RZ039 – SMTP Smuggling

avatar
Viktor Garske
avatar
Andreas Noack

In der heutigen Episode stellen wir das Konzept rund um die Sicherheitslücke „SMTP Smuggling“ vor.

Shownotes

Namensnennung

Die Hintergrundmusik wurde uns freundlicherweise von Jason Shawn von Audionautix.com unter der CC-BY-4.0-Lizenz bereitgestellt!

Hinweise

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

RZ003 – E-Mail selber hosten oder Cloud nutzen?

avatar
Viktor Garske
avatar
Andreas Noack

Der Betrieb eines E-Mail-Servers kann aufwändig und wartungsintensiv sein. Somit liegt es fast schon auf der Hand, den Betrieb des Mailservers in die Hände eines großen Cloud-Dienstleisters zu legen. Doch welche Risiken und Chancen entstehen dabei? Prof. Andreas Noack und Viktor Garske diskutieren in Episode 3 des Risikozone-Podcasts, warum E-Mails unter großen Cloudprovidern oft zuverlässiger zugestellt werden und worauf man achten muss, wenn man den Plan ins Auge fasst, den E-Mail-Dienst für die eigene Domain zu einem Cloud-Dienstleister outzusourcen.

Shownotes

Erratum

In der Folge hat Viktor behauptet ab Minute 20, dass Daemon für disk and execution monitor steht. Es handelt sich beim Wort Daemon aber um ein Backronym: die „Langform“ wurde erst im Nachhinein gebildet. Viel mehr stammt das Wort einem Gedankenexperiment von Maxwell, dem Maxwellschen Dämon. Wir danken allen aufmerksamen Zuhörern, denen dies aufgefallen ist.

Namensnennung

Die Hintergrundmusik wurde uns freundlicherweise von Jason Shawn von Audionautix.com unter der CC-BY-4.0-Lizenz bereitgestellt!

Hinweise

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

RZ002 – E-Mails schützen

avatar
Viktor Garske
avatar
Andreas Noack

Die zweite Episode des Risikozone-Podcasts greift die E-Mail-Thematik aus der ersten Episode auf. Prof. Dr. Andreas Noack und Viktor Garske diskutieren im ersten Teil eine E-Mail-Betrugskampagne, die aktuell im Umlauf ist, und gehen im zweiten Teil genauer auf den Schutz von Inhalten in E-Mails ein. Sie erklären die Möglichkeiten der digitalen Signaturen sowie der Verschlüsselung und legen den Einsatz der Verfahren im Kontext von S/MIME und PGP dar. So können z. B. E-Mails von Unternehmen, die zunehmend sensible Daten wie Rechnungen oder persönliche Informationen enthalten, integritätsgeschützt und/oder vor Zugriff unbefugter Dritter wirksam geschützt werden.

Shownotes

News

In der Nachrichtensektion geht es um einen PayPal-Phishing-Scam, also eine Betrugskampagne, die PayPal instrumentalisiert. Siehe hierzu die Originalnachricht auf krebsonsecurity.com, dem Blog von Brian Krebs.

Schwerpunktthema: S/MIME und PGP

Das Schwerpunktthema der heutigen Episode ist die Verschlüsselung und Signierung von E-Mails. Dies ist immer dann wichtig, wenn der Inhalt

  • vor dem Zugriff Dritter geschützt werden soll (Verschlüsselung) oder
  • der Empfänger überprüfen können soll, ob der Inhalt unverändert erhalten wurde (Signierung mittels Digitaler Signatur).

Es ist an dieser Stelle hervorzuheben, dass eine Digitale Signatur mit der typischen „E-Mail-Signatur“ nichts gemein hat: letztere ist ein simpler Text, der an das Ende der E-Mail angefügt wird, erstere ist das Ergebnis einer kryptographischen Operation.

Im Folgenden einige hilfreiche Links zu den entsprechenden Themen:

Loslegen

Wer E-Mails verschlüsseln bzw. signieren möchte, kann also zwischen S/MIME und PGP wählen, mitunter auch seine E-Mails durch beide Techniken schützen. Obgleich beide Techniken an sich nicht miteinander kompatibel sind, kann aber z. B. eine E-Mail sowohl mit S/MIME als auch mit PGP signiert werden.

Der Unterschied zwischen den Verfahren liegt, wie in der Folge von Andreas erwähnt, in der Vertrauensetablierung: Bei S/MIME gibt es Zertifizierungsstellen (CA), denen der E-Mail-Client automatisch vertraut (diese Liste wurde vom Hersteller des E-Mail-Clients voreingestellt). Eine von diesen CAs stellt für die E-Mail-Adresse nach einer Verifizierung ein Zertifikat mit dem Public Key aus, das in Verbindung mit einem Public-Key verwendet werden kann. Bei GPG kann man sich Public- und Private-Key selber generieren. Es erfolgt keine Verifizierung durch eine zentrale Stelle, vielmehr können Freunde und Bekannte digital signieren, dass das Keypair aus Public- und Private-Key auch wirklich zu der Person gehört. Sie nehmen somit dezentral im Kollektiv die Aufgabe der CA wahr.

Eine S/MIME-CA lässt sich die Dienstleistung der Verifikation in der Regel bezahlen. Wir können in der Kürze keine Übersicht möglicher oder gar empfehlenswerter S/MIME-CAs aufbereiten. Wichtig für die eigenen Recherche ist nur, dass die CA in den meisten E-Mail-Clients, mit denen man kommuniziert, bereits vorhinterlegt sein sollte. Spezialfälle wie unternehmensinterne CAs, die evtl. von Partnerunternehmen anerkannt werden, lassen wir an dieser Stelle aus.

Wer unmittelbar die Technik hinter dem Verschlüsseln und Signieren ausprobieren möchte und Mozilla Thunderbird einsetzt, kann dies mit OpenGPG (eine Form von PGP) kostengünstig (= kostenlos) ausprobieren, da Thunderbird dies seit Version 78 nativ unterstützt. Eine Anleitung hierzu steht in der Thunderbird-Hilfe auf support.mozilla.org bereit.

Namensnennung

Die Hintergrundmusik wurde uns freundlicherweise von Jason Shawn von Audionautix.com unter der CC-BY-4.0-Lizenz bereitgestellt!

Hinweise

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

RZ001 – Sie haben Post!

avatar
Viktor Garske

In der ersten Episode des Risikozone-Podcasts geht es um eines der wichtigsten Kommunikationsmedien der heutigen Zeit: die E-Mail! Man mag es kaum glauben, aber die Standards hinter der E-Mail werden über 40 Jahre alt. Aber was sind das für Standards? Was ist ihre Aufgabe und warum gibt es unterschiedliche Protokolle für das Empfangen und Versenden?

Ein kleiner geschichtlicher Exkurs wird Klarheit schaffen. An dieser Stelle wird auch deutlich werden, warum E-Mail so anfällig für Spam und Phishing ist. Trotzdem werden wir gemeinsam in der Episode einige Indizien und Techniken besprechen, mit denen nicht-authentische, also potentiell gefälschte, E-Mails erkannt werden können.

Shownotes

Die RFCs

  • Simple Mail Transfer Protocol (SMTP) nach STD 10 / RFC 821 (auch RFC 2821, 5321)
  • E-Mail-Format („Internet Message Format“) nach RFC 5322 (vorm. RFC 822, 2822)
  • Multipurpose Internet Mail Extensions (MIME) nach RFC 2045 ff.
  • Message Submission for Mail nach STD 72 / RFC 6409
  • Spammaßnahmen nach RFC 2505
  • Domain Keys Identified Mail (DKIM) nach RFC 6376
  • Sender Policy Framework (SPF) nach RFC 7208
  • Domain-based Message Authentication, Reporting and Conformance (DMARC) nach RFC 7489

Weiterführende Informationen

Namensnennung

Die Hintergrundmusik wurde uns freundlicherweise von Jason Shawn von Audionautix.com unter der CC-BY-4.0-Lizenz bereitgestellt!

Hinweise

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.