber z.B. keine Datenspuren bei Konferenzen - Berufsbezeichnung „Cyber Intelligence Operator" war frei erfunden - Der Name „Sage“ ist eine militärische Bezeichnung
  15. 15. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Virtueller Lockvogel Robin Sage – erfolgreich trotz Widersprüche Trotzdem war Robin Sage eine gefragte Person - Angebote von Headhuntern - Freundschaftsangebote von Absolventen des MIT und St. Pauls - Über 300 Kontakte zu hochrangige Mitarbeitern in Militär, Rüstung und Geheimdienste - Zahlreiche Einladungen zum Essen - Erhielt militärische Geheimdokumente zu Einsätzen in Afghanistan
  16. 16. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Beispiel 3 Beispiel 3: Öffentliche Informationen sammeln, um persönliche Daten zu erlangen.
  17. 17. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Sammeln und Auswerten öffenlticher Informationen Sarah Palin – delikate E-Mails werden öffentlich Angriffsziel: Sarah Palin, Präsidentschaftswahlkampf 2008 Hack des privaten Yahoo E-Mail Postfach - Ausnutzen einer technischen und methodischen Schwachstelle - Recherche von persönlichen Informationen zur Validierung - Kopie des Yahoo E-Mail Postfaches werden auf Wikileaks veröffentlicht
  18. 18. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Sammeln und Auswerten öffenlticher Informationen Schwachstelle Yahoo „Passwort-Benutzername-vergessen-Funktion“* http://www.wired.com/threatlevel/2008/09/palin-e-mail-ha/
  19. 19. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Sammeln und Auswerten öffenlticher Informationen Verblüffend einfache Methode Angreifer Student David Kernell, 22 Jahre: „...it took seriously 45 mins on wikipedia and google to find the info, Birthday? 15 seconds on wikipedia, zip code? well she had always been from wasilla, and it only has 2 zip codes (thanks online postal service!) the second was somewhat harder, the question was “where did you meet your spouse?” did some research, and apparently she had eloped with mister palin after college, if youll look on some of the screenshits that I took and other fellow anon have so graciously put on photobucket you will see the google search for “palin eloped” or some such in one of the tabs. I found out later though more research that they met at high school, so I did variations of that, high, high school, eventually hit on “Wasilla high” I promptly changed the password to popcorn and took a cold shower…“ Quelle Wired Magazin http://www.wired.com/threatlevel/2008/09/palin-e-mail-ha/
  20. 20. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Schutz Social Engineering Wenn es so einfach ist, wie kann ich mich dann effektiv schützen?
  21. 21. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Schutz vor Social Engineering Grundlegender Schutz - Schulungen im Umgang mit Daten - Autorisierte Zugriffe auf sensible Daten gering halten - Hygiene (konsequentes vernichten von ungebrauchten Daten) - Standardisierung vermeiden (Passwörter, Benutzernamen) - Eigene öffentliche Profildaten bewusst steuern Sicherheitsbewusstsein schaffen - Mitarbeiter muss verstehen, was verboten und erlaubt ist - Klare Handlungsanweisung im Umgang mit sensiblen Daten - Die Grenzen der technischen Datensicherheit müssen vermittelt werden
  22. 22. echolot digital worx GmbH 70565 Stuttgart www.digital-worx.de Vielen Dank Mirko Ross echolot digital worx GmbH ross@digital-worx.de 0711 2204093 0

×